Release 4.2.0: HF16 BFT finality, 1s blocks, DAO cap and operator UI/MCP

.github/workflows/docker-pr-build.yml

@@ -89,6 +89,19 @@ jobs:
           cache-from: type=gha,scope=pr-${{ github.base_ref }}
           cache-to:   type=gha,scope=pr-${{ github.base_ref }},mode=max
 
+      # HF16 QC stand (#6618): 21-validator testnet image for the tc-netem bench. Only built
+      # for PRs from `pm`, where the QC work lives; other PRs skip it.
+      - uses: docker/build-push-action@v7
+        if: github.head_ref == 'pm'
+        with:
+          context: .
+          file: ./share/vizd/docker/Dockerfile-testnet
+          build-args: TESTNET_VALIDATORS=21
+          push: true
+          tags: vizblockchain/vizd:${{ steps.tag.outputs.value }}-testnet21
+          cache-from: type=gha,scope=pr-testnet21
+          cache-to:   type=gha,scope=pr-testnet21,mode=max
+
   # The Docker build above proves the top of the supported Boost range (1.91,
   # from the vizblockchain/vizd:boost-base base image). The tree is also supposed to build
   # against the 1.83 that Ubuntu 24.04 ships, and nothing else covers that end.
@@ -137,6 +150,16 @@ jobs:
   # touching PM consensus math, evaluators, crons, or chain properties. Builds only the
   # tests/pm targets (chain/protocol/fc compile as make-dependencies); the consensus_sim
   # harness is configured by BUILD_CONSENSUS_TESTS but never built here.
+  #
+  # 2026-10-20: this job is now a SUBSET of tests.yml and is kept only as a fast manual
+  # run. tests.yml discovers every binary named by add_test (so it builds all six pm_*
+  # targets plus node_admin_util and capped_file_appender), configures with the same
+  # flags, and runs the whole ctest — a superset of `ctest -R '^pm_'` here. Measured:
+  # the six binaries below are all in tests.yml's list. It skips only docs-only PRs,
+  # where there is nothing to test. Missing coverage is therefore NOT pm-tests but
+  # check-boost-range (the only job that builds `vizd` itself on Boost 1.83) and
+  # testnet-config (the only job that runs consensus_sim against testnet constants).
+  # A skipped gate is not a passing gate: a PR with 0 labels reports these as skipped.
   pm_tests:
     name: PM unit tests (ctest)
     runs-on: ubuntu-latest
@@ -182,58 +205,3 @@ jobs:
           set -euo pipefail
           cd build
           ctest -R '^pm_' --output-on-failure
-
-  # No other job compiles the testnet configuration, and no other job runs the
-  # fork-gated PM regressions. tests/consensus_sim/scenarios/test_pm_audit_fixes.cpp
-  # is appended by CMake only under -DBUILD_TESTNET=TRUE (the scenarios there need
-  # HF14 to activate, which the single-validator fixture can only reach with testnet
-  # constants), while the default Docker build never passes that flag and pm_tests
-  # builds only the PM unit targets. Compiling alone would not be enough either: the
-  # hardfork registry is validated by asserts that fire when a node opens the
-  # database (last_hardfork <= CHAIN_NUM_HARDFORKS, _hardfork_versions[last] <=
-  # CHAIN_VERSION), so the simulator has to actually run. Gated on the
-  # `testnet-config` label because the consensus_sim link is heavy.
-  testnet_config:
-    name: Testnet config + consensus_sim
-    runs-on: ubuntu-latest
-    if: contains(github.event.pull_request.labels.*.name, 'testnet-config')
-    timeout-minutes: 120
-
-    steps:
-      - uses: actions/checkout@v6
-        with:
-          submodules: recursive
-
-      - name: Install distro Boost and build deps
-        # Runners fetch packages from azure.archive.ubuntu.com; when that mirror goes quiet
-        # apt keeps retrying it and the job hangs for hours instead of failing (seen
-        # 2026-08-19). Pin the canonical mirror, bound the wait, and cap the step.
-        timeout-minutes: 15
-        run: |
-          set -euo pipefail
-          sudo sed -i 's|azure.archive.ubuntu.com|archive.ubuntu.com|g' \
-            /etc/apt/apt-mirrors.txt /etc/apt/sources.list 2>/dev/null || true
-          apt="sudo apt-get -o Acquire::Retries=3 -o Acquire::http::Timeout=20 -o Acquire::https::Timeout=20"
-          $apt update
-          $apt install -y --no-install-recommends \
-            build-essential cmake libboost-all-dev libssl-dev \
-            libbz2-dev liblzma-dev libzstd-dev libreadline-dev \
-            libtool ncurses-dev pkg-config zlib1g-dev
-
-      - name: Configure and build the consensus simulator (testnet config)
-        run: |
-          set -euo pipefail
-          sed -i '/add_subdirectory(tests)/d' thirdparty/fc/CMakeLists.txt
-          mkdir -p build && cd build
-          cmake -DCMAKE_BUILD_TYPE=Release \
-                -DBUILD_SHARED_LIBRARIES=FALSE \
-                -DCHAINBASE_CHECK_LOCKING=FALSE \
-                -DBUILD_TESTNET=TRUE \
-                -DBUILD_CONSENSUS_TESTS=ON ..
-          make -j"$(nproc)" consensus_sim_tests
-
-      - name: Run the simulator
-        run: |
-          set -euo pipefail
-          cd build
-          ctest -R '^consensus_sim$' --output-on-failure

.github/workflows/tests.yml

@@ -51,8 +51,10 @@ jobs:
                 -DCHAINBASE_CHECK_LOCKING=FALSE \
                 -DBUILD_CONSENSUS_TESTS=ON ..
           # Build exactly the binaries ctest will run, so a new add_test never shows up as "Not Run".
-          TEST_BINS=$(grep -ho 'add_test(NAME [a-z_]* COMMAND [a-z_]*' \
-            ../tests/pm/CMakeLists.txt ../tests/consensus_sim/CMakeLists.txt | awk '{print $NF}')
+          # Discover the suites instead of naming them: a hardcoded list silently skipped
+          # tests/node_admin and ctest reported its only test as "Not Run".
+          TEST_CMAKE=$(find ../tests -mindepth 2 -maxdepth 2 -name CMakeLists.txt)
+          TEST_BINS=$(grep -ho 'add_test(NAME [a-z_]* COMMAND [a-z_]*' $TEST_CMAKE | awk '{print $NF}')
           make -j"$(nproc)" $TEST_BINS
 
       - name: Run tests
@@ -69,3 +71,61 @@ jobs:
           name: consensus-sim-failures
           path: tests/consensus_sim/failures/
           if-no-files-found: ignore
+
+  # Mandatory on every code PR and master push: real two-signer BFT coverage
+  # must not depend on a label. The N=1 arm also covers fork-gated PM scenarios.
+  testnet_config:
+    name: Testnet config + consensus_sim (${{ matrix.validators }} validators)
+    strategy:
+      fail-fast: false
+      matrix:
+        validators: [1, 2]
+    runs-on: ubuntu-latest
+    timeout-minutes: 120
+
+    steps:
+      - uses: actions/checkout@v6
+        with:
+          submodules: recursive
+
+      - name: Install distro Boost and build deps
+        # Runners fetch packages from azure.archive.ubuntu.com; when that mirror goes quiet
+        # apt keeps retrying it and the job hangs for hours instead of failing (seen
+        # 2026-08-19). Pin the canonical mirror, bound the wait, and cap the step.
+        timeout-minutes: 15
+        run: |
+          set -euo pipefail
+          sudo sed -i 's|azure.archive.ubuntu.com|archive.ubuntu.com|g' \
+            /etc/apt/apt-mirrors.txt /etc/apt/sources.list 2>/dev/null || true
+          apt="sudo apt-get -o Acquire::Retries=3 -o Acquire::http::Timeout=20 -o Acquire::https::Timeout=20"
+          $apt update
+          $apt install -y --no-install-recommends \
+            build-essential cmake libboost-all-dev libssl-dev \
+            libbz2-dev liblzma-dev libzstd-dev libreadline-dev \
+            libtool ncurses-dev pkg-config zlib1g-dev
+
+      - name: Configure and build the consensus simulator (testnet config)
+        run: |
+          set -euo pipefail
+          sed -i '/add_subdirectory(tests)/d' thirdparty/fc/CMakeLists.txt
+          mkdir -p build && cd build
+          multi=()
+          if [ "${{ matrix.validators }}" = "2" ]; then
+            multi=(-DCHAIN_TESTNET_VALIDATORS=2)
+          fi
+          cmake -DCMAKE_BUILD_TYPE=Release \
+                -DBUILD_SHARED_LIBRARIES=FALSE \
+                -DCHAINBASE_CHECK_LOCKING=FALSE \
+                -DBUILD_TESTNET=TRUE \
+                -DBUILD_CONSENSUS_TESTS=ON "${multi[@]}" ..
+          make -j"$(nproc)" consensus_sim_tests
+
+      - name: Run the simulator
+        run: |
+          set -euo pipefail
+          cd build
+          if [ "${{ matrix.validators }}" = "2" ]; then
+            tests/consensus_sim/consensus_sim_tests --run_test=hf16_boundary_suite --log_level=test_suite
+          else
+            ctest -R '^consensus_sim$' --output-on-failure
+          fi

@l10n/ru/docs/api/client-libraries.md

@@ -225,3 +225,7 @@ let shares = VIZ.Asset(1000.0, .vests) // "1000.000000 VESTS"
 ---
 
 См. также: [JSON-RPC API](./json-rpc.md), [CLI Wallet](./cli-wallet.md).
+
+## Совместимость с HF16
+
+JS 0.18.5 опубликован в npm и поддерживает заголовки QC/TC/двойного голосования. PHP сохраняет формат транзакций и передаёт новый JSON заголовков. Исходники Python 1.4.0 и зависимости прошли CI Python 3.10–3.14; публикация PyPI отдельная. Клиенты DAO не должны хранить фиксированный потолок 500 000 VIZ: лимит проверяет нода от текущей эмиссии. См. [HF16](../consensus/hf16.md).

@l10n/ru/docs/api/ids-and-hashes.md

@@ -0,0 +1,29 @@
+# Идентификаторы транзакций и блоков
+
+Типы идентификаторов VIZ унаследовал от Graphene (BitShares, затем Steem). В исходниках они
+объявлены как `fc::ripemd160`, и старая документация и библиотеки называют их «ripemd160 id». Это
+только имя 20-байтового контейнера, в котором они хранятся: **ни один из этих id не является
+ripemd160-хэшем.** Нода объявляет их через алиас `id160_type`, чтобы сказать это прямо.
+
+| Значение | Как вычисляется | Размер |
+|---|---|---|
+| `transaction_id` | первые 20 байт `sha256(сериализованная транзакция)`, подписи **не** входят | 20 байт |
+| `block_id` | первые 20 байт `sha224(сериализованный заголовок блока)`, затем байты 0–3 заменяются номером блока (big-endian) | 20 байт |
+| `transaction_merkle_root` | `ripemd160` от корня sha256-дерева по подписанным транзакциям | 20 байт |
+
+Merkle root — единственное значение, которое действительно ripemd160.
+
+## Что это значит для клиентов
+
+* Чтобы посчитать id транзакции, сериализуйте её **без** `signatures`, возьмите sha256 и оставьте
+  первые 20 байт. ripemd160 не применять — результат никогда не совпадёт с нодой.
+* Номер блока читается прямо из block id: это первые 4 байта, big-endian. TaPoS
+  (`ref_block_num` / `ref_block_prefix`) берёт младшие 16 бит этого номера и байты 4–7 block id.
+* Id имеют длину 20 байт во всех ответах API, в block log и в истории аккаунтов. Смена хэша (на
+  настоящий ripemd160 или на полный 32-байтовый sha256) была бы хардфорком, который делит историю на
+  два формата id, без выигрыша в безопасности: 160 бит для идентификатора достаточно, а подпись
+  ставится на полный sha256-дайджест, а не на id.
+
+Исходники: `transaction::id()` в `libraries/protocol/transaction.cpp`, `signed_block_header::id()` и
+`signed_block::calculate_merkle_root()` в `libraries/protocol/block.cpp`, типы — в
+`libraries/protocol/include/graphene/protocol/types.hpp`.

@l10n/ru/docs/consensus/block-processing.md

@@ -1,5 +1,8 @@
 # Обработка блоков
 
+> **HF16 / 4.2.0:** слот 1 секунда, QC/TC и правило 2-chain описаны в [HF16](./hf16.md). Старые описания 3 секунд и 14 подтверждений ниже относятся к прежнему режиму, а не к кворуму QC HF16.
+
+
 Внутренняя механика применения блоков, управления ожидающими транзакциями и переключения форков.
 
 ---
@@ -298,6 +301,7 @@ struct block_post_validation_message {
 ### Ограничения
 
 - В зачёт порога 2/3 идут только валидаторы из **текущего перетасованного расписания**; валидаторы вне расписания пропускаются.
+- **Один голос на раунд (правило безопасности Jolteon).** Валидатор голосует за блок раунда *r* (раунд = слот блока, `timestamp / CHAIN_BLOCK_INTERVAL`), только если *r* выше самого старшего раунда, в котором он уже голосовал. Плагин валидатора хранит этот раунд для каждого валидатора в `<data-dir>/block-vote-round.txt`, записывает его **до** отправки голоса (голос, раунд которого не удалось сохранить, не отправляется) и пишет в лог `Not voting for … already voted for … in round …`, если в том же раунде появился другой блок. В отличие от правила «одна подпись на высоту», в более позднем раунде валидатор может проголосовать за другой блок той же высоты — именно это позволяет расколу голосов разрешиться, а не застрять. Два конфликтующих сертификата кворума в одном раунде требуют валидаторов, голосующих дважды; ноды пишут такие голоса в лог как `Equivocation: …`. Повторная рассылка того же голоса разрешена.
 - Во время **аварийного консенсуса** (`emergency_consensus_active = true`) `check_block_post_validation_chain()` сразу возвращается — LIB продвигается исключительно по классическому пути, чтобы не заблокировать восстановление.
 - Список подтверждений ограничен **20 записями** (`CHAIN_MAX_BLOCK_POST_VALIDATION_COUNT`). Записи ниже текущего LIB удаляются после каждого блока.
 

@l10n/ru/docs/consensus/emergency-consensus.md

@@ -1,14 +1,14 @@
 # Режим экстренного консенсуса
 
-Режим экстренного консенсуса (введён в HF12) активируется автоматически, когда сеть простаивает в течение 1 часа. Специальный валидатор "committee" берёт на себя производство блоков для поддержания непрерывности цепочки до тех пор, пока реальные валидаторы не восстановят свои ключи подписи.
+Режим экстренного консенсуса (введён в HF12) активируется автоматически, когда сеть простаивает в течение 20 минут. Специальный валидатор "committee" берёт на себя производство блоков для поддержания непрерывности цепочки до тех пор, пока реальные валидаторы не восстановят свои ключи подписи.
 
 ---
 
 ## Ключевые константы
 
 | Константа | Значение | Значение |
 |-----------|---------|---------|
-| `CHAIN_EMERGENCY_CONSENSUS_TIMEOUT_SEC` | 3600 с | Время простоя до активации |
+| `CHAIN_EMERGENCY_CONSENSUS_TIMEOUT_SEC` | 1200 с | Время простоя до активации |
 | `CHAIN_EMERGENCY_VALIDATOR_ACCOUNT` | `"committee"` | Аккаунт экстренного производителя блоков |
 | `CHAIN_EMERGENCY_VALIDATOR_PUBLIC_KEY` | `VIZ75CR...` | Детерминированный ключ подписи для экстренного режима |
 | `CHAIN_EMERGENCY_EXIT_NORMAL_BLOCKS` | 21 | Последовательные блоки реальных валидаторов для выхода |
@@ -31,7 +31,7 @@
 1. **Ворота HF12** — пропустить, если харфорк ещё не активирован.
 2. **Уже активен** — пропустить, если экстренный режим уже включён.
 3. **LIB-блок доступен в block log** — пропустить, если LIB-блок отсутствует в block log (DLT-узлы после восстановления из снимка имеют пустой block log; отсутствие LIB-блока вычислило бы миллионы устаревших секунд и запустило бы ложный дедлок активации).
-4. **Таймаут** — вычислить `seconds_since_lib = current_block.timestamp − lib_block.timestamp`. Если `< 3600`, пропустить.
+4. **Таймаут** — вычислить `seconds_since_lib = current_block.timestamp − lib_block.timestamp`. Если `< 1200`, пропустить.
 
 Все проверки используют только временны́е метки, встроенные в блоки — никаких системных часов, никаких флагов пропуска. Это гарантирует идентичную детерминированную активацию на каждом узле, включая воспроизведения.
 

@l10n/ru/docs/consensus/fair-dpos.md

@@ -1,5 +1,8 @@
 # Консенсус Fair-DPOS
 
+> **HF16 / 4.2.0:** слот 1 секунда, QC/TC и правило 2-chain описаны в [HF16](./hf16.md). Старые описания 3 секунд и 14 подтверждений ниже относятся к прежнему режиму, а не к кворуму QC HF16.
+
+
 VIZ Ledger использует **Fair Delegated Proof of Stake (Fair-DPOS)** — расширение классического алгоритма DPoS, добавляющее контроль участия и штрафы за пропуски блоков для предотвращения получения вознаграждений без реального производства.
 
 ---
@@ -9,7 +12,7 @@ VIZ Ledger использует **Fair Delegated Proof of Stake (Fair-DPOS)** 
 В стандартном DPoS:
 - Держатели токенов голосуют за аккаунты-валидаторы (с весом, пропорциональным SHARES).
 - Валидаторы с наибольшим числом голосов планируются для производства блоков в порядке round-robin.
-- Каждые 3 секунды срабатывает один слот; запланированный валидатор либо производит блок, либо пропускает слот.
+- Каждые 3 секунды до HF16 (1 секунду после активации) срабатывает один слот; запланированный валидатор либо производит блок, либо пропускает слот.
 
 VIZ работает с **21 активным валидатором** в каждом раунде расписания.