Les terminaux opaques deviennent des actifs déterministes.

Une compromission aux couches applicative ou runtime remonte comme déviation signée. La compromission au niveau kernel est traitée comme défaillance de trust plateforme dans le threat model — les symptômes runtime observables peuvent être déclarés dans le trust basis, mais le kernel lui-même est out-of-scope by design.

Les enregistrements s'accumulent localement pendant les zones cellulaires mortes. Le ledger se déroule dans l'ordre à la reconnexion.

Chaque terminal ancre une identité vérifiable à la première activation. L'ambiguïté de provisioning s'arrête à la frontière de la flotte.

Signature adossée au TEE quand disponible ; le trust basis est déclaré explicitement dans chaque enregistrement.

L'état per-transaction vérifiable débloque des services à plus forte valeur — MCA, banque distribuée, opérations d'agent.