p4-network-malformed-source-repair-plan-2026-10-20

---
type: devlog
title: 网络异常输入保管与窗口缺失传播修复方案
date: 2026-10-20
status: approved
kind: plan
stage: P4
evidence: E1
metric: ios.device.network.send_rate, ios.device.network.receive_rate
---

# 先保留被拒输入，再阻止不完整字节窗显示数值

文档类型devlog。同AI按方案、实现、测试、分离复核顺序执行，无子代理；Owner持续授权覆盖，不新增审批。基线64ec140e及[第四轮失败](/devlog/p4-network-send-marked-a02-result-2026-10-20)。本页定稿后才改产品。历史30/66、新标记0；attempt-02永久3/5封存。

## 1. 已证事实与待证原因

第四轮恰1聚合窗malformedInputCount=1仍输出candidate发送/接收值；主/分离审核正确拒绝。聚合器对不合法字节会拒绝求和，但未把原字段保留下来，产品未传播该计数到质量。来源原值未知，不宣称一定是负值、系统sentinel、上游库或硬件bug，不以重采碰巧无异常当修复。

## 2. 产品最小修复与公式先决策

正常源公式仍为sum(noninitial bytes)/完整1秒；整机scope、1Hz、缺失不补0不变。新增明确网络输入完整性契约：聚合携带有效整数malformedInputCount，>0或非法时该完整桶所有方向数值为null、quality=invalid-window，并清除旧实时窗口引用；同桶分片任一受污染则全桶污染，后续完整干净桶恢复，不跨窗扩散或拿下一桶清除当前污染。初始化/尾窗也保留异常，不过滤在120机会之外的异常。公式/质量定义版本改为network-window-rate.v8，Registry、Python公式与知识页一致；历史Raw/Session/归档版本不改，不批量替换旧结果。

聚合器对被拒ConnectionUpdate新增独立非数值诊断事件：原始解码类型、adapter ordinal、host接收时刻、拒绝原因及完整11个来源字段的值和类型，窗口内input/malformed守恒。诊断不会作为legacy ConnectionUpdate进入字节累加，不能造成混合模式/双计；None/未知形状保留有类型的诊断，不能当结束哨兵消失。合法路径不开启全逐事件Raw，不增加常驻poll或连接。

单个被拒记录≤64KiB、单来源有界队列沿现有上限；只接受固定已知标量/有限结构做无损快照，超预算/不支持类型须显式记录omitted原因及类型/大小可得信息，并把该会话来源判不完整，不能默默截断后称完整原件。不生成超大repr或递归复制无界图。快照在入队前独立于源对象，保留真实类型（bool不当int）；未知对象不执行自定义属性/序列化方法。异常洪流须有界关闭且保留已接收证据，不以采样丢弃掩盖计数。

## 3. 验证与分离门

先用第四轮真实坏窗及前后原件只读复现旧候选值；软件构造negative/bool/None/缺字段/未知类，核原类型/字节不丢、无双计、污染同桶分片/末片、初始化/尾窗、实时缓存清空、下一净桶恢复、checkpoint中断恢复与Raw/SQLite/CSV/JSONL一致。分离读取器不调用产品公式，独立检查malformed→null及诊断守恒；保留原严格source gate，禁止把原失败轮改通过或临时允许malformed>0来凑五轮。

有效正常路径用现有真实Raw规模对照旧/新输出应同值，版本标签差异显式记录；100000源事件洪流/合成异常最差路径和实际消费者验证均标E2，不当新增E4。正常路径时间O(events)、常量窗口状态，异常快照O(有限字段字节)、队列≤既有4096；单记录≤64KiB、拒绝关闭≤3秒。软件控制≤60秒/128MiB，真实Raw对照≤30秒/128MiB，100000事件基准≤30秒/128MiB；实测前后耗时/CPU/RSS/I/O（无观测标unknown）及最差异常洪流，不凭理论承诺效率。

## 4. 包、诊断与新attempt

全量相关软件及实际44Core消费者通过后重建ARM内部Mac候选，沿已授权Apple Development内部签名/公证暂缓；严格签名、独立解包、SHA/来源、实际空闲正常退出后唯一/Applications/Perfowl.app覆盖，不安装并行版本。Lab22无改动不重装。构建沿ARM正式脚本预算，无需重测历史已验30指标。

测试前/每30分钟/批末空间≥10GiB且≥预计两倍。所有新诊断必须先当前真实集合、源SHA与保管收据、已知生命空闲及新前缀；当前预计63不是容量收据，先保全再有限rename，删除0。新诊断保存被拒字段后判断是合法系统边界/解析错误/上游真实坏源；后续变更先追加决策。诊断没有达门就不进入新五轮。若确已解决且具备真实容量，再独立新attempt完整五轮，仍119/120、gap≤2秒、正值≥5、来源违规/严重异常0、600秒冷却及首失败停；无参考合格后才NO_REFERENCE_OWNER_REVIEW，Owner最终验收。接收按原序随后，不能复用发送轮。

## 5. 实施记录

当前仅方案定稿与失败证据入档，产品未实现、候选未构建/未安装、新诊断及新五轮均0。后续在本页追加实际实现/偏差/控制及成本，完成时独立复核；保留所有失败及时间线，按逐指标闭环提交/推送/站点/通知，配置债允许partial。