Architecture de référence
Tous les composants de la téléphonie Navy Phone et de l’assistant vocal optionnel, rangés par zone de confiance, avec leurs preuves et leurs limites honnêtes.Diagramme de flux technique : frontières PSTN, réseau, produit et autorité ; protocoles, ports, décideurs, replis et preuves chiffrées pour chaque composant.
Ce que cette carte montre, sans jargon, avant d’entrer dans le détail.
Navy Phone est le produit de téléphonie autonome : il achemine les appels, transporte la voix, lit les réponses et transfère vers un humain. VoiceBot Navy Crisis est un produit séparé et optionnel, branché par un contrat versionné.
Le modèle de langage propose une réponse ; la garde déterministe décide de ce qui est dit ou fait. L’humain garde le repli et la remise en service.
Un transport réseau confirmé ne prouve pas qu’une personne a entendu. Un essai local réussi ne vaut pas production.
La mise en service reste interdite. Cette carte documente du code et des essais locaux, jamais un service en production.
Les 61 fonctions du catalogue ont chacune un lien vers leur fiche. Trois repères de contexte complètent le parcours : l’appelant, le transfert humain et la décision de promotion.
Quatorze étapes, de l’appelant au transfert humain. Chaque étape mène au nœud détaillé de sa zone. Le repère violet marque la frontière de contrat entre Navy Phone et VoiceBot Navy Crisis.
Frontière PSTN : le carrier reste un tiers non prouvé.
L’appel part du téléphone d’une personne et devrait arriver chez un opérateur télécom cible qui n’est pas encore sous contrat. Le contrat visé lui confierait le numéro public et le choix de la cellule pour chaque nouvel appel. Son accord, sa résidence et son comportement réel restent à confirmer.
Cible: SIP mTLS 5061 et RTP/SRTP 10000-20000 vers deux IP publiques. Le modèle local attend 503 ou timeout 4 s avant la cellule B, avec hold-down 30 s. Ce comportement n’est pas observé chez un carrier. Aucun DID, trunk, DNS/SRV, ACL ou interopérabilité n’est provisionné.
Personne qui appelle le numéro public depuis le réseau téléphonique.
Pas de fiche dédiée. Autorité : Parcours d’un appel
Opérateur télécom cible, non encore contracté, qui publierait les numéros et acheminerait les appels entrants vers les cellules.
Frontière réseau : cellules cibles fr-par-1 et fr-par-2, inter-cellule interdit.
Deux cellules identiques, prévues dans deux zones d’hébergement parisiennes, doivent recevoir les appels. Chacune filtre le trafic, ancre la voix et fait tourner le cœur téléphonique. Aucune machine réelle n’est encore produite.
NIC public carrier, Private Network edge 8089, SSH 22 ; loopback 5062/5063, NG UDP 22222 ; nftables drop partout. Kamailio 6.0.7, RTPEngine 26.0.1.13, Asterisk 22.9.0 prouvés en essai local ; aucune image cloud construite.
Deux cellules d’hébergement identiques qui portent toute la chaîne téléphonique d’entrée.
infra/opentofu/scaleway/telephony-edge-ha/main.tf.Point d’entrée SIP de chaque cellule : il vérifie, filtre et route chaque nouvel appel.
Ancre le flux vocal de chaque appel dans sa cellule et borne les plages de ports.
Cœur téléphonique de la cellule : il gère les canaux, le bridge et le plan de numérotation.
Valide le numéro appelé et le traduit en contexte interne sans exposer la topologie.
Sépare les trois réseaux de la cellule et refuse tout trafic non prévu.
Mesure la santé de la cellule et autorise ou ferme l’admission des nouveaux appels.
Traduit la santé des cellules en politique d’admission que le carrier applique aux nouveaux appels.
Frontière edge ↔ contrôle : ARI TLS et Media WebSocket privés 8089 uniquement.
Le centre de contrôle de Navy Phone relie le cœur téléphonique aux logiciels : application web, téléphone logiciel dans le navigateur, liaison audio et détection de parole. C’est aussi lui qui prépare le transfert vers un humain.
App 3000, API HTTPS, ingress 443, signalisation WSS 4010, ARI TLS + Media WS privé 8089, TURN 3478/5349. 56 frames slin16, queue 46 → 0 ; Navy 398 fichiers / 4 147 tests sous Node 22.23.2. Le mark prouve le transport, jamais l’audition.
Porte d’entrée des clients web, des API et des téléphones logiciels.
infra/deploy/Caddyfile.Vérifie la demande de Twilio et rattache un seul flux audio au bon appel.
Application et API centrales : authentification, orchestration des appels, audit et handoff.
app/, server/ari-app.ts, lib/carrier/.Passe l’écran en lecture seule quand le navigateur ne prouve plus sa connexion au service.
/api/connectivity sans cache toutes les 20 s.Canal temps réel qui synchronise l’état d’appel entre le navigateur et la plateforme.
Téléphone logiciel dans le navigateur des agents, rattaché à un tenant.
Relais média des téléphones logiciels quand le chemin direct est impossible.
Liaison privée entre le cœur téléphonique et la session média Navy Phone.
Joue la réponse validée et exige une confirmation de transport avant de valider le tour.
MediaSessionAdapter.requestAck(): boolean ; false ou throw = échec immédiat.Choisit une suite prévue quand une destination ne décroche pas avant le délai.
Diffuse un accueil et prépare un message autorisé quand personne ne répond.
startVoicemail et capture gouvernée.Détecte la reprise de parole, annule la réponse en cours et ouvre un nouveau tour proprement.
interrupted_previous_assistant.cancelled ne ferme plus 1011 ; failed reste fail-closed.interruption_context=true.Transfert de l’appel vers une file ou un agent humain, avec résumé factuel minimal. C’est une issue sûre et réussie, jamais un échec du modèle.
Pas de fiche dédiée. Autorité : Parcours d’un appel, section handoff
Frontière produit : contrat API/SDK versionné, jamais le jeton du navigateur.
L’assistant vocal de crise est un produit séparé et optionnel. Navy Phone le joint par un contrat versionné et ne lui passe jamais le jeton du navigateur. Sans lui, la téléphonie continue de fonctionner et l’appel reste transférable à un humain.
API v1/SDK versionnée tenant-scoped, 11 routes derrière getSession, headers allowlistés dans les deux sens, corps borné 1 MiB, jamais le bearer navigateur. Token opaque, révision optimiste CAS. Produit séparé : 31 pass + 1 skipped, 344 pass + 3 skipped.
Seul point de contact entre Navy Phone et le produit VoiceBot, versionné et borné.
Gardent l’état de conversation et n’acceptent qu’un seul résultat par tour.
turn-settlement.ts.Mène la conversation : il assemble le contexte, consulte les sources et soumet chaque réponse à la garde.
Donne un indice supplémentaire au superviseur sans décider ni bloquer seule une personne.
Seule autorité de décision : elle autorise, corrige, demande, refuse ou transfère.
Recherche dans les sources approuvées et trace la provenance de chaque fait.
Frontière d’autorité : le modèle propose, la garde décide.
Les chemins locaux privés restent la cible privilégiée. Des adaptateurs vers des fournisseurs externes existent aussi, mais ils ne sont ni approuvés ni activés par cette documentation. Dans tous les cas, le modèle propose une réponse et seule la garde déterministe décide.
Runtimes locaux et endpoints souverains à verrouiller ; egress tiers explicite et refusé en mode local strict. Aucun fournisseur, modèle exact, digest, capacité, WER, TTFT, TTFA ou MOS de production n’est qualifié. Le LLM ne décide aucune action critique et n’écrit jamais le ledger.
Transcrit la voix de l’appelant en texte exploitable, avec validation de langue.
lib/ai/transcribe.ts.Propose une réponse conversationnelle à partir du contexte autorisé. Il ne décide rien.
Transforme la réponse validée en voix et attend la confirmation de lecture avant toute validation.
Socle de calcul privé et artefacts de modèles avec provenance pour les runtimes voix et IA.
Traite la parole et produit la voix près de l’application, dans une frontière privée à qualifier.
Rend visible toute sortie optionnelle de texte ou d’audio vers un service tiers.
Frontière données : les deux audits restent corrélables, jamais fusionnés.
Les bases, le coffre audio et les journaux gardent les preuves de ce qui s’est passé. Le journal téléphonique et le journal décisionnel restent corrélables par un identifiant opaque, mais jamais fusionnés.
PostgreSQL TLS privé, 5432 à confirmer, aucun accès public, bases/rôles séparés Navy/VoiceBot. Hash chain, séquence, call ID opaque; lib/audit.ts. Snapshot recovery: 126 sources au digest c25ee67a…2a27e6f et digest d’entrées 5c64e874…3d05902, 48/48 tests telephony-backup-restore dont 42 scénarios hostiles internes, et 81/81 sur quatre suites. Le reaper provider est prouvé par contrats locaux avec CLI factice; vrai Job Scaleway, perte complète du contrôleur et production restent NON PROUVÉS. Aucun RPO/RTO mesuré.
Base de données privée des deux produits, sans aucun accès public.
Coffre privé pour les enregistrements, uniquement quand une autorité l’a demandé.
Journal téléphonique en ajout seul, séparé de l’audit décisionnel VoiceBot.
lib/audit.ts.Politiques de conservation et de suppression ; aucune capture audio par défaut.
lib/recording-*.Registre qui bloque toute promotion sans preuve cohérente et décision humaine traçable.
Maintient l’admission fermée pendant la maintenance et borne le nettoyage des ressources du lab.
Frontière de souveraineté : secrets hors Git, state et image ; rien n’est déployé.
Les clés, les certificats et les accès restent à construire et à opérer. La conformité belge dépend d’autorités extérieures : sans autorisation, rien ne démarre, quel que soit l’état du code.
Secrets hors Git/state/image ; PKI, KMS, Secret Manager et attestations externes non déployés. Management sans SSH public, NTP 123 privé. Conformité : IBPT/BIPT, 112/localisation, RGPD/AIPD, lawful intercept ; absence d’autorisation = NO-GO.
Identités machine, clés de chiffrement et secrets centralisés, encore non déployés.
Autorité de certification interne, distribution des secrets et temps fiable.
Prévoit les certificats publics sans ouvrir le réseau téléphonique fermé.
Demande l’envoi des invitations et liens de compte sans confondre tentative et livraison.
Accès d’administration privé et interconnexion réseau, en deux chemins cibles.
Décisions juridiques et autorisations humaines sans lesquelles aucune exploitation n’est permise.
docs/COMPLIANCE-BE.md.Frontière de supervision : santé content-free, aucun canal humain branché.
Une chaîne de surveillance remonte la santé des cellules, étape par étape, jusqu’à une boîte de réception opérateur. Elle ne prévient encore aucun humain et ne promet aucun niveau de service.
POST mTLS 9443 vers VIP 10.72.40.50, collecteurs A 10.72.41.10 / B 10.72.42.10, receiver 9444, dispatcher 9445, gossip 9094. Runtime-lab fermé 12/12 ; deux runs GREEN identiques (47 fichiers, digest 3a4d23bd…, 81/81, 1 425 contrôles, 31 scénarios, passes=2, totalRuntimePasses=3). Aucun SLO opérationnel.
Envoie la santé locale de la cellule, sans ouvrir de port.
Adresse privée unique vers les collecteurs des deux cellules.
Reçoit les enveloppes de santé et les borne par cellule.
Mesure et évalue les règles d’alerte sur les deux collecteurs.
Groupe et notifie les alertes, en acceptant les doublons plutôt que les pertes.
Réceptionne les alertes et le signal deadman sans rien inventer.
Relais borné entre le receiver et la base des opérations.
Base append-only des événements opérateur, avec idempotence stricte.
Pousse les événements vers le sink opérateur avec rejeu borné.
Boîte de réception opérateur, transactionnelle et idempotente.
Pas de fiche globale dédiée : aucun canal humain branché ; aucun SLO opérationnel. Autorité : Observabilité et SLO
Frontière de preuve : preuve absente ou incohérente bloque la promotion.
Les outils de fabrication produisent des images et des contrôles locaux. Chaque étape de promotion exige une preuve cohérente, puis une approbation humaine ; aucune n’est encore franchie.
Packer 1.16.0, Debian snapshot, OCI digests ; OpenTofu 1.12.5 digest-pinné, 39 tests natifs mockés ; gate sécurité GREEN: 84 fichiers et 974 tests contractuels verts, 128 sources verrouillées au digest c8255d26…31c0217 et 19 sources média au digest fc741f14…d74641. Aucune ressource cloud déployée; promotion NO-GO.
Fabrique l’image immuable des cellules à partir de sources verrouillées.
Modules d’infrastructure et contrôles qui bloquent tout plan non revu ou incohérent.
Contrôle contractuel bloquant de chaque commit téléphonie et sécurité.
Conserve localement une image de reprise liée aux sources et protégée par un keeper inerte.
Conserve la trace d’une ancienne expérimentation sans la confondre avec l’architecture téléphonique actuelle.
Enchaînement des gates réglementaire, image, infrastructure, interopérabilité et expérience humaine, puis approbation humaine.
Autorités : Gates de promotion · Responsabilités
Matrice d’autorité exacte, visible dans toutes les lectures. Aucune ligne ne se déduit d’une autre.
| Acteur | Possède | Ne possède pas |
|---|---|---|
| Navy Phone | Appel, PBX, bridge, file, Media WS, VAD, barge-in, STT, TTS, playback, mark/ACK, WebRTC et handoff humain. | Ni trunk carrier, ni décisions métier VoiceBot, ni inférence LLM. |
| VoiceBot Navy Crisis | Session, prepared-turn, révision, protocoles critiques, RAG, provenance, décisions, garde déterministe, token et audit métier. | Ni l’appel, ni le média, ni le playback, ni le handoff humain. |
| Modèle de langage | Une proposition conversationnelle, rien de plus. | Aucune action critique ; n’écrit jamais le ledger ; le modèle propose, la garde décide. |
| Humain | Le repli et la remise en service. | Aucune délégation au modèle : le handoff humain est une issue sûre et réussie. |
| Autorité de chaque gate | L’acceptation ou le refus du risque dans un périmètre daté. | Aucune auto-approbation par le seul auteur de la preuve; les titulaires restent à nommer. |
| Finance et achats | Tarifs, contrats, taxes, plafond et engagement fournisseur approuvés. | Ni la preuve de capacité, ni le droit de réduire silencieusement sécurité ou continuité. |
| Carrier cible non contracté | Posséderait la sélection A puis B des nouveaux appels après contrat et recette. | Aucune migration d’appel actif ; aucune redirection SIP ne serait suivie. |
| Les deux audits | Téléphonie/média d’un côté, décisionnel de l’autre ; corrélables par call ID opaque. | Jamais fusionnés. |
Chaque scénario indique le déclencheur, la réaction sûre codée et ce qui n’est pas promis.
Invariant : fail-closed · aucune migration d’appel actif · handoff humain · NO-GO production
Le handoff humain est une issue sûre et réussie du système ; il n’est jamais présenté comme un échec du modèle. Aucune reprise transparente n’est annoncée.
Les gates G0 à G4, les preuves chiffrées et les dépendances extérieures qui conditionnent toute mise en service.
IBPT/BIPT, 112, RGPD/AIPD, approbations humaines. Aucune gate logicielle ne produit seule l’autorisation réglementaire d’opérer une téléphonie publique en Belgique.
Signature, SBOM, CVE et attestation externe manquants.
Notification unique, Prometheus réel, PKI opérée, PostgreSQL HA, charge, humain, runbook et SLO restent à prouver. Aucun SLO opérationnel.
Admission signée v1 présente en interne, mais zéro qualification terrain, aucune configuration opérateur et aucun audit réel. Production NO-GO.
Endpoint, latence, interruption, repli, qualité de voix et tests humains non opérés.
Aucune promotion sans décision humaine traçable. Les rôles redevables sont proposés, mais les titulaires restent à nommer dans Responsabilités.
Quantités, charge, tarifs contractuels, opérations humaines et coût sous panne restent à approuver. Construire un scénario transparent.
Des nombres locaux, à ne jamais lire comme des preuves de production.
Run autoritatif vert; 128 sources verrouillées au digest c8255d26…31c0217 et 19 sources média au digest fc741f14…d74641. Preuve de code/CI seulement; production NO-GO.
Sous Node 22.23.2, typecheck verts ; aucun service déployé.
Suites du produit séparé ; aucun dialogue humain ou pilote de crise.
Digests c25ee67a…2a27e6f et entrées 5c64e874…3d05902. Harnais hermétique obligatoire et trois SIGKILL causalement prouvés. Aucun P0/P1: essai payant borné GO sous conditions strictes. Inventaire Project/zone limité, exclusivité IAM hypothétique, vérificateur lexical et TOCTOU local P2. Aucun vrai Job/provider cloud, API publique, perte du contrôleur ou RPO/RTO. Production NO-GO.
Vrai Asterisk local, purge mesurée ; le mark prouve le transport, pas l’audition.
Souveraineté : endpoints IA « souverains » à figer, egress fermé, cellules cibles fr-par-1/fr-par-2 ; IAM, KMS et Secret Manager non déployés ; secrets hors Git, state et image. Conformité belge : dépendance externe ; « Absence d’autorisation = NO-GO ». Autorité : Sécurité et souveraineté.
Les quatre statuts utilisés sur cette carte et ce qu’ils ne signifient jamais.
« Logiciel présent » et « Essai local » ne signifient jamais « prêt à l’emploi » ni « production ».
Marqueurs spéciaux : « Hors plateforme » désigne un acteur extérieur au système, « Capacité Navy Phone » une capacité documentée sans fiche dédiée, et « Promotion NO-GO » un enchaînement de portes de décision non franchies.
Limites de lecture : un accusé de transport ne prouve pas l’audition ; un essai local ne vaut pas production. Mise en service interdite : code et essais locaux existent, mais aucun opérateur télécom, numéro public, appel sur le réseau téléphonique, déploiement Scaleway, bascule carrier/cloud ou engagement de service n’est prouvé.