Authenticité et sélection
U1 télécharge le bon bundle. U2 refuse un mauvais hash. U3 refuse un bundle non signé. U4 refuse une mauvaise autorité. U5 bloque la mauvaise édition. U6 interdit le downgrade par défaut.
Atomicité et reprise
U7 installe sur le slot inactif. U8 valide le premier boot et le mark-good. U9 force un échec puis vérifie le rollback. U10 et U11 simulent les coupures réseau et électriques.
Environnements réels
U12 couvre l’import USB, U13 LUKS2, U14 la persistance, U15 l’orchestration HCM et U16 la publication de la SBOM, du manifeste et des preuves. Aucun canal production n’est annoncé avant clôture du périmètre requis.