- Écriture avant acquittement
- Le boîtier n'est acquitté qu'une fois le lot synchronisé sur disque. Un crash entre les deux fait perdre l'acquittement, pas la donnée : le boîtier réémet et l'ingestion dédoublonne. Cet ordre est protégé par un test de non-régression qui échoue s'il est un jour inversé.
- Ingestion idempotente
- Dédoublonnage sur (boîtier, horodatage enregistré). La livraison au moins une fois est le contrat de transport ; la comptabilité exactement une fois est le comportement observable.
- Régénération par véhicule-jour
- Le moteur recalcule une journée entière au lieu d'y ajouter, si bien que les données tardives et les reprises affinent une seule ligne. Deux exécutions produisent un rapport identique.
- File d'attente bornée et sûre au crash
- Les segments tournent à une taille limite et ne sont supprimés qu'une fois chaque octet transmis. La rotation ne fait que créer ou supprimer des fichiers entiers : un crash en pleine rotation se rattrape à partir d'un simple listage de répertoire, sans manifeste à corrompre.
- Isolation des lots empoisonnés
- Un lot qui ne pourra jamais être décodé est mis en quarantaine avec ses octets d'origine, le motif et un horodatage, et la file derrière lui continue de s'écouler. Rien ne disparaît en silence ; un humain inspecte et resoumet.
- Durcissement de l'écoute
- TLS et contrôle d'admission par source, en échec fermé sur configuration partielle — configurez-en la moitié et l'écoute refuse de démarrer plutôt que de servir discrètement en clair. Le provisionnement des boîtiers reste une liste blanche d'IMEI, puisque le protocole n'authentifie que par IMEI.