Fail-closed significa che l'operazione si arresta quando non può dimostrare una condizione necessaria. Non significa che ogni errore lasci magicamente il sistema nello stato precedente: filesystem, database e servizi non condividono una transazione comune.
Nel preflight del restore, un'identità non corrispondente, un hash errato, un link vietato o una collisione interrompono il lavoro prima della distruzione. Dopo l'inizio, un errore conserva l'isolamento dove tecnicamente possibile e registra la diagnosi invece di riaprire un risultato parziale.
Lo stesso principio guida l'helper filesystem: un albero che cambia in modo incoerente durante l'operazione non viene normalizzato “al meglio”, ma rifiutato.
