docs(dds): уточнён публичный контракт события

- Зачем:
  - Закрепить реалистичную границу доступа BI и убрать двусмысленность для неизвестных кодов.
- Что:
  - Пояснены доступ к ODS, пояс счётчика и порядок DDL.
  - Проверка равенства строк отделена от размера конкретной загрузки.
- Проверка:
  - `git diff --check`.
  - `make config-test` не стартовал: Snap требует работающий `snapd.apparmor`.

docs/adr/0007-clickhouse-access.md

@@ -53,11 +53,13 @@
 Стенд учит не администрированию доступа, а чтению отказа в правах: человек
 должен узнать в бою картину, которую видел здесь, и понимать, чего просить.
 Отсюда критерий отбора — модель должна читаться из текста ошибки, а не из
-описания. Поэтому пользователей мало, имена у них говорящие, а `bi` отделён от
-STG и от записи. Один пользователь может сверить всю цепочку DM → DDS → ODS,
-не получая доступа к сырью и изменению данных. Справочники видны всем читателям
-и никому на запись: зона входит в хранилище сбоку, и её содержимым владеет файл
-репозитория, а не слой.
+описания. Поэтому пользователей мало, имена у них говорящие. В бою BI обычно
+читает витрины и модельный слой. ODS ему могут открыть для расследования или
+сверки. Стенд оставляет этот доступ постоянным, но сохраняет две крупные
+границы: `bi` отделён от STG и от записи. Один пользователь может сверить всю
+цепочку DM → DDS → ODS, не получая доступа к сырью и изменению данных.
+Справочники видны всем читателям и никому на запись: зона входит в хранилище
+сбоку, и её содержимым владеет файл репозитория, а не слой.
 
 Ограничить `bi` одними `_v` поверх `Distributed` можно только отдельным
 маршрутом, учётной записью или копией данных. Эта механика не даёт нового урока.
@@ -200,7 +202,7 @@ ClickHouse через MCP Context7 (#114).
 Расширение `bi_reader` проверено на живом стенде 25 августа 2026 года (#150):
 
 - `SHOW GRANTS FOR bi_reader` содержит `SELECT` на ODS, DDS и DM;
-- `bi` прочитал одинаковые 401185 строк из `ods.event_v` и `dds.event_v`;
+- `bi` прочитал одинаковое число строк из `ods.event_v` и `dds.event_v`;
 - чтение `stg.hits_raw_rep` завершилось ошибкой `ACCESS_DENIED`;
 - представление над `Distributed` с `SQL SECURITY DEFINER` на удалённой ноде
   сохранило исходного пользователя `bi`. Причина и отклонённые варианты

docs/architecture/dds/event.md

@@ -52,11 +52,15 @@
 стенда несёт число — принятое отступление: спека, раздел 1.1), контракт возвращает
 ему боевой вид.
 
-Другие коды остаются кодами. `goals_reached` — справочника целей на стенде
-нет, id и есть язык. Регионы в расшифровке не нуждаются: выгрузка несёт
-названия рядом с id (`region_city`, `region_country`), словарь ничего бы не
-раскрыл. Идея дать менти собрать справочник регионов самому ушла в лабы —
-issue #143.
+Значения `device_category` 1–4 получают имена, остальные сохраняются
+десятичной строкой. Новый код остаётся видимым, пока у него не появится имя в
+договоре.
+
+Остальные кодированные атрибуты не расшифровываются. Для `goals_reached`
+справочника целей на стенде нет, id и есть язык. Регионы в расшифровке не
+нуждаются: выгрузка несёт названия рядом с id (`region_city`,
+`region_country`), словарь ничего бы не раскрыл. Идея дать менти собрать
+справочник регионов самому ушла в лабы — issue #143.
 
 ## Что скрыто
 

docs/architecture/storage.md

@@ -497,8 +497,8 @@ SQL-файлы исполняет штатный `SQLExecuteQueryOperator`. Пр
 
 ### DDL
 
-Файлы лежат в `sql/ddl/` и применяются по порядку имён: зависимости создаются
-раньше потребителей.
+Файлы лежат в `sql/ddl/` и применяются по порядку имён: источник и цель
+создаются до представления или матвью, которые их используют.
 
 | Файл | Что в нём |
 |---|---|

sql/ddl/50-dds-views.sql

@@ -9,6 +9,9 @@
 --
 -- event_date берётся напрямую из EventDate. Пересчёт из event_time помешал бы
 -- первичному индексу отбирать день до чтения.
+--
+-- Europe/Samara задаёт пояс счётчика модельного мира. DDS отдаёт event_time
+-- в этой временной линзе.
 CREATE VIEW IF NOT EXISTS dds.event_v ON CLUSTER clickstream_cluster
 AS
 SELECT