4 Commits

Author	SHA1	Message	Date
Claude	31727a4ea0	Härda enligt revision 2: stäng schemat, ta bort dubbelregeln ... C-5. granskaHändelse itererade schemats nycklar och aldrig händelsens, så okända fält accepterades och sparades ordagrant. Två garantier vilade på motsatsen: krypto-shreddingen skyddar en fast lista av fältnamn, så personuppgifter på en vanlig observation krypterades aldrig och överlevde raderingen — och delningsfiltret är typnivå, så samma fält gick ut i kundens delningslänk. Schemat är nu stängt, med varje valfritt fält deklarerat. Det gäller även `kalla`: protokollinläsningen fungerade bara därför att schemat var öppet. Avslaget är hårt, inte en tyst strykning. Verifierat mot riktig trafik — samtliga händelser som klienten faktiskt producerar passerar. M-7. Klienten upprepar inte längre grindens regel utan anropar grinda() och visar dess egna hinder. Villkoret hade glidit isär två gånger utan att något test märkte det. Det avslöjade omedelbart ett verkligt fel i grinden: den krävde textresultat även på kontroller vars krav är foto — trots att gränssnittet märker fältet "Observation (valfritt)". Servern hade alltså nekat avslut på nästan varje riktigt ärende, och det syntes inte så länge klienten hade ett eget och mildare villkor. Evidens graderas nu efter kontrollens eget krav. M-8. Protokollinläsningen svarar med utfall per händelse i stället för en siffra, 207 vid delvis lyckad inläsning, innehållshärledda id:n i stället för klockan, och en transaktion runt hela importen. M-9. En genererad webhookhemlighet lämnas ut en gång vid skapandet. m-8. Profilens vägslagning begränsas till egna egenskaper. m-10. Ett mätvärde som kommer ur en kontroll redovisas en gång. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt	2026-08-05 18:19:11 +00:00
Claude	01189ae42a	ALVA-RULE-200: ett ärende stängs aldrig utan ett varför ... Kravet är enkelt att formulera och lätt att bygga fel. En obligatorisk fritextruta blir "klart" på tredje ärendet, och då har vi bara gjort dokumentationen långsammare utan att göra den bättre. Därför fyra frågor med olika adressat i stället för ett fält: MOTIVERING Varför följer slutsatsen av evidensen? Detta är raden som saknas i varje verkstadsprotokoll. Underlaget säger vad som mättes, slutsatsen vad som är fel — ingenting säger varför det ena medför det andra, och det är precis det steget en försäkringsbedömare granskar. UTESLUTET Vad övervägdes och varför föll det bort? ÅTGÄRDSVAL Varför denna åtgärd och inte en annan? KVARSTÅENDE Vad är fortfarande osäkert? Får vara "inget" — men aktivt. Kvalitetsgranskningen är riktad mot hur någon med bråttom faktiskt skriver: en katalog över icke-svar (klart, åtgärdat, trasig, se ovan, vet ej), minsta längd, och kravet att texten bär ett orsakssamband eller refererar konkret evidens. Den som skriver "12,4 V vid stift 14" hänvisar till en mätning utan att säga ordet — regeln får inte tvinga fram ett språkbruk som inte är teknikerns. Den regel som gör underlaget användbart för ett försäkringsbolag härleds ur loggen: en hypotes som dokumenterats och inte blivit slutsatsen MÅSTE bemötas. Utan den är en felsökning en gissning som råkade stämma. Den ärliga vägen finns: orsaken kunde inte fastställas är ett giltigt utfall, ofta mer användbart än en påhittad orsak — men varför den inte kunde det är fortfarande ett varför. Slutsatsen är kunddelbar. Den besvarar "varför kostade det här vad det kostade" och är den enda rad en bedömare behöver. Att bygga funktionen och sedan hålla den intern vore att bygga den förgäves. I gränssnittet granskas fälten medan man skriver, inte efter Spara, och obemötta hypoteser listas — teknikern ska aldrig behöva gissa vad som fattas. Det är skillnaden mellan ett krav som respekteras och ett som kringgås. --- Typkontrollen avslöjade under arbetet en riktig bugg i mitt eget grindarbete: schemat och grinden skrevs mot antagna fältnamn i stället för mot domänmodellen. atgard_utford heter beskrivning och utford, inte text. Följden var värre än ett typfel — grinden såg utförd åtgärd som utebliven och krävde därför aldrig kundbesked eller kvalitetskontroll. Det syntes inte, eftersom testfixturerna hade samma antagande. Rättat i schema, grind och fixturer, och låst av två nya test: varje fält i schemat måste finnas i domänmodellen, och varje händelse demoärendet producerar måste passera serverns validering. Ett schema som avvisar riktig trafik är värre än inget schema. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt	2026-08-05 15:20:27 +00:00
Claude	fbc034a280	Revisionen: C-3, C-4, M-1, M-4, M-5, M-6, m-3, m-5 och m-7 åtgärdade ... C-3 · Dataskydd genom krypto-shredding. Identifierande fält krypteras med en nyckel per ärende; radering sker genom att nyckeln förstörs. Loggen förblir intakt och hashverifierbar — det som blir oåtkomligt är identifieringen, inte protokollet över vad som kontrollerades. Ett raderat ärende visar fortfarande att lufttrycket mättes till 2,4 bar klockan 08:42, bara inte längre vems bil det gällde. Vad som inte krypteras är lika viktigt: mätvärden, observationer och kontrollresultat är verksamhetsdata. Krypteras allt raderas beviset tillsammans med personuppgiften. En raderingsbegäran gäller ett fordon, inte ett ärende — men identifieraren är krypterad och går inte att söka på. Därför ett blindat index: HMAC av den normaliserade identifieraren, samma fordon ger alltid samma värde, värdet går inte att vända tillbaka utan nyckeln. Gallringsdatum sätts vid avslut utifrån ärendetypen. Ett ärende utan datum gallras aldrig — för tidig gallring går inte att ångra. C-4 · Modellanropen kan stängas av per organisation. Flaggan bärs i token så orkestern kan neka utan databasåtkomst. Metodikmotorn fungerar ensam; en verkstad som inte kan acceptera överföringen till modelleverantören kan ändå använda produkten. M-1 · Mätvärden bär vilket mätdon som användes och när det var kalibrerat. Utan spårbart instrument nedgraderas värdet från E4 till E1 — det är teknikerns observation av en siffra, inte en mätning. Kalibreringen bedöms vid mättillfället, inte i dag. Demoärendet fick kalibrerade instrument: det ska visa den praxis produkten kräver. M-4 · Läslogg. Varje skrivning loggades redan; ingen läsning gjorde det. M-5 · Återställningstest i CI. Larmet visade att backup sker, inte att den går att återställa. Testet kontrollerar det som faktiskt brukar tappas: att append-only-triggarna följde med och fortfarande biter. M-6 · Regelpaketet verifieras mot HMAC. Ogiltig signatur spärrar avslut; saknad nyckel ger granskningsläge i stället för driftavbrott — det är så säkerhetsfunktioner blir avstängda. m-3 · EXIF-borttagningen är nu avsiktlig och låst av test. Den höll av en slump, och en ändring i stil med "bevara originalkvaliteten" hade tyst börjat publicera var kundens bil stod. m-5 · SBOM och sårbarhetsskanning i CI. m-7 · Promptversionen binds till varje svar. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt	2026-08-05 13:44:37 +00:00
Claude	e73decd3f5	Revisionen: C-1, C-2, M-2, M-3, m-1 och m-2 åtgärdade ... De fyra fynd som underminerade bevisvärdet sitter i samma kodväg och åtgärdas därför tillsammans. C-1 · Härkomsten sätts av servern. anvandare kommer ur den verifierade token och tidpunkt ur serverns klocka. Klientens tidsstämpel kastas inte — vid offline-arbete är den det enda som finns — utan bevaras som registrerad_tidpunkt bredvid mottagningstiden, så glappet blir synligt i stället för osynligt. C-2 · Kvalitetsgrinden flyttad till services/gemensam/grind.mjs och utvärderas nu på servern vid arende_avslutat. Ett avslut som inte passerar får 409 med de faktiska hindren. Metodikdatan flyttades till services/gemensam/metodiker.mjs och klientens metodiker.ts är en typad återexport, så det finns fortfarande exakt en sanning. M-2 · Högvoltsspärren är ett hinder. Ett nekande svar på behörighets- eller spänningsfrihetsfrågan stoppar metodiken i stället för att räknas som besvarad, och spärrar avslutet på servern. Ett obesvarat säkerhetskrav spärrar också — tystnad är inte ett ja. Reglerna ligger i data så nästa farliga metodik bara behöver en rad. M-3 · Händelser valideras mot schema före skrivning. Loggen är append-only, så en felaktig post kan aldrig rättas — kontrollen måste ske innan, efteråt är det för sent för alltid. Okänd typ avvisas. m-1 · Delningskoden använder förkastningsurval i stället för modulo. m-2 · Id-kollisioner räknas i stället för att passera tyst. 21 nya tester låser varje regel. Ett skräddarsytt test kräver dessutom att varje typ i händelseschemat är klassificerad i delningslistan — en ny typ kan alltså varken läcka eller tappas bort. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt	2026-08-05 13:32:00 +00:00