1. Carrier
INVITE SIP mTLS 5061 vers A ou B, DID E.164 et média RTP/SRTP borné.
Invariant:audio envoyé ≠ audio entendu ≠ tour commitéle socle Navy Phone ne dépend pas du VoiceBot
Séquence nominale
Chaque transition conserve un identifiant d’appel et, pour le produit conversationnel, un identifiant de session et de tour préparé.
2. Cellule
Kamailio admet le peer/DID, RTPEngine réécrit le SDP, Asterisk entre en Stasis.
3. Contrôle
ARI TLS et Media WS 8089 pilotent bridge, contexte, playback, file ou humain.
4. Conversation
STT puis VoiceBot préparent une réponse validée; TTS revient par contrat Navy Phone.
5. ACK / commit
Le playback corrélé autorise l’ACK. VoiceBot commite ensuite le tour préparé.
Contrats de la séquence
Les frontières sont explicites pour éviter un lien caché entre PBX, conversation et persistance.
| Étape | Autorité | Sortie | Échec / repli | Preuve |
|---|---|---|---|---|
| Carrier | Peer mTLS, CIDR et DID | INVITE 5061 vers A/B | Autre cible pour nouveaux appels | Externe, absent |
| Edge SIP/RTP | Kamailio + RTPEngine | SIP loopback 5062 et SDP ancré | Fail-closed, actif perdu | Appel exact-socket local; RTP bidirectionnel prouvé dans un autre lab |
| Asterisk / ARI | PBX et Stasis | Bridge + contrôle 8089 | Aucune reprise transparente | TLS 127.0.0.1:5062 + cycle Stasis local |
| Média Navy | Génération, VAD, playback | PCM et contexte | Purge/handoff | Code; serveur Media WS non intégré |
| STT | Final validé langue/re-décodage | Texte corrélé | Retirer bot | Code/benchmarks |
| VoiceBot | Session/protocole | Prepared-turn | File/SVI/humain | Contrats produit |
| LLM | Proposition uniquement | Texte candidat | Réponse déterministe | Modèle non production |
| Garde | Décision critique | Autoriser/corriger/refuser | Fail-closed/handoff | Code/contrat |
| TTS | Navy Phone | Frames corrélées | Timeout, aucun commit | Endpoint à qualifier |
| Transport / ACK | Mark courant | Preuve transport | ACK ancien invalidé | Transport ≠ audition |
| Ledger / CAS | Révision courante | Commit durable | Conflit = aucun commit | Contrats/tests |
Décomposer la cellule: admission et dialogue SIP, puis SDP, SRTP et transport applicatif.
Interruption et barge-in
L’annulation se propage jusqu’au tour produit. Continuer avec la question suivante serait une violation conversationnelle.
L’appelant interrompt
- Le VAD détecte la parole pendant le playback.
- Navy Phone stoppe et purge l’audio obsolète.
- AbortSignal annule STT/LLM/TTS encore actifs.
- L’ancien token ACK devient invalide.
- Le nouveau tour réévalue « attends », une correction ou un nouvel ordre.
- Le bot répond, attend ou transfère sans commiter le tour interrompu.
États impossibles
- Audio ancien rejoué après interruption.
- ACK d’un playback annulé accepté.
- Tour préparé marqué livré sans preuve corrélée.
- Question suivante posée malgré une commande d’attente.
- Handoff bloqué parce que VoiceBot est en panne.
- Audit Navy Phone fusionné avec l’audit décisionnel VoiceBot.
Modes dégradés
La téléphonie doit rester utile même si la couche conversationnelle ou ses modèles ne répondent plus.
Appel actif à risque
Pas de migration RTP en cours. Le carrier doit envoyer seulement les nouveaux appels à la cellule survivante.
Phrase sûre puis humain
Timeout borné, message bref et transfert. Aucun texte inventé ni boucle de retry audible.
Socle maintenu
Navy Phone conserve file, appel, WebRTC et handoff. Le produit conversationnel est optionnel.
Admission fermée
Un appel établi peut être drainé, mais de nouveaux engagements critiques sont refusés sans ledger fiable.
Final-only, non streaming production
Silence proche de 900 ms, double ffmpeg et upload complet. Le streaming reste shadow; ces limites ne doivent pas être confondues avec le chemin edge cible.