Durable workflow engines는 불변(immutable) 이벤트 로그를 결정론적으로 재실행하여 실행 상태를 복구하며, 모든 진행 중인(in-flight) 실행을 해당 이력을 생성한 코드 버전과 연결합니다. 새로운 배포는 이전 버전에서 시작된 실행의 재실행을 무효화할 수 있으며, 이는 상태를 조용히 손상시키거나 진행을 멈추게 할 수 있습니다. 기존의 완화책들—고정(pinning), 패치 게이트(patch gates), 사이드-바이-사이드 배포(side-by-side deployment)—은 모든 변경을 최대 위험으로 간주하고 이전 버전을 소진시키는데, 이는 몇 주 동안 대기하는 워크플로우에는 지속 불가능합니다. 우리는 오직 정적 구조 차이(static structural diff)와 이미 프로토콜이 유지하는 원격 측정 데이터—이벤트 로그, 단계 페이로드, 역사적 경로—만을 사용하여 워크플로우 버전 $V_1$에서 $V_2$로 진행 중인 실행을 업그레이드할 위험을 정량화하는 폐쇄형 확률 모델을 제시합니다. 이 모델은 드라이-런(dry-run), 샌드박스, 또는 섀도우 실행 없이 작동합니다. 위험은 세 축(프로토콜, 인터페이스, 상태 마이그레이션)을 따라 분해되며, 기록된 접두사(recorded prefixes)에 대한 정확한 역방향(rehydration) 항과 제어 흐름의 경험적으로 추정된 Markov 모델에서의 도달 확률로부터 오는 확률적 순방향 항을 결합합니다. 모든 추정은 베이즈(Bayesian) 방식으로 이루어지므로, 워크플로우 업그레이드 위험(Workflow Upgrade Risk, WUR) 점수는 신뢰 구간과 불확실성으로서의 얇은 원격 측정 표면을 가집니다. 우리는 제로 역방향 위험 판정이 새로운 버전 하에서 안전한 재수화(rehydration)를 인증함을 증명하고, 실행들을 마이그레이트(migrate), 검토(review), 고정(pin) 클래스로 분할하는 정책을 도출합니다. 마지막으로, 우리는 실행 간 독립성 가정(inter-run independence assumption)을 폐기합니다: 훅(hooks), 계층 구조, 그리고 공유 리소스를 통한 결합은 경험적 결합 그래프(empirical coupling graph)로 포착되며, 플릿 위험(fleet risk)은 실패 전염 연산자(failure-contagion operator)의 최소 고정점(least fixpoint)이 되고, 결합 인지 마이그레이트/핀 분할은 최소 s-t 컷으로 정확하게 계산됩니다.