IMCORTEX™ ΔIMC

Vecteur d’état complet du système à l’instant t. Comprend l’état de chaque domaine seL4 (TCB et hors-TCB), les valeurs des capteurs qualifiés, et le statut de chaque composant.

Formel : S_t ∈ 𝒮 où 𝒮 = Dom_TCB × Dom_hors-TCB × Sensors × Status
Transition : S_t+1 = δ(S_t, A_t) avec δ déterministe (seed contrôlé, divergence inter-run = 0)

Mesure d’incertitude formalisée, propagée dans chaque branche d’exploration. Ce n’est pas un score de confiance statistique — c’est une borne calculée et vérifiable sur la qualité de l’information disponible.

Formel : U_t ∈ [0, 1] avec seuil critique U_max
Condition : Si U_t > U_max → basculement mode conservateur
Propagation : U_t = h(U_t-1, qualité_capteurs, âge_données)

Ensemble des invariants physiques vérifiés en temps réel. Bornes thermiques, limites structurelles, stabilité dynamique, seuils opérationnels. Toute violation déclenche un basculement immédiat.

Formel : C_t = { c₁, …, c_n } avec c_i : 𝒮 → {vrai, faux}
Invariant : ∀i, c_i(S_t) = vrai — sinon A_t = A_conservateur
Vérification : 1 600 exécutions chaos, 0 NaN, 0 Inf, 100% fail-safe

Budget computationnel et énergétique disponible. Le calcul n’est pas gratuit — chaque exploration, chaque évaluation a un coût. La frugalité n’est pas une optimisation : c’est une contrainte gouvernée.

Formel : E_t ∈ ℝ⁺ avec E_t ≥ E_min (seuil de survie)
Condition : Si E_t < E_critique → réduction du calcul, extinction sous-systèmes non essentiels
Monotonie : Le budget décroît de manière contrôlée — drift énergétique borné

Politique décisionnelle active. Règles RBAC/ABAC, cadre mission, règles d’engagement, périmètre d’action autorisé. Aucune action ne s’exécute sans passage par le point décisionnel unique.

Formel : G_t : (S_t, A_candidat) → {autorisé, refusé, différé}
Non-bypass : ∀ action, ¬∃ chemin(action) sans G_t — prouvé NBC-1→NBC-8
Préservation : G_t+1 hérite de G_t sauf transition politique explicite (I11)

L’action résultante n’est jamais libre. Elle est le produit des cinq variables et ne peut exister que si toutes les conditions sont satisfaites simultanément. L’inaction est une sortie valide.

Formel : A_t ∈ {action_autorisée, refus, mode_conservateur, arrêt}
Condition nécessaire : A_t ≠ refus ⟺ G_t = autorisé ∧ ∀c_i(S_t) ∧ U_t ≤ U_max ∧ E_t ≥ E_min
Traçabilité : Chaque A_t journalisée PRISM™ — append-only prouvé (I5-I7)

Violation d’invariant :
∃ c_i tel que c_i(S_t) = faux
→ CircuitBreaker™ déclenche le fail-safe
→ A_t = A_conservateur (non-action ou repli sûr)

Incertitude excessive :
U_t > U_max
→ Décision différée ou refusée
→ PRISM™ journalise le refus avec justification

Budget épuisé :
E_t < E_critique
→ EcoFlux™ réduit le périmètre de calcul
→ Maintien du noyau décisionnel minimal

Hors cadre politique :
G_t(S_t, A_candidat) = refusé
→ CERBÈRE™ bloque l’action
→ OMEGA™ émet un refus tracé

P1 · Déterminisme : Mêmes entrées (S_t, U_t, C_t, E_t, G_t) → même A_t. Seed contrôlé, hash d’état stable, divergence inter-run = 0. Rejouabilité complète garantie.

P2 · Non-bypass : Il n’existe aucun chemin d’exécution qui contourne G_t. Prouvé formellement : NBC-1→NBC-8 (8 lemmes Isabelle/HOL, Qed). Même un composant compromis ne peut pas forcer une décision.

P3 · Fail-closed : En cas de doute, le système ne fait rien. L’absence de décision est une décision valide (A_t = refus). M00 fail-closed gate — I4 prouvé.

P4 · Traçabilité totale : Chaque évaluation de f() est journalisée dans PRISM™ : (S_t, U_t, C_t, E_t, G_t, A_t, timestamp, hash). Append-only prouvé — I5, I6, I7, I8.