Deux portes pour entrer, aucune pour sortir

L'organisation se composait dans un seul sens. L'invitation et l'ouverture de
compte sur place y faisaient entrer ; rien n'en sortait, et aucun rôle ne se
changeait après coup. Un compte entré y restait, au rôle qu'on lui avait
donné. Pour un outil de crise c'est franc : quelqu'un quitte l'entreprise et
son compte garde l'accès aux crises réelles, à leur main courante et à leur
dossier de préparation.

Le même trou existait un cran plus bas. « cellule.membre_retire » était
déclaré, projeté, rejoué — et pas une ligne du produit ne l'émettait. On
entrait en cellule sans en sortir, si bien qu'une composition ne pouvait que
grandir. C'est cette liste qu'on regarde pour savoir à qui confier une action :
gonflée de gens partis, elle la fait confier à quelqu'un qui ne répondra pas.

── Trois décisions qui méritent d'être dites

Les sessions ne sont pas révoquées au retrait. Un compte peut appartenir à
plusieurs organisations, et le déconnecter partout pour un départ d'ici serait
une conséquence qu'on n'a pas demandée. L'accès tombe quand même à la requête
suivante : chaque garde relit le rôle en base, il n'existe aucun cache.

Le retrait referme les cellules des crises ouvertes. Sans cela la composition
afficherait encore quelqu'un qui ne peut plus entrer.

Le journal ne bouge pas. Ce que la personne a consigné reste, à son nom. Un
journal qu'on nettoierait au départ des gens ne vaudrait plus rien le jour où
l'on cherche qui a décidé quoi.

── Ce qu'on ne peut pas faire

Retirer ou rétrograder le dernier propriétaire. Une organisation sans
propriétaire n'a plus personne pour inviter, brancher un canal ni fermer un
agent : elle est vivante et ingouvernable, et seule la console d'instance peut
la rattraper. C'est un état dans lequel on se met d'un clic, en fin de
réorganisation.

Sortir quelqu'un d'une cellule n'est pas le sortir de la crise : il reste
membre de l'organisation et garde l'accès. Confondre les deux coûterait une
crise entière à quelqu'un qu'on voulait seulement déplacer.

── Ce que l'injection a appris

Quatre pannes jouées ensemble n'en ont fait rougir qu'une : la première
faussait le scénario des suivantes. Jouées séparément, trois sur quatre étaient
bien attrapées.

La quatrième ne l'était pas du tout. Rien n'affirmait que la ligne de cellule
est gardée et datée plutôt que supprimée — le contrôle de rembobinage lit le
journal, que la suppression laisse intact, et celui de composition cherche
« retire_at is null », que satisfait aussi une ligne absente. On aurait eu une
projection amnésique sous un journal complet, ce qui est la pire des deux
moitiés. Le contrôle manquant est écrit, et prouvé rouge.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>