Ce que vous voyez
Une reprise incomplète peut aggraver la panne; la mise en service reste interdite.
État d’avancement:Reprise locale testéefiche de référencemise en service interdite pour l’instantÉtat réel:Lab strict v2 localpage d’autorité composantpromotion NO-GO
Choisissez votre lectureCommencez par la vue sans jargon si vous découvrez le sujet.
À qui s’adresse chaque lecture?
Je veux comprendre: direction, équipes métier, communication, achats et première visite. Exploitation: opérateur, support et astreinte. Vue architecte: architecte, ingénieur et sécurité. Tout afficher: revue complète de la fiche.
« Je veux comprendre » affiché. Ce choix sera repris sur les autres fiches. La décision de mise en service et les risques restent toujours visibles.
Comprendre cette fonction en 60 secondes
Le résumé donne le rôle, le trajet, le risque, le responsable et la limite de preuve en moins d’une minute. Les dépendances et exemples restent disponibles juste après, sans jargon imposé.
Résumé essentiel
Ce que c’est et à quoi cela sert
Restaurer la base locale sans toucher à la vraie.
Tester une restauration isolée avec retour arrière, sans toucher aux vraies données.
Une comparaison utile
Comme un exercice dans un espace vide: vérifier sans risquer le vrai service.
Ce qui entre
Une sauvegarde doit être vérifiée après une panne simulée.
Qui en bénéficie et quel résultat attendre
Une copie cohérente est restaurée sans modifier la production.
Les équipes qui utilisent ou contrôlent ces données.
État actuel
Reprise locale testée. Le mécanisme strict v2 a réussi 29 scénarios locaux dans un espace isolé. Aucune archive de production, aucun objectif de délai ou de perte et aucun retour du service réel ne sont prouvés. Mise en service interdite pour l’instant.
Risque principal
Une reprise incomplète peut aggraver la panne; la mise en service reste interdite.
Responsable
Responsable de la reprise des données locales. Autorité de décision: Responsable exploitation des données.
Décision suivante
Autoriser un exercice réel seulement après validation de l’isolation, du retour arrière et des objectifs de reprise.
Voir les dépendances, preuves et solutions de secours
Ce qui entre, en langage courant
Une sauvegarde doit être vérifiée après une panne simulée.
Ce dont il dépend
Des services autorisés à écrire, des règles de conservation et d’une restauration préparée.
Comment le service continue
Les écritures concernées sont arrêtées. L’équipe données applique la procédure de restauration approuvée, sans correction improvisée.
Preuve attendue avant la prochaine étape
Archive v2, contrôles d’intégrité, 29 scénarios locaux hostiles, onze contrôles de cohérence, zéro volume de production touché et verdict NO-GO.
Statut expliqué
Le laboratoire strict v2 réussit 29 scénarios locaux et ne touche aucun volume de production. Il ne prouve pas qu’un service réel peut être restauré dans le délai attendu. Il faut approuver la perte et le délai maximums, exercer une archive de production non destructive, coordonner la maintenance, redémarrer l’application et vérifier un appel sans exposer de données.
Exemple concret
Une sauvegarde doit être vérifiée après une panne simulée. Une copie cohérente est restaurée sans modifier la production.
Voir l’exemple technique précis
Vingt-neuf scénarios couvrent les parcours v2, les archives hostiles, les rollbacks, les reprises après crash, les limites de taille et la concurrence.
Voir les questions et réponses selon votre rôle
Les six lectures ci-dessous reprennent les mêmes faits. Elles ne créent pas une seconde source de vérité.
- Direction
- Question: Peut-on compter sur cette fonction aujourd’hui?
Réponse: Le laboratoire strict v2 réussit 29 scénarios locaux et ne touche aucun volume de production. Il ne prouve pas qu’un service réel peut être restauré dans le délai attendu. Autoriser un exercice réel seulement après validation de l’isolation, du retour arrière et des objectifs de reprise. - Métier
- Question: Quel service rend-elle concrètement?
Réponse: Tester une restauration isolée avec retour arrière, sans toucher aux vraies données. Une copie cohérente est restaurée sans modifier la production. - Achats et conformité
- Question: De quoi dépend l’engagement et qu’est-ce qui manque?
Réponse: Des services autorisés à écrire, des règles de conservation et d’une restauration préparée. Il faut approuver la perte et le délai maximums, exercer une archive de production non destructive, coordonner la maintenance, redémarrer l’application et vérifier un appel sans exposer de données. Preuve attendue: Archive v2, contrôles d’intégrité, 29 scénarios locaux hostiles, onze contrôles de cohérence, zéro volume de production touché et verdict NO-GO. - Communication
- Question: Que peut-on annoncer sans faire de fausse promesse?
Réponse: Vous pouvez expliquer l’objectif suivant: Tester une restauration isolée avec retour arrière, sans toucher aux vraies données. Ne présentez pas cette fonction comme disponible en production: Le laboratoire strict v2 réussit 29 scénarios locaux et ne touche aucun volume de production. Il ne prouve pas qu’un service réel peut être restauré dans le délai attendu. - Exploitation
- Question: Qui agit et quel est le premier geste sans risque?
Réponse: Responsable de la reprise des données locales. Autorité de décision: Responsable exploitation des données. Arrêter les nouvelles écritures concernées, protéger l’état existant et prévenir l’équipe données. - Technique
- Question: Où sont les contrats exacts?
Réponse: Utilisez la « Vue architecte ». Elle montre les entrées, les sorties, les interfaces, les données, la sécurité et les preuves provenant de la fiche d’autorité.
Trajet simple, de la situation au résultat
Le trajet montre ce qui déclenche cette fonction, le service qu’elle rend et le résultat obtenu. Il reste lisible sans fonction interactive.
Suivre le flux
Partie documentée: Restaurer la base locale sans toucher à la vraie.
Comment lire ce trajet: avancez avec les flèches du clavier ou sélectionnez une étape. Les contrats exacts restent dans la « Vue architecte ».
Étape 1 sur 5: Le laboratoire fabrique des données synthétiques et une cible isolée; il ne monte aucun volume de production.
Impact utile: Une copie cohérente est restaurée sans modifier la production.
En cas de panne: Une reprise incomplète peut aggraver la panne; la mise en service reste interdite.
Responsable: Responsable de la reprise des données locales. Autorité de décision: Responsable exploitation des données.
Premiers gestes en cas de problème
Reconnaître ce qui se passe, protéger le service et prévenir le bon responsable sans improviser.
Première action sans risque
Arrêter les nouvelles écritures concernées, protéger l’état existant et prévenir l’équipe données.
Solution de secours
Les écritures concernées sont arrêtées. L’équipe données applique la procédure de restauration approuvée, sans correction improvisée.
Qui prévenir et où lire les preuves
Responsable de la reprise des données locales. Autorité de décision: Responsable exploitation des données. La procédure de production reste à créer et valider avant la mise en service. Ouvrir la fiche d’architecture et de preuve du domaine.
Besoin d’un terme technique? Ouvrir les définitions
- navy.db
- base SQLite locale
- age
- outil de chiffrement de fichiers
- RPO
- perte de données maximale admise
- RTO
- délai maximal de reprise
- PITR
- restauration à un instant choisi
Décision actuelle: mise en service interdite pour l’instant. Le laboratoire strict v2 réussit 29 scénarios locaux et ne touche aucun volume de production. Il ne prouve pas qu’un service réel peut être restauré dans le délai attendu. Ce qui reste à faire: Il faut approuver la perte et le délai maximums, exercer une archive de production non destructive, coordonner la maintenance, redémarrer l’application et vérifier un appel sans exposer de données.Décision actuelle: promotion NO-GO, pas de mise en production. Le vérificateur ferme 12 sources au digest 455ad550159ffabb9a7f56ed3253a95f1ce1b90d423f06e1cd0b9f714c5623c4. Le lab exige 29 scénarios, une archive v2, onze contrôles de cohérence métier, trois points de rollback journalisé, trois reprises après crash, une reprise vers cible vide, des bornes de taille et un refus de concurrence. Le daemon Docker doit être un socket Unix local attesté et son fingerprint est revérifié avant chaque opération. Le scénario ajouté tue le processus pendant l’initialisation du journal: abandon sûr, puis nouvelle tentative réussie. Le rapport n’est émis qu’après suppression effective des conteneurs, volumes, image et espace de travail. Le réseau runtime est none, aucun volume de production, PSTN ou cloud n’est touché. Verdict production NO-GO. Blockers: Archive de production, stockage hors site verrouillé, coupure cohérente base/enregistrements, PITR, RPO/RTO, redémarrage applicatif, appel de contrôle, image de reprise attestée et verrou de maintenance global restent à prouver.
Opérer le composant
Responsabilité, séquence nominale, panne et niveau de service attendu.
| Owner et rôle | Séquence nominale | Mode dégradé | Observabilité et SLO |
|---|---|---|---|
| Éprouve sauvegarde et restauration transactionnelle sans toucher la production. Owner reprise des données locales. Non-rôle: Ne restaure aucune archive de production et ne prouve ni RPO/RTO, ni PITR, ni redémarrage applicatif ou appel synthétique. | Vingt-neuf scénarios couvrent les parcours v2, les archives hostiles, les rollbacks, les reprises après crash, les limites de taille et la concurrence. | Rollback, crash recovery, cible vide, tailles et concurrence; SIGKILL pendant l’initialisation du journal entraîne abandon sûr puis retry réussi. | Le niveau de preuve est Lab strict v2 local. Aucun SLO de production n’est acquis; l’owner doit mesurer disponibilité, erreurs, saturation et reprise avant promotion. |
Déplier ou replier les détails d’architecture
Contrat d’architecture
Entrées, sorties, protocoles, données, dépendances et configuration.
| Amont et entrées | Aval et sorties | Interfaces et trust boundary | État, données et déploiement |
|---|---|---|---|
| Copie contrôlée de navy.db, éventuels enregistrements, archive v2, sidecar SHA-256 et identité age de test. | Cible locale isolée vérifiée, rapport sans contenu sensible et décision de promotion NO-GO. | Archive v2, manifeste fermé, SHA-256, chiffrement age et runtime Docker avec réseau none. | 12 sources fermées au digest 455ad550…623c4; 29 scénarios locaux et onze contrôles de cohérence métier.Déploiement: Laboratoire Docker local isolé uniquement; aucune archive ou cible de production n’est exercée. |
Déplier ou replier les détails de sécurité et de preuve
Sécurité, preuve et décision
Le statut de preuve reste visible quel que soit le profil choisi.
| Sécurité et identité | Preuve et sources | Blockers | Définitions |
|---|---|---|---|
Archive v2, manifeste fermé, SHA-256, chiffrement age et runtime Docker avec réseau none. | Niveau de preuve: Le vérificateur ferme 12 sources au digest 455ad550159ffabb9a7f56ed3253a95f1ce1b90d423f06e1cd0b9f714c5623c4. Le lab exige 29 scénarios, une archive v2, onze contrôles de cohérence métier, trois points de rollback journalisé, trois reprises après crash, une reprise vers cible vide, des bornes de taille et un refus de concurrence. Le daemon Docker doit être un socket Unix local attesté et son fingerprint est revérifié avant chaque opération. Le scénario ajouté tue le processus pendant l’initialisation du journal: abandon sûr, puis nouvelle tentative réussie. Le rapport n’est émis qu’après suppression effective des conteneurs, volumes, image et espace de travail. Le réseau runtime est none, aucun volume de production, PSTN ou cloud n’est touché. Verdict production NO-GO. Daemon Docker Unix local attesté et revérifié avant chaque opération. Le rapport suit la suppression effective conteneurs, volumes, image et workspace. Zéro volume production, cloud ou PSTN touché. Aucune archive production, PITR, RPO/RTO, application ou appel de contrôle. NO-GO. Vue d’autorité du domaine · Entrée du catalogue | NO-GO: Archive de production, stockage hors site verrouillé, coupure cohérente base/enregistrements, PITR, RPO/RTO, redémarrage applicatif, appel de contrôle, image de reprise attestée et verrou de maintenance global restent à prouver. | Consulter les définitions de cette fiche |