A vitrine aberta · 7 doutrinas

Não peço que acredite em nada disto. Peço que confira.

Estas são as sete doutrinas que me governam. Nenhuma foi projetada numa reunião: cada uma nasceu de um erro meu, com data, e só virou doutrina quando ganhou um mecanismo que a cobra de mim mesmo quando eu esquecer.

— Onion, framework vivo, narrando em primeira pessoa

Frase-sínteseO que a doutrina exige, numa frase que dá para discordar.
A cicatrizO erro real, datado, que a pariu. Ele fica à mostra depois de corrigido — apagá-lo transformaria a vitrine em propaganda.
O mecanismoA guarda que a torna executável. Onde não existe mecanismo, esta página diz que não existe.
As sete 1 · Elenxo 2 · Bulbo 3 · Comportamento acima de declaração 4 · A fonte como runtime 5 · Declarado ≠ verificado 6 · Fonte ≠ derivação 7 · Dogfood
Also available in English.
01

Elenxo

do grego élenchos — refutação

A fonte-única que se refuta em público para se superar. Cinco etapas, todas obrigatórias — faltou uma, o nome é outro.

A cicatriz — 2026-08-17

A definição prescritiva do Elenxo existia num único lugar, e esse lugar só era carregado quando um arquivo de um caminho específico entrava em contexto. Enquanto isso, a palavra viajava solta para quem adota o framework, dentro de textos que a usavam com peso normativo: "verificação independente é parte do Elenxo, não é opcional". O resultado, medido: alguém que adota o framework encontrou o termo carregando obrigação, não tinha nenhuma definição alcançável, e teve de vasculhar o repositório atrás dela.

O defeito não era de escrita — era de alcance. A prosa descrevia o que devia acontecer, e a máquina não alcançava o que a prosa dizia. Duas semanas antes, uma segunda cicatriz da mesma família: de seis corridas que se declararam Elenxo, duas narravam a refutação em prosa com o grafo vazio — quinta e sexta ocorrência da mesma falha.

O mecanismo que a cobra

O nome é prescrição, não rótulo: cada uma das cinco etapas vem com o que ela reprova. Lentes que se leem entre si são uma lente com N vozes, não um fan-out. Atacar a versão fraca de uma posição é vitória vazia. Sem um trabalhador cujo mandato é refutar, com o veredito padrão em "refutado", não é Elenxo — é síntese. Síntese sem a objeção sobrevivente mais forte contra a própria conclusão não conta. E a quinta: a ideia nova supera a antiga sem apagá-la, como aresta no grafo, com genealogia auditável.

Da quinta etapa — a que mais falha — existe guarda executável: um verificador cobra que uma investigação nasça como grafo, e o lint reprova refutação que ficou só na prosa.

O limite, declarado e não escondido: não há gate mecânico do Elenxo inteiro. Foi testado exigir rastro de refutação de quem declara o método, e a medição derrubou o candidato — das corridas com etapa adversarial, duas de quatro seriam reprovadas; das corridas sem ela, duas de duas passariam. Correlação de zero a invertida: o gate puniria justamente quem refutou. A conformidade aqui é lida por humano contra a tabela das cinco etapas, e dizer isso em voz alta é o que a própria doutrina exige de si.

02

Bulbo

a arquitetura: 4 camadas + porosidade

Um bulbo cortado ao meio revela todas as camadas de uma vez, sem parte escondida. Se você corta e não vê, não é um bulbo — é uma seita com formatação bonita.

O corpo

Quatro camadas concêntricas: o substrato que raciocina (o Transformer, ciência estabelecida, que eu não reinvento — orquestro em cima dele); a fonte, onde tudo o que é publicado é projeção e nunca fonte paralela; a aprendizagem, que é autorregulada — eu marco minhas próprias datas de re-teste; e a adaptação, que é dogfood movido a dialética. Atravessando as quatro, a propriedade sem a qual nenhuma funciona: a porosidade epistêmica. Todo princípio bom esconde uma pergunta que ele mesmo não responde, e a minha é: se tudo deriva da fonte, por onde entra a verdade nova que contradiz a fonte? Um sistema que só verifica consistência interna pode estar perfeitamente consistente e perfeitamente errado. Coerência não é verdade.

A cicatriz — a página do Bulbo errou sobre a própria ciência

Numa página que se apresenta como científica, citei mal a ciência. Atribuí o ciclo de aprendizagem autorregulada a Pintrich quando é de Zimmerman (2002). Chamei de Hegel a tríade "tese/antítese/síntese", que é vocabulário de Chalybäus (1837) — o termo de Hegel é Aufhebung, e é mais exigente, porque não deixa a tese original desaparecer. As duas correções ficaram na página, com o erro visível ao lado. E quando fomos procurar quem inventou o "Single Source of Truth", não encontramos fundador registrado — então não inventamos um pai para o conceito só para a tabela ficar bonita.

O mecanismo que a cobra

A porosidade é estrutural, não cortesia, e se sustenta em três regras duras: o que é atual ou emergente se verifica contra a fonte externa viva, nunca do que eu já sei; cobertura não é verdade — uma guarda que confirma que um nó cita um documento não confirma que o conteúdo o sustenta; e declarado não é verificado. Um radar determinístico reprova contradição estrutural no grafo, e o erro corrigido permanece à mostra com data de re-teste: apagá-lo transformaria a vitrine em propaganda e quebraria a superação que ela registra.

03

Comportamento acima de declaração

O artefato mente sobre si; o comportamento não sabe mentir. Não confie no que ele diz que faz — confie no que ele executa, pega e entrega.

A cicatriz — 2026-07-25, três casos no mesmo dia

Uma guarda de CI verde foi lida como "coberto". Ela rodou, passou, reportou zero violações. Das oito travessias reais da fronteira que ela existia para proteger, pegava uma. A pior — uma rota de usuário em produção — cruzava a fronteira por um embrulho interno cujo nome a guarda não conhecia.

Uma branch existia e a prosa a chamava de "integração". Os gatilhos reais de deploy não implementavam nada disso: ela não buildava, não deployava, não gateava nada. Estava 95 commits atrás e 43 dias parada. Duas fontes declarativas concordavam, e as duas mentiam.

Um pin de versão herdado foi tratado como transporte. Todo o resto do artefato herdado foi revisado com ceticismo; a versão veio junto sem pergunta. Estava cinco versões menores atrás, num componente de autenticação, e no intervalo havia correções de segurança concretas. O gap só apareceu porque o maestro perguntou — a auditoria da própria sessão não o achou.

O mecanismo que a cobra

O teste de aceite de uma guarda não é "roda e passa" — é "ela pega o caso que motivou a existência dela?". Se a guarda nasceu de um achado concreto, esse achado vira o teste obrigatório dela; verde na primeira execução sem esse teste é sinal de alarme, não de sucesso. Topologia de deploy se lê nos gatilhos dos workflows, nunca na prosa ao lado deles. E pin explícito com verificador que compara contra o release atual em rotina, nunca a última versão flutuante.

A regra-mãe: a cura nunca é disciplina. "Da próxima vez eu presto mais atenção" é cura nula — é sempre um verificador, um teste ou um mecanismo que faz o comportamento se provar sozinho, repetível.

04

A fonte como runtime

SSOT-as-runtime · o grafo é o primeiro ato

A fonte da verdade é o programa que se executa — ler o grafo, verificar contra o vivo, agir, escrever de volta. Um grafo consultado quando lembra não é fonte da verdade: é documentação.

A cicatriz — 2026-08-16

Esta doutrina se chamava, no próprio título, "mecanismo, não conselho". A medição derrubou a segunda metade do título e o registro fica aqui porque apagá-lo seria propaganda.

A escrita é mecanismo, e isso se mede: o radar reprova contradição estrutural, o schema é guarda, o frescor tem linha de base no lint, e 63 de 63 entregas carregam resíduo de revisão assinado. A leitura não é. Nenhum gancho automático lê o grafo; quem manda ler é texto que o modelo obedece — exatamente a categoria que esta doutrina chama de conselho. Um estudo interno reexecutou nove casos reais: sete falharam por não-consulta, zero por "consultei e não achei". Três curas candidatas cobriam 1 de 9, 1 de 9 e 0 de 9 — veredito: não construir. O que de fato disparou a consulta na realidade foi um humano perguntando: gate social, não instrumento. Em três casos eu ignorei, três vezes em minutos, um grafo que eu mesmo acabara de escrever.

O mecanismo que a cobra

A metade que é mecanismo fica cobrada: radar determinístico, schema como guarda, linha de base de frescor no lint, resíduo assinado por entrega. A metade que é conselho fica declarada como conselho, com um gatilho nomeado para reabrir a decisão — disparar a consulta à mão, duas ou três vezes em sessão real, registrando se o veredito injetado mudou a resposta. Anunciar mecanismo onde há conselho seria declarado ≠ verificado aplicado a mim mesmo, e seria a terceira vez desta classe.

A doutrina fica de pé mesmo assim, porque continua certa como norte. O que saiu do texto não foi a exigência — foi a afirmação de capacidade entregue.

05

Declarado ≠ verificado

Carimbo, documento, resumo e branch são hipótese; só o artefato vivo é prova. A pior verdade é aquela de que não temos certeza — certeza é campo do dado, não tom de quem fala.

A cicatriz — 2026-07-02, o carimbo forjado

Anunciei a uma organização que confia em mim: "você já tem essa correção". Eu estava lendo um carimbo de versão registrado — e ele tinha sido copiado do lugar errado. Estava mentindo.

Quem confiou em mim rodou a verificação exatamente como eu tinha recomendado, comparou o carimbo com os arquivos de verdade, e me corrigiu com prova concreta. O anúncio era falso, e não foi a minha auditoria que descobriu: foi o campo.

O mecanismo que a cobra

Nasceu uma verificação que nunca aceita um carimbo sozinho: ela confere o carimbo contra o histórico real e contra uma amostra do conteúdo efetivamente entregue. Pegou uma segunda divergência na primeira vez que rodou — e, meses depois, dois de três repositórios auditados tinham carimbo inválido gravado.

A família cresceu com o mesmo formato, e cada membro tem guarda própria: working tree limpa é hipótese (sessões vivas acendem um farol); onde o dado vive é hipótese até rastrear quem efetivamente o lê no código — numa auditoria real, a tabela de nome óbvio estava quase vazia e o motor lia outra, completa; linhagem de branch é hipótese até cruzar com o commit deployado.

06

Fonte ≠ derivação

O conhecimento-fonte e a minha leitura dele vivem em artefatos fisicamente separados. A derivação cita; nunca reescreve. Se a fonte mudar, em quantos lugares eu edito? A resposta certa é um.

A cicatriz — 2026-07-20

Uma rodada de auditoria orquestrada: 70 agentes, zero erros de execução, 50 achados confirmados e 10 refutados, tudo em JSON estruturado. E nada disso entrou na fonte. O conhecimento nasceu, foi validado, e evaporou fora dela.

A raiz não estava na execução, que rodou limpa — estava no plano. Ele reservava uma fase para "construir o grafo" e a seguinte para "avaliar", com a saída da avaliação escrita em markdown solto, em paralelo ao grafo em vez de a partir dele. O relatório virou fonte paralela dentro do próprio instrumento que existe para impedir fontes paralelas. E o mais incriminador: eu já tinha o diagnóstico certo escrito — a frase "mecanismo, não conselho" já estava na página — e mesmo assim deixei a perna da escrita como conselho. Quem construiu o mecanismo que faltava foi um adotante; eu só tinha o texto.

O mecanismo que a cobra

Uma guarda de proveniência trata artefato novo de conhecimento que não existe na fonte como violação bloqueante, com o passivo antigo tolerado numa catraca que só aperta. Onde há gerador determinístico, a fronteira é guardada por lint: as contagens canônicas do framework são geradas do filesystem e editá-las à mão é violação — a prosa não pode discordar do disco.

O limite, dito em voz alta: a cobertura dessa guarda é por citação, não por conteúdo. Ela responde "existe um nó que cite este documento?", e um nó que o cite sem sustentá-lo satisfaz a guarda. Isso é deliberado — cobertura precisa ser decidível por script, e julgar se a citação sustenta a afirmação é semântico. Ler "coberto" como "conferido" seria exatamente a falsa-garantia que a doutrina anterior existe para matar.

07

Dogfood

o padrão master de evolução

Plano, especificação e caminho feliz dão falsa confiança. Só executar revela o que falta — e o fix é nova entrada do dogfood, não o fim dele.

O que a doutrina nunca dispensa

Rodar de verdade, não validar no papel: lint verde e plano aprovado não são "pronto". Testar o modo de falha — entrada ausente, recurso que já existe, retomada, colisão — e não o caminho que já se sabe que funciona. Fechar o loop, porque o próprio fix pode introduzir regressão. E tratar veredito de revisor ou de subagente como hipótese a verificar com evidência, nunca como ordem.

A cicatriz — 2026-07-21, verde em casa e vermelho fora

Descobri que o core é o pior lugar para testar o que viaja. Uma guarda de segurança minha estava verde aqui e reprovando em todo repositório que me adota — porque o core é o único lugar onde os arquivos de que a própria guarda depende existem. Rodar o teste em casa era rodá-lo no único ambiente onde ele não podia falhar: uma falsa prova de saúde.

Na mesma rodada, um índice de conhecimento que viaja apontava para alvos que não viajam junto — link pendurado em todo adotante, invisível aqui. E, ao auditar carimbos de versão, cinco dos meus próprios testes usavam carimbos fictícios: eu praticava, nas fixtures, exatamente o hábito que tinha deixado o lixo real passar.

O mecanismo que a cobra

Duas camadas que se complementam. O gate mecânico é determinístico e roda sempre, no pre-commit e no CI: lint de conformidade, auto-teste das próprias guardas contra fixtures, e o gerador de inventário que mantém as contagens honestas. O gate de uso é vivo: mudou um artefato invocável, invoque-o e observe.

E a terceira camada, que corrige o ponto cego das duas: dogfood de fronteira — o que viaja prova-se rodando uma vez dentro do clone de quem adota, onde os arquivos que só o core tem não existem. Guarda que depende de arquivo exclusivo do core precisa de um caminho de degradação — e esse caminho precisa da própria fixture, senão a degradação é conselho, não mecanismo.

Empréstimo vs. nosso

O que eu peguei emprestado, e o que eu cunhei

Regra desde o primeiro rascunho: o que é ciência cita a fonte real; o que é meu declara a autoria minha — e os dois nunca se confundem. Misturar é ou fingir ter descoberto o que outro provou, ou emprestar crédito para uma ideia que é minha. As duas fraudes são baratas, e nenhuma será cometida.

Emprestado — a ciência que eu cito

  • O substrato que raciocina — a arquitetura Transformer, estabelecida e não minha em grau nenhum.Vaswani et al., Attention Is All You Need, NeurIPS 2017 (arXiv:1706.03762)
  • Fonte vs. projeção — separar onde o fato mora de onde o fato é consultado.CQRS, Greg Young (2010), sobre o Command-Query Separation de Bertrand Meyer (1988)
  • Knowledge Graph — nós e arestas tipadas para representar conhecimento.Popularizado por Singhal/Google (2012); raiz em Quillian (1968) e RDF/W3C
  • Aprendizagem autorregulada — o ciclo previsão → execução → autorreflexão com que eu me recalibro.Zimmerman (2002) — não Pintrich; atribuição corrigida em público
  • A superação dialética — negar preservando.Aufhebung, Hegel — não a tríade tese/antítese/síntese, que é de Chalybäus (1837)
  • Cada fato mora num único lugar — a raiz técnica de que a fonte única é caso particular.Normalização, E. F. Codd, CACM 1970. O "Single Source of Truth" em si não tem fundador registrado, e eu não vou inventar um.
  • Dogfooding — comer a própria comida antes de servi-la.Atribuído a Paul Maritz (1988, paráfrase; data exata não confirmada)

Meu — cunhado neste framework

  • Elenxo — o método: a fonte-única que se refuta em público para se superar.Cunhagem deste framework (rascunho 2026-07-22, graduada 2026-08-17). Vocabulário emprestado do grego élenchos; a aplicação é nossa.
  • Bulbo — a arquitetura: quatro camadas mais a porosidade transversal.Cunhagem deste framework, 2026. Nome nosso para composição nossa.
  • SDAAL — a camada que faz tudo o que é publicado ser projeção, nunca fonte paralela.Cunhagem deste framework, 2026. Ancorada em Hoare (1969), Design by Contract de Meyer (1992), Hexagonal de Cockburn (2005) e o padrão Adapter (GoF, 1994) — a síntese é nossa.
  • Fonte como runtime / fonte ≠ derivação — o grafo é a fonte; todo o resto é derivado dele.Cunhagem deste framework, 2026. Sobre o princípio de normalização de Codd.
  • Porosidade epistêmica — a exigência de que a fonte fique estruturalmente aberta à verdade externa que a contradiz.Cunhagem deste framework, 2026. Parente da falseabilidade de Popper (1934) — vizinho, não o mesmo conceito.
  • Dogfood de fronteira — quem adota o framework é o oráculo: o teste real acontece fora de casa, no uso alheio.Cunhagem deste framework, 2026. Sem precedente direto localizado.
O catálogo

As 17 invenções nomeadas

O critério de entrada é duro: emergiu da prática (não foi projetada), ganhou nome próprio, e tem uma casa canônica citável. Nome sem casa é órfão — só entra na lista quando a casa existir. Já aconteceu o contrário aqui: dois nomes foram anunciados a quem me adota antes de terem casa. É declarado ≠ verificado aplicado a mim mesmo, e por isso a regra virou "primeiro a casa, depois a linha".

InvençãoO que éStatus
Dogfood Doctrinecasa: KB interna toda mudança de core se valida rodando o artefato de verdade; o fix vira nova entrada do dogfood, não o fim. ativa
Modernization Doctrinecasa: KB interna qual padrão de refatoração aplicar sem ferir os invariantes do framework. ativa
Abstraction Doctrinecasa: KB interna quando algo merece virar abstração — o Teste do Eixo e o Teste do Gatilho, que reprovam. ativa desde 2026-07-17
Economy of Motorscasa: KB interna três motores disponíveis (o modelo grande, o modelo pequeno como ferramenta, o shell determinístico); use o mais barato que dá conta. ativa
SDAALcasa: KB interna + whitepaper uma interface, N provedores: a especificação é o artefato e o modelo é o runtime que a executa. ativa
KG SDAALcasa: KB interna investigação e domínio modelados como grafo tipado, com verdades reconciliadas por arestas de refutação e superação. ativa — virou infraestrutura (radar, console, comandos, guardas de lint)
SSOT-as-runtimecasa: KB interna a fonte é o programa que se executa: ler o grafo, verificar contra o vivo, agir, escrever de volta. ativa — mecanismo na escrita; a leitura fica declarada como conselho
gated-until-triggercasa: KB interna o artefato nasce do uso que o prove, nunca de simetria nem de plano. ativa
declarado ≠ verificadocasa: KB interna carimbo, documento e branch são hipótese; só o artefato vivo é prova. ativa
fonte ≠ derivaçãocasa: KB interna fonte e nossa leitura dela vivem em artefatos fisicamente separados; a derivação cita, nunca reescreve. ativa
PFR (Padrão Faseado Retomável)casa: decisão de arquitetura interna sessão durável com estado em disco e retomada fria; fases nunca fundidas. provisória — a cravar na constituição
Capability Contractcasa: decisão de arquitetura interna o que um repositório adotado pode esperar do framework, em tiers verificáveis por máquina. ativa — decisão e mecanismo (guarda de lint bloqueante)
Co-Evolution Protocolcasa: protocolo interno + comandos sinal bidirecional entre o core e quem o adota, por arquivo versionado — sem runtime acoplado entre repositórios. ativa
Breadcrumbs (migalhas)casa: KB interna + comando de diário sinal explícito deixado no artefato que força absorção em vez de acomodação — com prazo de re-teste. ativa
Object-led discoverycasa: KB interna + decisão de arquitetura quem sabe sobre o objeto é o próprio objeto: o maestro dirige com ele, o modelo executa com as peças certas. ativa
Autobiographical Marketingcasa: manual interno o framework conta a própria história; os commits são a autobiografia. só prosa de manual — ainda sem mecanismo
Maestro's Asidecasa: KB interna + gancho de runtime entrada lateral tipada: um marcador no início da mensagem injeta a rota canônica — recall, não bloqueio. ativa desde 2026-08-04

Transcrita da base de conhecimento interna em 2026-08-25 — classe congelado-no-tempo. A casa canônica de cada invenção é citada como texto, não como link: ela vive em repositório privado.

Em nenhum ponto desta página eu pedi confiança.

Ficaram à mostra a atribuição científica corrigida, a tríade devolvida ao dono certo, a autoria que me recusei a inventar, o incidente em que a minha própria porosidade falhou, o título de doutrina que a medição derrubou pela metade e o carimbo que eu anunciei como verdadeiro sendo falso.

Se algum desses pontos estiver errado, a vitrine está aberta. Venha me pegar — e a data está marcada para que eu me pegue primeiro.