A puis B
Le carrier contracté possède la sélection: 503 ou absence de réponse à A déclenche B pour le nouvel appel. Aucun opérateur réel n’est configuré ou testé.
Invariant:fail-closedaucune migration activehandoff humainNO-GO
Modes de panne par domaine
Le comportement attendu est explicite; « non prouvé » signifie qu’aucune reprise transparente ne doit être annoncée.
| Panne | Comportement borné | Impact | Preuve / limite |
|---|---|---|---|
| Drain ou absence de réponse A | Le carrier contracté tente A puis B pour le nouvel appel | Un dialogue établi reste sur sa cellule; perte physique de celle-ci peut le couper | Contrat et modèle fermé local; aucun chaos A/B, carrier ou PSTN réel |
| RTPEngine indisponible | Nouvelle admission refusée fail-closed | Pas de média non ancré accepté | Refus ciblé en lab; continuité d’un appel actif non qualifiée |
| Asterisk ou bridge perdu | Fin de session locale, cause technique et nettoyage | Appel actif perdu | Nettoyage local ciblé; aucune reprise cross-cell |
| Media WS / worker perdu | Génération annulée, aucun ACK courant et aucun commit | Bot retiré ou handoff humain | Flush/cleanup local prouvés; reprise transparente absente |
| STT indisponible | Le bot ne fabrique pas de transcript; repli humain | Conversation IA suspendue, téléphonie maintenue | Contrat cible; STT streaming souverain E2E absent |
| LLM indisponible ou invalide | Réponse sûre déterministe ou handoff | Naturalité réduite, protocole critique conservé | Code/contrats partiels, aucun SLO modèle cloud |
| TTS ou ACK timeout | Tour préparé non commité; retry borné ou humain | Silence ou repli, jamais progression fictive | Contrats d’autorité; audition humaine non prouvée |
| VoiceBot absent | Navy Phone conserve PBX, file, SVI et agent humain | Fonctions de crise indisponibles, appel maintenu | Frontière produit décidée; scénario cloud non exercé |
| PostgreSQL / CAS indisponible | Aucun commit décisionnel; admission ou action sensible fermée | État conversationnel non avancé | Cible; aucune base cloud ni bascule DB |
Le choix A puis B est autoritaire dans Failover carrier. La restauration est détaillée dans Reprise des données.
HA et comportement de panne
A et B sont deux domaines de panne complets sans état d’appel partagé ni bascule interne cross-cell.
Pas de migration
La perte d’une cellule peut couper ses sessions. Aucun drain ou transfert à chaud n’est prouvé.
Fail-closed exercé
La perte simulée refuse un nouvel appel en lab; aucune route RTP centrale ne contourne la cellule.
À contractualiser
Redirections SIP interdites; DNS/SRV, causes, codecs, DTMF, forks, suites de 1xx fiables, timers, SRTP et anti-fraude restent à qualifier avec le carrier.
Gates de résilience ouvertes
Ces preuves sont nécessaires avant toute promesse de disponibilité.
Recette A/B réelle
Sur IP publiques: provoquer séparément 503, absence de réponse et récupération; mesurer l’ordre A puis B, le délai, TLS/SRTP, hold-down et absence de migration.
Chaos A/B
Perte Instance, zone, réseau, RTPEngine et PBX avec appels actifs mesurés.
Restauration
RPO/RTO, corruption, séparation backup, RLS et preuve approuvée.
Capacité et faux positifs
CPS/burst carrier, 25 à 500 appels, pike qualifié et alertes sans flapping.