Workloads

This is not a hypothetical. It is what one real machine looked like after a few years of use, measured rather than remembered: 74 service entries in an inventory that describes runs and creates none. A scheduling skill that promised to create, deploy and disable them, whose registry file did not exist. A calendar with eight entries, all of which had never fired. And an executor whose registry lived outside the repository, on the machine.

Das ist kein gedachtes Beispiel. So sah eine echte Maschine nach einigen Jahren Gebrauch aus, gemessen statt erinnert: 74 Diensteinträge in einem Inventar, das Läufe beschreibt und keinen anlegt. Ein Skill, der versprach anzulegen, auszurollen und abzuschalten, dessen Registry-Datei nicht existierte. Ein Kalender mit acht Einträgen, von denen keiner je gefeuert hatte. Und ein Ausführer, dessen Registry außerhalb des Repositories lag, auf der Maschine.

The missing thing was not a scheduler. Of everything running on that host, nothing recorded which runs the Bridge had created, which a person had made by hand, and which a tool had left behind. The visible consequences were eleven backup copies of one registry file in five naming schemes, a launchd.broken-<date> directory nobody had touched in months, and 1428 log files with no rotation.

Was fehlte, war kein Planer. Von allem, was auf diesem Wirt lief, hielt nichts fest, welche Läufe die Bridge angelegt hatte, welche ein Mensch von Hand und welche ein Werkzeug hinterlassen hatte. Sichtbare Folgen: elf Sicherungskopien einer Registry-Datei in fünf Namensschemata, ein Verzeichnis launchd.broken-<datum>, das seit Monaten niemand angefasst hatte, und 1428 Logdateien ohne Rotation.

Everything in the contract below except one field is the union of what already existed, scattered: the appointment comes from the calendar, the probe from the health checks, the host from the machine inventory. The one field none of the five had is owner.

Alles im Vertrag unten außer einem Feld ist die Vereinigung dessen, was verstreut schon existierte: der Termin aus dem Kalender, die Sonde aus den Gesundheitsprüfungen, der Wirt aus dem Maschineninventar. Das eine Feld, das keine der fünf Flächen hatte, ist owner.

This is the reason the schema exists, not an omission. A declared status is never the truth; the service manager is. State comes from asking the live source, every time.

Das ist der Daseinsgrund des Schemas, kein Versehen. Ein deklarierter Status ist nie die Wahrheit, der Dienstverwalter ist es. Der Zustand kommt jedes Mal daher, dass die lebende Quelle gefragt wird.

The inventory this replaced proves the point without argument: 52 of its 74 entries carried no status at all, and the ones that did had drifted. A field that half the entries skip and the other half get wrong is not a source of truth, it is a second thing to maintain. additionalProperties: false at the top level is what keeps it from coming back through the side door, and it is the single heaviest rule in the file.

Das abgelöste Inventar beweist es ohne Argument: 52 seiner 74 Einträge trugen überhaupt keinen Status, und die übrigen waren gedriftet. Ein Feld, das die Hälfte auslässt und die andere Hälfte falsch hat, ist keine Quelle der Wahrheit, sondern eine zweite Sache zum Pflegen. additionalProperties: false auf oberster Ebene hält es von der Hintertür fern und ist die schwerste Einzelregel der Datei.

A stamp on the machine, and a marker inside the artifact itself. A stamp without a marker is drift, and so is the reverse. The reason for two is not redundancy: two blind procedures that can only ever agree with each other would prove nothing. Because they are written by different steps and read from different places, a disagreement between them is information.

Ein Stempel auf der Maschine, und eine Marke im Artefakt selbst. Ein Stempel ohne Marke ist Drift, und umgekehrt genauso. Der Grund für zwei ist nicht Redundanz: zwei blinde Verfahren, die einander nur zustimmen können, bewiesen nichts. Weil sie von verschiedenen Schritten geschrieben und an verschiedenen Stellen gelesen werden, ist ein Widerspruch zwischen ihnen eine Information.

This is also what makes owner: human and owner: foreign useful rather than decorative. A run the Bridge does not execute can still be declared, so it becomes visible in the report, and the tooling then leaves it alone on purpose instead of by accident.

Genau das macht owner: human und owner: foreign nützlich statt schmückend. Ein Lauf, den die Bridge nicht ausführt, kann trotzdem deklariert werden, wird damit im Bericht sichtbar, und das Werkzeug lässt ihn danach absichtlich in Ruhe statt aus Versehen.

A skill that writes unit files onto machines is the one place where a contract broken unnoticed ends up on a service manager. So the suites come in pairs: one that checks the behaviour, and one that checks whether the first one would notice if the behaviour changed.

Ein Skill, der Einheitsdateien auf Maschinen schreibt, ist die eine Stelle, an der ein unbemerkt gebrochener Vertrag beim Dienstverwalter landet. Deshalb kommen die Mappen paarweise: eine prüft das Verhalten, die andere prüft, ob die erste es überhaupt merken würde.

bash skills/workload/run-tests.sh            # the engine
bash skills/workload/run-tests.sh --mutate   # and whether those tests bite
bash workflow/workloads/_tests/run.sh        # the declaration contract
bash workflow/workloads/_tests/run.sh --mutate # and whether those controls bite

A mutation run softens exactly one rule in a scratch copy and requires that exactly one test turns red. A test that stays green under the softening of the rule it claims to hold was never holding it. That is not a theoretical worry: three needles had already gone hollow when this was written, one matching nothing after a rule was restructured, one matching twice after a second spelling of the same pattern appeared, and one pointing at code that had been deleted. In each case the run kept reporting green for everything around it.

Ein Mutationslauf weicht genau eine Regel in einer Wegwerfkopie auf und verlangt, dass genau ein Test rot wird. Ein Test, der unter der Aufweichung seiner eigenen Regel grün bleibt, hat sie nie gehalten. Das ist keine theoretische Sorge: drei Nadeln waren beim Schreiben bereits hohl, eine traf nach einem Umbau nichts mehr, eine traf zweimal, nachdem eine zweite Schreibweise desselben Musters dazugekommen war, und eine zeigte auf gelöschten Code. Jedes Mal meldete der Lauf für alles ringsum weiter grün.

Every contract run also ends by printing what is not fully covered, class by class, so the green above it cannot be read as completeness.

Jeder Vertragslauf druckt am Ende außerdem, was nicht vollständig abgedeckt ist, Klasse für Klasse, damit das Grün darüber nicht als Vollständigkeit gelesen wird.

• No sudo, ever. A run that needs elevation yields a printed plan for a person, and the next reconcile verifies whatever they did.Kein sudo, nie. Ein Lauf, der Erhöhung braucht, ergibt einen gedruckten Plan für einen Menschen, und der nächste Abgleich prüft nach, was er getan hat.
• No secrets. Neither a declaration nor the ownership stamp carries one. execution.env takes a locator such as keychain://…, and the locator is what reaches the unit file: resolving it here would write a live credential to disk. The program resolves its own at run time.Keine Geheimnisse. Weder eine Deklaration noch der Besitzstempel trägt eines. execution.env nimmt einen Locator wie keychain://…, und der Locator ist es, was die Einheitsdatei erreicht: ihn hier aufzulösen hieße, ein lebendes Zugangsmittel auf die Platte zu schreiben. Das Programm löst seinen eigenen zur Laufzeit auf.
• No plaintext recipients. A declaration names a group and a person by reference, because it is a tracked file and travels with the scope router.Keine Klartext-Empfänger. Eine Deklaration nennt Gruppe und Person per Verweis, denn sie ist eine versionierte Datei und reist mit dem Scope-Router.
• No general purpose dashboard. The page draws this skill's own material and nothing fetched from anywhere else.Kein Allzweck-Dashboard. Die Seite zeichnet das eigene Material dieses Skills und nichts von anderswo Geholtes.
• No proof from a hand run. An interactive or ssh session has its own identity and its own grants, so the honest probe runs in the service manager's context.Kein Beweis aus einem Handstart. Eine interaktive oder ssh-Sitzung hat eigene Identität und eigene Genehmigungen, also läuft die ehrliche Sonde im Kontext des Dienstverwalters.