Transparência — como você confere os números você mesmo

Nível 1 — Integridade: o dado fecha? (46)

• I-H09 — Os brutos NÃO caem dentro de `_build/`, que é apagado a cada build.
• I-H10 — O build declara TMPDIR e SQLITE_TMPDIR fora do /tmp.
• I-H11 — Banco sem as tabelas derivadas as ganha no BOOT, não no rebuild.
• I-H12 — Falha ao carregar derivado vira aviso, nunca exceção no boot.
• I-H01 — O caso do fluxo em 21/08: a fonte externa devolveu ZERO e o banco em construção ficou sem nenhuma linha.
• I-H02 — O caso do CÂMBIO em 21/08, que é o que um `if vier vazio: copiar` deixaria passar — veio pela metade, não vazio.
• I-H03 — A regra em uma frase: depois da herança, nenhuma das tabelas pode ter MENOS linhas que o banco anterior.
• I-H04 — Primeiro build da vida (ou disco limpo): não há de onde herdar.
• I-H05 — Os números REAIS de 21/08/2026 têm de ser recusados.
• I-H06 — A trava NÃO pode ser zero, e este é o teste que impede isso.
• I-H07 — O caso normal: banco novo maior.
• I-H08 — Primeiro build da vida: não há com o que comparar.
• I-H13 — Uma regra nova pode tirar linhas de propósito — mas só declarando quanto, e só na troca de versão.
• I-H14 — O backup diário copia as três bases pequenas do disco persistente (acompanhamento, analytics, recibos) pela API de backup do SQLite para DADOS_DIR/backup/AAAA-MM-DD/, com o conteúdo inteiro e abrível; não copia de novo no mesmo dia; base ausente fica de fora; guarda só os 7 dias mais recentes; /saude diz a data do último e quantos arquivos, sem caminho nem conteúdo.
• I-H15 — O banco pronto sobe em pedaços pelas rotas /admin/base/*, só com o cabeçalho X-Admin-Token (a query e a ausência dão 404), e fica estacionado com a versão que ele traz, sem tocar no banco em produção.
• I-H16 — Pedaço com offset diferente do que o servidor tem dá 409 com o tamanho atual (é assim que o script retoma depois de uma queda); pedaço acima do teto, vazio ou com outra base já pronta é recusado; sha256 errado, gzip inválido e arquivo que não é banco íntegro com data_version falham COM motivo e apagam o parcial, para recomeçar limpo.
• I-H17 — A troca só acontece quando a base estacionada traz a versão que o CÓDIGO no ar promete, o banco em produção ainda não está nela e nenhuma contagem vigiada encolheu além do limite.
• I-H18 — Com RECONSTRUIR_NO_SERVIDOR=0 o servidor não reconstrói o banco (versão nova ou domingo); sem banco nenhum ele ainda reconstrói, que é o socorro de um disco vazio.
• I-H19 — `construir_local.
• I-H20 — `_memoria_do_processo` lê o /proc e o cgroup (v2 e v1) e devolve MB do processo, do pico, do contêiner e do limite; "max" (sem teto) e arquivos ausentes ficam de fora; sem /proc (Windows) devolve None.
• I-H21 — `construir_local.
• I-H22 — Ao conferir uma base (sha256, descompressão, quick_check) o servidor pede `posix_fadvise(DONTNEED)` sobre o parcial e sobre o banco descomprimido; onde a chamada não existe (Windows) é um nada, sem erro.
• I-H23 — Enquanto a base é descomprimida, conferida e recebida, uma thread pede ao Linux que descarte o cache a cada segundo (e a cada pedaço recebido); ao sair do bloco a thread termina.
• I-H24 — `descomprimir` produz o arquivo idêntico e, a cada `a_cada` bytes escritos, força a gravação (fsync) e pede ao Linux que solte o cache.
• I-H25 — Se uma consulta de rede dá tempo esgotado — no aviso de fim (cuja resposta se perde, mas o servidor já começou a conferir) ou na espera pela conferência — `enviar` tenta de novo e termina com a base PRONTA, em vez de morrer; um 409 "em andamento" no aviso repetido conta como "chegou".
• I-H26 — `/admin/base/estado` diz se o servidor ainda reconstrói o banco (`reconstroi_no_servidor`), lendo RECONSTRUIR_NO_SERVIDOR: sem a variável ou com 1, verdadeiro; com 0, falso.
• I-H27 — `python construir_local.
• I-H28 — Ao ativar, a base estacionada recebe do banco em produção as linhas de fluxo estrangeiro, câmbio, IPCA e Selic que ela não tem (INSERT OR IGNORE: o que a base nova trouxe fica), e só então a trava de encolhimento decide.
• I-H29 — Ao ativar, `etf_diario` e `etf_balancete` recebem do banco em produção as linhas que a base estacionada não tem; em conflito de chave fica a de `id_doc` MAIOR (a regra do schema); `etf_balancete_reenvio` só ganha o que não existe; tabela ausente num dos lados é ignorada sem derrubar.
• I-H30 — Ao trocar, o banco que estava no ar fica ao lado como `<banco>.
• I-H31 — `GET /admin/base/ar` entrega o banco em gzip que, descomprimido, é IDÊNTICO ao arquivo, com o tamanho original e a versão nos cabeçalhos; só com o cabeçalho do dono (404 sem ele ou com o token na URL); recusa com 503 se há WAL não consolidado e com 409 se já há um download em andamento; o lock é solto.
• I-H32 — `construir_local.
• I-H33 — `arquivar_no_redundante`: sem `DADOSB3_NAS_REDUNDANTE` não faz nada (e não levanta); configurado, copia os arquivos da casa e espelha as cópias `bases/ar/*` do NAS principal, sem recopiar o que já está lá e sem copiar nada fora da lista (banco de assinante); com o redundante fora do ar só AVISA.
• I-H34 — `construir_local.
• I-H35 — Entre o arquivo da base estacionada aparecer e a ficha com a versão ser gravada, `estado()` responde "processando" — nunca "pronta" com a versão vazia.
• I-H36 — No Linux, o import do api limita o alocador a 2 arenas (`mallopt(M_ARENA_MAX=-8, 2)`) e o laço de hora em hora devolve a memória liberada (`malloc_trim(0)`); fora do Linux nada é chamado e o estado diz que não limitou.
• I-H37 — `construir_local.
• I-H38 — Se o servidor reinicia no meio da conferência (um deploy), a ficha que ficou dizendo "processando" passa a ler "falhou" com o motivo, e o mesmo envio pode ser finalizado de novo até virar "pronta".
• I-H39 — O servidor tem o parcial COMPLETO de uma base velha e a ficha "falhou" (conferência interrompida por reinício, I-H38).
• I-H40 — O isolamento de `testes/conftest.
• I-H46 — `guardar_o_ar` NÃO baixa o banco do ar quando o NAS já tem a MESMA versão (base construída em `bases/.
• I-H41 — `em_curso` lista os pedidos que estão no app do mais velho ao mais novo, com método, caminho + query SEM os parâmetros de segredo (api_key, chave, token, t.
• I-H42 — `medir` lê VmRSS, RssAnon e RssFile de /proc/self/status, soma os filhos (e os filhos dos filhos, pelo /proc/<pid>/task/<tid>/children) e lê o contêiner (cgroup v2 ou v1).
• I-H43 — `avaliar`: abaixo do aviso não escreve nada; ao cruzar escreve UMA linha com a memória, a fase do laço de fundo, o pedido mais velho e a lista em curso; enquanto segue alto, no máximo uma linha a cada 30 s; ao voltar, uma linha de recuperação.
• I-H44 — Acima de `corte_mb` o corte liga por `corte_s`: pedido NOVO de família pesada (/acoes, /linhagem, /og.
• I-H45 — `iniciar` não sobe a thread na bateria, com VIGIA_MEMORIA_DESLIGADO=1 nem sem /proc, e diz o motivo; limiares vêm das variáveis (valor torto cai no padrão).

Nível 2 — Semântica: a conta significa o que o cálculo supõe? (0)

Nível 3 — Econômico: o resultado é possível no mundo real? (0)

Outros testes do produto (0)

Gate comercial, navegação e o conector MCP — testam se o produto funciona, não se um número está certo, então não entram nos 3 níveis acima por natureza. Contados e listados do mesmo jeito: