Priorité 10
Première tentative. Une cellule drainée répond 503 Cell Draining avec Retry-After: 5.
Invariant:carrier contracté propriétaireA puis B pour les nouveaux appelsaucune migration activeredirections SIP interdites
Modes de panne par domaine
Le comportement attendu est explicite; « non prouvé » signifie qu’aucune reprise transparente ne doit être annoncée.
| Panne | Comportement borné | Impact | Preuve / limite |
|---|---|---|---|
| Drain ou absence de réponse A | Le carrier contracté tente A puis B pour le nouvel appel | Un dialogue établi reste sur sa cellule; perte physique de celle-ci peut le couper | Contrat et modèle fermé local; aucun chaos A/B, carrier ou PSTN réel |
| RTPEngine indisponible | Nouvelle admission refusée fail-closed | Pas de média non ancré accepté | Refus ciblé en lab; continuité d’un appel actif non qualifiée |
| Asterisk ou bridge perdu | Fin de session locale, cause technique et nettoyage | Appel actif perdu | Nettoyage local ciblé; aucune reprise cross-cell |
| Media WS / worker perdu | Génération annulée, aucun ACK courant et aucun commit | Bot retiré ou handoff humain | Flush/cleanup local prouvés; reprise transparente absente |
| STT indisponible | Le bot ne fabrique pas de transcript; repli humain | Conversation IA suspendue, téléphonie maintenue | Contrat cible; STT streaming souverain E2E absent |
| LLM indisponible ou invalide | Réponse sûre déterministe ou handoff | Naturalité réduite, protocole critique conservé | Code/contrats partiels, aucun SLO modèle cloud |
| TTS ou ACK timeout | Tour préparé non commité; retry borné ou humain | Silence ou repli, jamais progression fictive | Contrats d’autorité; audition humaine non prouvée |
| VoiceBot absent | Navy Phone conserve PBX, file, SVI et agent humain | Fonctions de crise indisponibles, appel maintenu | Frontière produit décidée; scénario cloud non exercé |
| PostgreSQL / CAS indisponible | Aucun commit décisionnel; admission ou action sensible fermée | État conversationnel non avancé | Cible; aucune base cloud ni bascule DB |
Contrat de failover des nouveaux appels
Le carrier contracté possède la sélection. Navy Phone publie deux cibles directes; aucun service central ne suit une redirection SIP.
503 ou timeout
Le modèle avance immédiatement sur 503, ou à 4 s sans réponse; toute observation de timeout anticipée est refusée.
Priorité 20
Seconde et dernière cible; deux échecs ferment le nouvel appel sans route inventée.
Hold-down 30 s
La cible fautive est supprimée temporairement; des résultats concurrents ne raccourcissent jamais la borne. Ce comportement n’est pas prouvé chez un opérateur.
Jamais déplacé
Il reste attaché à sa cellule. Une redirection 302 est terminale et ne crée aucune cible; les redirections SIP sont interdites.
Le lab est un modèle local fermé, content-free, sans carrier, PSTN ni action externe. Son niveau de preuve et les blockers sont dans Preuves et risques; la santé locale est dans Opérations.
Reprise des données et preuves
Les objectifs existent comme politiques; aucune restauration souveraine n’est une preuve acquise.
| État | Autorité | Reprise cible | Statut réel |
|---|---|---|---|
| Sessions et configuration | PostgreSQL cible, tenant-scoped | Backup chiffré séparé, RPO/RTO, restauration synthétique vérifiée | Schémas et policy; aucune base ou restauration cloud |
| Enregistrements autorisés | Coffre objet conformité | Versioning, SSE-KMS, rétention approuvée et cleanup synthétique fail-safe | Module et recette; aucun bucket ni recette réelle |
| Audit Navy / VoiceBot | Ledgers séparés et corrélés | Append-only, scellement, réplication et export contrôlé | Contrats/code partiels; aucun registre immuable |
| Preuves de promotion | Release assurance | Artefact immuable par commit/digest/gate/approbateur | Enveloppes locales content-free; aucune attestation externe |
Gates de résilience ouvertes
Ces preuves sont nécessaires avant toute promesse de disponibilité.
Recette A/B réelle
Sur IP publiques: provoquer séparément 503, absence de réponse et récupération; mesurer l’ordre A puis B, le délai, TLS/SRTP, hold-down et absence de migration.
Chaos A/B
Perte Instance, zone, réseau, RTPEngine et PBX avec appels actifs mesurés.
Restauration
RPO/RTO, corruption, séparation backup, RLS et preuve approuvée.
Capacité et faux positifs
CPS/burst carrier, 25 à 500 appels, pike qualifié et alertes sans flapping.