3aca674a78
앞선 감사 네 번은 "이 코드가 제대로 도는가"를 물었다. 이번엔 작업자·노조·안전관리자·
공장장·설치기사 5인 관점으로 3단논법을 세우고 전제를 코드로 확인한 뒤 반문으로 깼다.
5인 중 2인의 논증이 완전히, 2인이 부분적으로 무너졌다.
읽기 감사 — 이 시스템은 쓰기를 전부 감사했다. 임계값 한 번 바꾼 것까지 해시 체인에
들어간다. 그런데 작업자 사진을 열어보는 것은 하나도 남지 않았다. 감시 시스템과 안전
시스템을 가르는 선이 정확히 거기라서, 나머지 프라이버시 설계(RAM 링버퍼 7.5초·전송 전
얼굴 블러·라이브뷰 부재)가 전부 이 한 줄이 없어서 검증 불가능한 주장에 머물러 있었다.
거부된 열람은 기록하지 않는다 — 그러면 감사 로그가 "본 사람"이 아니라 "요청한 사람"
목록이 되어 정작 누가 봤는지를 묻는 데 못 쓴다.
크론 생존 — 죽은 노드는 스스로 신고할 수 없어서 크론이 하트비트의 부재로 판정한다.
그런데 그 크론이 멈추면 아무도 판정하지 않는다. 통보·5분 확대·장치 이상 발행이 전부 그
한 프로세스에 걸려 있어서, 멈춘 순간부터 화면은 조용해지고 그 침묵은 "사고 없음"과
구별되지 않는다. 감시자의 생존은 감시자가 아닌 쪽이 읽어야 한다.
증거 보존 — 스냅샷 삭제가 나이 하나만 봤다. 기본 7일인데 중대재해 조사는 몇 주에서 몇
달이라, 우리가 내건 목적("사고 후 원인 분석")이 8일째에 스스로 사라졌다. 확인 처리로
자동 연장하지 않는 이유는 자동이면 사실상 전량 보존이 되어 7일 약속이 무너지기 때문이다.
증거 정책 — 프레임이 ergo_report 하나만 빼고 모든 이벤트에 붙었다. 체류 상한 초과도
포함이라, 밀폐공간 프리셋 기본값(30분) 기준으로 정상 작업자가 규정대로 일하는 동안
주기적으로 본인 사진이 서버로 갔다. 위험해서가 아니라 오래 있어서. 기준을 명문화했다:
시간 경과 자체가 조건인 이벤트에는 사진을 붙이지 않는다.
마이그레이션 2026-09-25-evidence-hold-and-view-audit.sql (README-UPLOAD 10번).
검증: phpunit 302 passed(신규 18, 스킵 0) · pytest(신규 18)
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01EBjuR7DW6PNNMows4KnbYU
55 lines
2.7 KiB
Python
55 lines
2.7 KiB
Python
"""사진이 붙는 이벤트와 붙지 않는 이벤트.
|
|
|
|
이 경계는 성능이나 용량 문제가 아니라 우리가 작업자에게 한 약속이다 — "정상 근무 중에는
|
|
아무것도 남지 않는다". 발화 조건이 시간 경과 하나뿐인 유형(체류 상한 초과)에 사진을 붙이면
|
|
그 약속이 거짓이 되고, 시스템은 30분 넘게 그 구역에 있었다는 이유만으로 그 사람의 사진 3장을
|
|
서버에 남긴다. 위험해서가 아니라 오래 있어서.
|
|
|
|
반대 방향도 같은 무게로 잠근다: 넘어짐에서 사진이 빠지면 사고 조사에 쓸 것이 없다.
|
|
"""
|
|
import pytest
|
|
|
|
from edge.app import NO_EVIDENCE_TYPES
|
|
from edge.events import EventType
|
|
|
|
|
|
# 사진이 사건의 증거인 유형 — 무슨 일이 일어났는지가 프레임 안에 있거나(넘어짐·협착),
|
|
# 규칙 위반 자체가 인원 수라서 프레임이 그것을 증명한다(단독작업·정원 초과).
|
|
EVIDENTIAL = [
|
|
EventType.FALL, EventType.FALL_FROM_HEIGHT, EventType.NO_MOTION, EventType.IMMOBILITY,
|
|
EventType.GHOST, EventType.NEAR_FALL, EventType.PINCH,
|
|
EventType.ZONE_WARNING, EventType.ZONE_RESTRICTED,
|
|
EventType.LONE_WORKER, EventType.OVERCAPACITY,
|
|
]
|
|
|
|
|
|
@pytest.mark.parametrize("etype", EVIDENTIAL, ids=lambda e: e.value)
|
|
def test_incident_types_carry_evidence(etype):
|
|
assert etype not in NO_EVIDENCE_TYPES, (
|
|
f"{etype.value} 에서 증거 프레임이 빠졌습니다. 사고 조사에서 볼 것이 사라집니다.")
|
|
|
|
|
|
@pytest.mark.parametrize("etype", sorted(NO_EVIDENCE_TYPES, key=lambda e: e.value),
|
|
ids=lambda e: e.value)
|
|
def test_non_incident_types_carry_no_evidence(etype):
|
|
# 목록에 든 것이 의도한 넷인지 고정한다. 새 유형을 여기 넣으려면 이 테스트를 고쳐야 하고,
|
|
# 그 순간 "왜 이 유형은 사진이 필요 없는가"를 한 번 더 답하게 된다.
|
|
assert etype in {
|
|
EventType.ERGO_REPORT, EventType.OVERSTAY,
|
|
EventType.DEVICE_FAULT, EventType.MONITORING_DEGRADED,
|
|
}
|
|
|
|
|
|
def test_overstay_is_excluded_because_time_alone_is_not_an_incident():
|
|
"""가장 중요한 한 줄 — 되돌리면 감시 시스템이 된다.
|
|
|
|
체류 상한 초과는 사람이 구역에 머무른 시간만으로 발화한다. 프리셋 기본값은 밀폐공간
|
|
30분·화기작업 60분이라, 사진을 붙이면 정상 작업자가 규정대로 일하는 동안 주기적으로
|
|
본인 사진이 서버로 가는 시스템이 된다.
|
|
"""
|
|
assert EventType.OVERSTAY in NO_EVIDENCE_TYPES
|
|
|
|
|
|
def test_the_exclusion_list_stays_small():
|
|
# 이 목록이 길어지고 있다면 경계가 "증거냐 기록이냐"에서 다른 무언가로 밀린 것이다.
|
|
assert len(NO_EVIDENCE_TYPES) <= 6
|