L4 首项：Process Observed Running

1. 单项交付目标

Owner已恢复全66项逐指标执行，Free原五轮限定E4有效，相关源码已在main；主线交付与继承性能风险分列保留。下一只交付Registry ios.process.startup.observed_running_ms，不同时宣告前台就绪、Total或九阶段通过。先完成来源审计和工具软件，之后满足运行准入才做固定五轮；无新真机结果时不填完成。

成功含义：正常Perfowl界面受控进程冷启动，自有目标App A五个新生命/Session均能提供来源可追溯的运行观测，原始事件→指标/Raw→界面/封口一致，值落在同语义独立观察允许的不确定区间，无错目标、跨代、旧值复用或缺失补0；软件、已验证代码主线、签名包对应、知识/归档/网站闭环完整。它不是首帧/业务可用时长，不声称物理精度或系统绝对冷启动100%。

2. 公式与来源先审计，不先改产品

唯一Canonical为Startup Observation，Registry为PerformanceModels.swift；startup_timing.py与实时投影路径必须逐项审计：

3. 工具与场景（先软件后真机）

  1. 冻结当前main、唯一安装177/对应包及当前Lab来源/版本；审计真实包内代码与待测源码，差异逐项说明。手机旧运行、Documents与失败证据保留；不读写其他App。
  2. 复用Lab公共框架增加显式启动记录/导出，默认普通启动不重放上次内存或动画配方；记录App可见生命周期顺序与时钟域，但不命名成不可观测的System BEGIN或物理首帧。
  3. 只读独立主机观察复用现有进程枚举接口、同目标别名/生命，保留每次调用前后host monotonic读界与最后未见/首次见区间。先软件mock验证分类、同名错目标、空结果、重复、重连、超时；不注入/改包/使用WDA，也不在产品Raw里伪造参考事件。
  4. 资格轮只核安全编排、来源、开销、封口与消费者；不算正式五轮。若要改测试App，先完整iOS构建/严格签名/保全同址一次升级/实际来源核同，不因曾安装成功而跳门；Mac包有产品变更则另走已验证源码打包与同址覆盖，Owner暂缓公证仍仅内部。

4. 正式固定五轮合同

软件和资格成立后追加固定来源摘要/版本/配置才开始，单一新队列五个不同Session与目标生命、仅正常产品UI入口，预先固定轮间冷却及每轮观察时限，禁止边跑边改配置。每轮记录请求、完整观察序列、原始指标、显示/封口及独立读界；数据丢失、身份不符、生命周期不满足、超时或资源保护均首失败停，不自动重试或补轮、不拼接旧成功。

每轮都须有值和candidate标记、原字节与同目标证据；五轮分母固定5，缺失不改成不适用。各轮误差/区间、迟滞与最差值全列，不以平均值掩盖单轮失败。区间证据不足写未评估且不计数值门通过；不能只拿自己的同一原始字段复算当独立准确性。前台/Total/九阶段即便自然产生也仅保留，不能提前登记下一指标通过。

5. 资源、准入与结束

现有环境、串行1，无常驻观察服务/新工作树。索引与封存O(本轮文件字节)，增量观察/匹配O(事件数)、固定有界容量；参考默认≤2Hz，先测其对启动链路影响，不能高频轮询制造被测开销。软件单组≤120秒；独立构建≤600秒；参考资格单轮≤60秒、正式轮≤90秒，超时结束自有任务并保全，不顺手杀其他应用。正式轮期间不编译/发布网站；若主机压力使门槛没有解释性，保留准入未成立，不靠降低质量门开跑。

每批前/后及持续30分钟检查空间≥10GiB且≥预计增长2倍；仅清理已确认闲置、可重建缓存，Raw/失败/封存/回滚不可按完成即删。每项通过后窄范围提交main、GitHub/GitLab各一次（GitLab失败不重试不阻断）、更新Canonical/开发记录/不可变归档/进度/首页与0死链网站、线上字节核对及单次直白通知。当前旧过滤微基准wall风险与GitLab同步缺口继续列出，不改判PASS；它们不阻断本合同的软件准备，但不自动解除真实运行准入。

6. 当前执行状态

2026-10-17：合同已落盘，只有只读审阅与计划，无新手机动作/Session/产品修改/指标验收。下一先做§2实际来源链及版本对照，然后补软件消费者和负控；每一项真实结果在本页追加带日期增量，进度不以提交次数冒充指标数。

Source Audit Update · 2026-10-17 · 首轮只读探针，尚无产品修复

在已提交dadfb94干净源码执行7个合成helper探针（不是手机数据）：正常200ms/candidate；早于请求和不同generation都missing；时间戳恰等于请求时返回0/candidate，与Canonical“0为missing”存在可复算差异。相同generation但不同进程、source epoch或reconnect的输入亦返回200ms；这只证明helper无这些直接守卫，尚未证明生产协调器会让此输入抵达，不能据此宣称实际串目标Bug或盲目禁止生命周期重连观察。

链路已读：LifecycleRawAdapter通过DeviceInfo.proclist精确应用标识匹配，源内部在进程变化时推进generation，Raw映射其observedPID/generation；实时启动观察在consume入口先执行，再处理一般目标状态。实际读界与nominal周期不同，pollingErrorUpperBoundMs仅汇总声明周期。下一先审计协调器与实时/离线一致性，给零时差及身份/版本适用边界补固定负控，定修复合同后再动代码。私有合成探针在fixture-lab-l4-observation-20261017-01/source-helper-probe.json，0手机动作/0新Session/0产品改动；未升格为E4或指标通过。

Implementation Contract · 2026-10-17 · L4-S1 软件与启动工具

本增量先落盘再实现；type仍为devlog，Owner已授权同一执行者制定、开发和复核，不派子代理。范围为本首项软件准备，不提前打开第二指标验收。

  1. 修复既有正时差规则：离线匹配只接受严格晚于请求的生命周期记录；_elapsed_ms与实时投影同时拒绝相等时间戳。相等的第一条不得遮蔽后续正时差记录。保留candidate.v2公式/代际/源语义，不因合成错目标输入就盲套跨CoreProfile epoch拒绝规则。补实时/离线对照、前台先到、重复、被拒事件后恢复及代际负控。
  2. 请求锚点审计：正常实时UI路径已在await启动前记录host请求，保留。旧有界record-candidate路径在await之后才生成请求时间，需要移到await前采样并显式传入；用受控异步mock断言请求界早于调用/应答，不能拿应答时刻冒充请求时刻。
  3. Lab下一新生命单次启动配方：Foundation核心新增独立startup schema、严格URL/字段/命名校验；默认不开负载、不建运行文件、不定时采样。显式UI或startup/prepare URL仅准备下一进程；准备记录绑定本次随机process token、120秒TTL、0/100/300ms单点willFinish人工延迟。claim原子移走pending并保留request；同生命不执行、过期/非法/重复/旧终态不重放，失败原件保留。单轮最多16条事件，单次人工阻塞≤300ms，输入≤4KiB、单件输出≤64KiB；非周期I/O、O(1)有界事件容量。
  4. 生命周期与终态：UIApplicationDelegate的willFinish入口/人工等待结束/didFinish、SwiftUI首次onAppear和scene active记录device uptime纳秒及真实顺序；onAppear≠物理首帧。首次onAppear与active均到后封口；提前后台保存partial，无自动续跑。启动记录独立目录、非自引用SHA清单与可分享导出；不让内存schema误读启动记录。保留未知/失败，不覆盖旧记录。
  5. 验证与主线：先固定负控失败复现，再修复；独立干净main复制件运行Python专项和Swift Foundation测试，iOS实际SDK完整编译验证delegate/UI接线，不宣称手机已运行。软件测试≤120秒/组，单次iOS构建≤600秒，串行1；本批比较新旧投影热路径开销，不增加采样频率。仅明确范围blob暂存到main，共享脏realtime其余实验字节不接管。代码未形成已验证安装之前不启动正式五轮；提交、双推尝试与资料交付均标明E2软件，不填E4通过。

Implementation / Validation Update · 2026-10-17 · L4-S1（E2，真机仍待）

本批结论：L4-S1软件准备成立，首项正式真机五轮仍0/5，不增加1/66或历史8/54。唯一下一步是匹配主线源码的签名安装/启动工具资格及独立外部观察读界，再满足运行准入后启动固定五轮；继承wall微基准风险、公证暂缓与GPL门继续保留。

Signing Update · 2026-10-17 · 单次失败保留

本地签名预检只选出1份有效且匹配自有目标/设备的开发配置；最终冻结Lab90.21.8完整链接与源未变核对成立。一次签名等待30秒超时，未得到严格签名通过的新IPA，未安装手机、不自动重试。失败目录及原件保留；继续不依赖签名的软件/主线/站点工作，签名与真机资格仍待。

L4-S2 Contract · 2026-10-17 · 独立外部观察工具（先软件）

上一轮是实际进展：2cba987已将已测修复和启动工具窄提交到main，GitHub实时核同；GitLab本批唯一推送连接关闭，不补推。干净提交的站点已发布，6页HTTP200且与生产构建SHA相同。初次Python HTTP核对因本地CA缺issuer失败，改用系统默认TLS验证后逐页核同；没有关闭证书验证。签名30秒超时及网络发现/采集通道失败原件保留，Mac177/手机自有90.21.7未覆盖。当前等待Owner已请求的钥匙串授权/USB直连，不以等待为由停止软件准备，也不重复签名或手机采集。

本阶段只增加测试工具，不改产品指标公式或接受新指标：

  1. 独立观察与产品Raw分开：使用ProcessControl精确应用查询→DeviceInfo进程列表→同一精确应用二次查询，以同一进程的双读一致与列表身份作为观测准入。它是不同读取器的同源系统服务交叉核对，不是独立物理仪器；来源共性/缓存未知不能隐藏。
  2. 每次读取保留整个调用开始/结束及中间proclist读取前后host monotonic界，不只写nominal周期。空、错目标、重复进程、单边PID切换、缺少应用标识、超时和取消分别保存；不把未知/超时写成“进程不在”。对外只用生命别名，真实映射留私有输入/逐读日志。
  3. 保守区间：两次一致的0查询且列表没有目标才记“未见”；两次一致正进程且唯一列表身份相同才记“看见”。若最后未见读为[a,b]、首次看见读为[c,d]，有条件状态变化区间仅能给[a,d]，不能擅自缩成[b,c]。该区间依赖服务在读取期间反映当前状态；缓存/真实设备出生时间仍unknown。没有启动前未见、跨生命或证据不足时写未评估，不补造区间，也不自动认证指标数值正确。
  4. 工具默认≤2Hz、≤60秒、≤128个记录、进程列表≤4096行、串行1。所有网络调用各≤8秒，总监督≤75秒、RSS≤192MiB，达到边界停止自有任务并保全partial；不会自动重试/重启App、修改配置/安装或删除手机数据，也不建常驻隧道。CLI仅由明确调用执行，import无设备动作。当前仅先实现纯逻辑、mock消费者和有界驱动；真实路由须等USB/现有连接条件可用后单独资格，不把原失败改成功。
  5. 软件单组≤120秒；用mock验证identity/读取边界/保守区间/全部失败保留/取消关闭、固定容量、节奏和超时，独立测试输出与资源核对。继续沿用1/66、历史8/54；正式首项0/5。产品新包/新Lab签名安装、参考资格和正式判据尚需全部成立后，才启动固定五轮。

L4-S2 Contract Addendum · 2026-10-17 · 封存、监督与时间覆盖

补软件失败链路，不执行手机动作。驱动采用显式依赖边界，mock完整入口必须覆盖连接每一阶段失败、读中取消/超时、关闭异常/超时、源码准入拒绝与输出封存。已完成读取前缀、半读与错误仍保存；失败不冒充absent。非自引用清单包含全部当轮文件，原始身份仅私有。

75秒为独占子进程的外层监督预算（含关闭），父进程在第74秒请求终止，最多0.5秒后杀死本次子进程，再等待最多0.5秒；不处理其他进程、不重试。软件须用不响应取消的夹具验证监督，不将协程wait_for当强制退出保证。封存/文件系统阻塞及OS调度没有硬实时保证，耗时另列，超限记partial，不宣称全任务严格75秒。

采样时长是允许发起读取的窗口上限，不是全时段连续覆盖：输出实际首末读界、停止时刻与未观测尾部；最后一次读取完成后无需为了凑时长等待或补读。服务新鲜度和数值精度仍unknown，工具软件通过不解锁正式五轮或下一指标。

Implementation / Validation Update · 2026-10-17 · L4-S2参考工具软件（E2）

状态与下一步：S2只完成参考工具软件资格，首项正式仍0/5、留存新验收仍1/66、历史8/54（旧7本轮未重验）。签名钥匙串授权及USB连接条件仍待Owner先前请求答复，未重复尝试。下一在条件变化确认后，一次新Lab签名/保全覆盖、匹配已验源码的Mac内部包及只读参考资格；固定正式数值判据后才做五轮。继承wall性能门、GitLab镜像、公证暂缓/GPL缺口保留，整体partial，不开启第二指标。

L4-S3 Contract · 2026-10-17 · 主线启动修复的包内候选（签名前）

上一批S2是实际交付：main/GitHub 1f19bd3、57项软件控制＋8项相邻回归、生产站6页逐字核同。签名授权/直连尚无新答复，本批不盲重试、不替换已安装177、不采手机；继续唯一首项，不打开其他指标。type仍devlog。

  1. 先只读核对177严格签名与已登记核心摘要。整模块审计显示startup_timing/orchestrator与修复前main逐代码对象一致（忽略调试位置），realtime整模块并不一致；因此前两模块可替换为已测main，realtime只替换已审计的_consume_startup_observation，绝不整包覆盖其他已验证逻辑。orchestrator采用完整主线模块，确保新增time全局导入存在，不只换函数而遗漏依赖。
  2. 私有目录复制自有核心制作待签名候选：固定main三源摘要，按受控PYZ压缩条目重建；非目标模块、归档其他条目逐字节守恒，目标模块/方法与main代码对象精确相等。保留177完整原件、当前dist与失败；候选仅私有，不安装、不作为测试包交付。必要本地执行只对该副本作ad-hoc验证，不访问私钥、不描述为Developer ID或正式分发。
  3. 用独立加载器从候选PYZ加载整个自有Python模块集，不从共享源码导入；运行正时差、启动报告、有界录制mock及适当启动专项，核对新增时间模块绑定、旧值拒绝与请求界。再执行候选核心纯probe（无手机），独立复验非范围条目、来源、原件及资源。这里只证包内软件，不证正常UI、设备或已安装新版本。
  4. 串行1，源审计/归档重建O(归档字节)，各步骤≤120秒、整体≤600秒；预计核心约12MiB、私有新增≤100MiB，空间须≥10GiB且≥预计增长2倍，不建环境/工作树。记录wall/CPU/RSS/I/O与旧新对照；性能基准明确运行的是包内Python还是实际二进制，不将一者冒充另一者。
  5. 结果追加本页、窄提交实际文档/测试工具及新不可变快照；涉及知识边界同步对应Canonical。签名和真实资格仍待，在它们成立及正式判据固定之前，首项仍0/5、1/66不变。部分二进制沿用177，不宣称整个App由当前main全量重构；最终签名安装另列。

Implementation / Validation Update · 2026-10-17 · L4-S3包内候选（E2，尚未签名交付）

阶段判断：签名前包内验证有实质进展，但尚未形成已签名可安装新版本。首项正式0/5、新设计1/66、历史8/54不变，不进入第二指标。下一仍需此前请求的钥匙串授权/USB直连条件确认后，一次签名保全升级与真实参考资格，再冻结判据做五轮。现有177保持唯一标准安装；继承wall门、公证暂缓/GPL和GitLab同步缺口保留。

L4-S4 Contract · 2026-10-17 · 分离Mac与手机签名阻碍，完成内部包

只读预检已确认：Mac使用Developer ID Application，证书与此前超时的Lab开发证书不同，且旧177当前未运行。此前将两者统称“签名仍待”过宽；本增量不重试Lab、不改变手机连接/配置，却允许Mac独立的一次有界签名交付。公证沿用Owner暂缓规则，仅内部包，不描述正式分发。

  1. 以严格签名/摘要核同的177整包为基座，替换为S3已验证的3模块候选核心并更新版本178；保留GUI原执行代码、其余全部模块/资源/原必要权限。非目标模块2060项/归档12项与原177逐字节守恒；核心修改方法与main源码精确核同。只是一致受测基座的窄集成，不宣称所有共享WIP已合main或整个GUI来自当前main全量构建。
  2. Mac核心、App及DMG各一次Developer ID签名命令，每次≤30秒，单次批次无重试，任意失败保全后停止该打包链。不访问/重试Lab开发私钥。打包各步骤≤180秒、从开始计时整体≤600秒，剩余时间传入各调用，串行1；App约254MiB、预计新增≤1.2GiB，先核空间≥10GiB且≥增长2倍。记录wall/CPU/RSS/I/O，不以签名/可构建当真机可用。
  3. 完整App副本必须不依赖源码或安装目录链接：独立目录和干净PYTHONPATH执行probe及10组合成Raw真实二进制报告，源Raw摘要和预定期望逐项核对。核全部文件/符号链接范围、未签名GUI执行字节不变；DMG签名、只读解包、内部App严格签名与文件树精确核对、卸载卷及SHA。Gatekeeper未公证拒绝如实记录，不改信任配置。
  4. 仅当旧App实际未运行或正常UI明确空闲、无活跃录制/关联自有采集进程，才事务性同址覆盖/Applications/Perfowl.app。先保留177回滚，暂存178严格验证与来源核同；覆盖失败自动恢复原件而非强杀。dist只保留本次合格内部DMG及校验，旧177包移私有回滚，不删除证据。新安装可正常打开仅做本地UI就绪核对，不发起手机采集/启动/安装；异常先保全，不自动开始轮次。
  5. 结果写同页、知识/新不可变快照/进度网站、已验证代码及文档窄提交main、双推GitLab一次、生产线上核同与通知。指标正式仍0/5、1/66，下一仍是手机Lab签名及直连条件确认、真实参考资格、固定正式判据后首项五轮，不开启下一指标。

Implementation / Validation Update · 2026-10-17 · L4-S4内部178已签名覆盖，首项仍待真机（E2/E3）

阶段结论：178内部包与本机覆盖/UI准备成立，非指标验收。首项正式五轮仍0/5、新设计留存1/66、历史非启动8/54（旧7项本轮未重验）不变。下一仍需此前请求的Lab签名授权/USB直连条件确认，再一次Lab升级、只读参考资格和固定正式数值判据，之后才五个全新正常UI轮；本批0手机安装/0采集Start，不开启第二指标。继承wall性能与GitLab镜像、公证/GPL缺口不抹除。

L4-S5 Contract · 2026-10-17 · Owner确认直连后恢复手机准备与参考资格

Owner已回复“没有弹窗”“已连接并解锁”，先前外部条件变化，恢复唯一首项；不再把旧Wi-Fi故障当现时结论，不自动重跑旧失败批次。本次先独立新路径只读核实际USB/匹配设备/旧Lab版本与身份、精确生命周期及DVT服务；实际每次调用≤8秒、只读整体≤60秒、串行1，失败原件保全不盲重连。Mac178已签名覆盖，保持不变，不重复打包。

  1. 主线与实际已测Lab90.21.8八源/构建来源逐项核同、旧未签名App与旧签名失败原件保留；只在新的私有副本嵌入已核有效且匹配目标/设备/已安装身份的配置。Owner“无弹窗”后允许一次新30秒签名，必须strict/证书与entitlements/IPA摘要核对；超时不重试，不改钥匙串访问控制、不索取密码、不换身份绕过失败。
  2. 签名成功后才做只读Documents目录盘点（≤4096项/4GiB/60秒），核主机≥10GiB且≥预计增长2倍、手机≥512MiB。保全旧自有App数据，复用历史已pin本地备份时逐一复算本地SHA且当前设备stat核同，新小文件另取完整摘要；复用的设备写前身份仅stat、不得说已做当前完整SHA。单次升级使用既有已测精确身份/自有进程正常终止/新控制连接工具，整体≤300秒，失败保全不卸载、不二次升级；写后全旧文件设备SHA与本地备份逐条核同。
  3. 独立参考工具从干净main来源运行，先真实只读资格（≤10秒观察、≤2Hz/128读、RSS≤192MiB，外层75秒监督），完整读界/半读/未知与关闭记录保留。之后仅资格轮验证新Lab的下一生命准备与受控启动编排、正常UI、读取来源及开销；不是正式分母，未固定正式数值门前不启动五轮。不能把可见App回调作为物理首帧或把同源参考说成独立物理精度。
  4. 资格通过后在本页追加固定Mac/Lab/工具摘要、同端点观察区间判据与资源边界，才开始唯一正常产品UI五个新生命/Session；首失败停，不补轮、不混旧成功。未成立则保持正式0/5、1/66不变；只要仍有不依赖用户的有界排查/修复工作就继续，不为签名或工具准备虚增指标通过数。
  5. 全程保护共享WIP与历史证据，不进入第二指标、不新环境/常驻服务、不发布新产品实验配置。记录实际结果、偏差与资源/空间，已验证代码与范围文档窄提交main，GitLab每新批仅一次不重试，GitHub/知识/归档/网站及通知仍独立闭环。

L4-S5 Transport Addendum · 2026-10-17 · 物理直连与采集路由分层核实

本次初次USB Lockdown预检报DeviceNotFoundError；随后只读独立核对确认USB硬件树的设备序列正规化后精确匹配目标，CoreDevice也列同目标wired，但usbmux只列Network。故不能断言Owner没有插线或设备错误，也不能凭CoreDevice缓存称采集可用。新有界诊断仅做一次Network Lockdown身份/自有安装版本查询，再直接使用已有原生remoted API持有短生命周期断言以连接同目标RSD/DVT，记录实际身份与关闭。它绕开的是本地USB枚举前置依赖，不改变配对/权限/产品公式，不创建常驻隧道，不在产品静默切路；支持与根因均待实测。独立子进程整体≤60秒、每调用≤8秒，超限仅结束本次子进程，原失败不覆盖。若原生路由实际可用，再单独决定工具/产品是否需要显式适配，不能把测试旁路偷换为正常UI验收。

L4-S5 Repair Contract · 2026-10-17 · 显式原生路由的USB枚举前置缺口

实际有界诊断3.155831秒完成同目标Network Lockdown身份读取和原生RSD/DVT进程双查询，全部关闭成功、无生命周期写入；物理USB序列正规化精确匹配。仅证原生服务当前可用，不证USB枚举为何缺项或正式采集通过。新的Lab签名一次7.431765秒成功，严格签名/IPA与main来源核对成立，旧超时原件不改判。

最小产品修复（先负控、后源码）：仅composition.py的显式use_native=True入口，在USB预检抛精确DeviceNotFoundError、已提供非空精确设备且无tunnel_port时，允许一次直接原生RSD打开。默认/用户空间/网络Lockdown路由不变，不吞配对失败、权限失败、任意异常或取消；不得自动重试RSD，不跨目标。直接分支必须从真实RSD核设备标识与iOS版本≥17，缺失/不符/无效版本拒绝并关闭本次原生断言；aopen失败/取消同样请求关闭并保留原异常，关闭异常不得伪造成功。正常USB可用与iOS16行为不变，现有route ID及消费者合同不变。

增加确定性负控：旧入口USB缺项但原生可用时失败；修复后一次native打开/一次关闭、错误身份/旧OS/缺字段、native失败/取消/关闭失败、非特定USB异常绝不切路、未明确选择不切路、互斥参数先拒绝。复杂度O(1)，没有采样/热路径改变、没有额外USB轮询；正常路径不增网络调用。软件单组≤120秒，固定mock成功和恢复路径各10,000次≤120秒并保留前后耗时/RSS，真实路由只做一次≤60秒读界资格。不把host mock计时当设备连接加速。验证源形成窄main提交后，再基于178整包只替换自有composition模块、独立包内对照/完整树/签名与同址覆盖，才以正常产品UI继续资格；不拿私有直连诊断冒充产品入口通过。

Implementation / Validation Update · 2026-10-17 · L4-S5原生入口修复与Lab签名（E2/E3，升级待续）

本批方案与源修复快照。新设计留存1/66、历史8/54（旧7本轮未重验）不变，软件/路由资格不虚增指标数。

L4-S6 Package / Qualification Contract · 2026-10-17 · 主线原生修复的匹配内部179

原生入口修复已在main f5898cb，15/54/390/60控制与一次真实只读入口资格成立；S5的GitLab一次失败不重试。Mac178的composition整模块与修复前main一致，可仅替换为f5898cb的该模块；其他2062个压缩模块、12个归档条目及去签名GUI执行字节逐字节保留，不全量接管共享WIP。

  1. 私有副本重建核心≤120秒；15负控/54核心在实际包内加载运行，不回退共享源码；独立cwd的真实二进制probe/10组合成启动回放保留，不拿host加载器当实际二进制性能。完整复制178基座更新179、Developer ID核心/App/DMG各一次≤30秒，strict/来源/无外链/只读解包树与SHA核同。公证沿用Owner暂缓，Gatekeeper如实记录，不改信任。打包整体≤600秒、空间≥10GiB且≥预计增长2倍、串行1。
  2. 只在正常UI明确未录制且关联自有采集结束后正常退出178，最多30秒等待；不强杀其他进程、不改用户选择/历史。保留178与旧包为私有回滚，事务性同址覆盖后全树/strict核同，dist只179包＋校验。本机UI就绪只做只读核对，首次失败保留，不直接开始采集；安装整体≤180秒。
  3. S5同址Lab90.21.8保全升级若成功，先在同目标/版本核对后运行干净main独立读界工具≤10秒真实只读资格（≤2Hz、外层75秒/RSS192MiB），再单独固定下一生命准备/正常UI的编排资格，均不计正式五轮。USB发现异常与native可用分层；若界面选定路线仍不可用，只证对应失败，不用测试直连旁路冒充UI成功，不默认改其他路径或建常驻环境。
  4. 未完成固定正式数值门与五轮前，首项仍0/5、1/66、历史8/54不变；有界可自主排查持续推进。新结果追加Canonical/知识/不可变快照/总览与网站，窄main提交已验源/实际文档，双端各批一次、GitLab失败不重试。隐私和原件保留规则不变。

L4-S6 Retention Addendum · 2026-10-17 · 单次升级超时后的只读分段核对

S5升级已一次成功安装90.21.8，但300秒总预算在写后保全核对阶段超时，原结果保持partial；不重跑升级或签名。原冻结脚本顺序核对到第361个旧文件的读取取消；前360个文件已通过逐文件SHA断言（915106465 B），后1209个/1510622202 B尚未完成。不得把前缀assert成功冒充整批成功或将新预算回填旧预算。

允许一个新的仅只读补充核对：冻结旧结果/脚本/清单SHA，机械验证前360次完整close及后续stat控制流，再读当前同目标/90.21.8身份；前缀仅重新stat，余下1209件从头流式SHA逐件写checkpoint。全程无安装、启动、终止、配置或采集；串行1、单次调用≤8秒、总≤360秒/RSS192MiB，外层≤370秒只结束自有进程组，失败不重试。复杂度O(剩余字节＋文件数)，不会再读已完成的915MB；空间≥10GiB。结果明确区分历史前缀断言与本次SHA、不是同一瞬时文件系统快照；若全部成立，只关闭分段数据保全核对，不改原升级批次partial或指标0/5。之后才真实参考只读资格。

L4-S6 UI Qualification Contract · 2026-10-17 · 新Lab单次准备与正常采集资格

179已一次签名覆盖、包内69项与实际二进制10组通过，手机90.21.8已安装。旧1569件保全采用分段证据：历史360件SHA断言＋本次1209件流式SHA/360件现时stat，补核66.756630秒，原升级300秒超时仍partial；不是同时快照。独立参考8秒请求实际9读/9未见，最大读取549.062193ms、最大实际起始间隔1050.140813ms，完整9.493493秒/64917504 B。原生服务可用，USB发现现已重新显示目标行；枚举恢复原因仍unknown，不回改旧失败。

本次仅一个资格生命/Session，不是正式五轮。先核当前正常UI唯一目标/已签Lab90.21.8/旧生命未运行；普通启动自有App一次，仅传startup/prepare的独占run与delayMs=0 URL一次（设备工具12秒、外15秒），读取pending核对schema/plan/120秒TTL/本生命token，正常终止精确自有生命一次并确认未见。然后独立参考先观测至少两次未见、正常UI Start一次，最多25秒采集并只读核新生命、独占startup结果/manifest、原始请求→运行观测。正常UI Stop一次、≤30秒封口，失败也只做已派发采集的正常Stop清理，不自动二次Start或补轮；不改偏好/默认指标/产品公式、不改写原Raw，回放从实际包生成单独报告。逐读参考与产品有意同场并发，仍仅一个测试队列、无其他编译/网站负载。外层105秒、工作90秒/RSS192MiB，单调用8秒；Session≤256MiB，失败原件全部保留。参考时钟仍host monotonic，同源服务新鲜度unknown、非物理精度；资格完成后另固化正式数值门再五轮。

L4-S6 Qualification Tool Correction · 2026-10-17

首次资格夹具2.603348秒即在读取进程列表前报TypeError：把方法而非协程传入awaitable包装器；0普通启动/0URL/0Start/0Stop，全部显式句柄关闭，原工具/结果保留。不是产品回归或手机故障。新独占r1目录只纠正该调用括号，逐一静态检查所有call第二参数均为调用表达式，随后重新做准入；没有重试安装、URL或已派发Start，正式分母仍0/5。

Implementation / Validation Update · 2026-10-17 · L4-S6内部179与新Lab已覆盖，资格partial（E2/E3）

本批不可变方案/结果快照。

L4-S7 Contract · 2026-10-17 · 参考尾读与正常UI启动选择

S6资格保留partial：本轮未勾Startup Timing且实际计划startupEnabled=false，无lifecycle是未武装源，不先改产品；独立参考36完整读后尾读在剩余时间内未完成，超时证据原样保留。正常UI/新Lab/179包准备已核，不再重签/重装。正式0/5、1/66不变。

  1. 仅工具修复：给observe_bounded增加显式finish_reserve_seconds（库默认0保持既有调用；CLI默认1秒且写入结果/limits）。至少允许首次读取；其后剩余时长≤预留量则不派发新读，记录实际覆盖末界与未观察尾段，不谎称连续覆盖。真实服务超时/取消/部分读仍原样partial，不吞异常、不自动重试或以unknown代absent。Reserve不是服务耗时上界/精度保证，不能靠它认证物理状态。参数有限且0≤reserve≤min(seconds,8)，负控覆盖短窗口、尾部不派发、已有读抛错/取消、非法值与默认API兼容。单组≤120秒，1/2/4KB固定回放与8秒window mock计时≤10秒，串行1；源码只工具两文件，不改产品热路径。
  2. 正常UI准入修正：通过当前已存在的“添加指标”正常选择Startup Timing，核选择面板与冻结capturePlan/Registry IDs必须包括本L4；不直接修改偏好文件，不伪造设备类型/Raw或开第二指标验收。源码审计已知Startup Timing面板是总量/阶段审计，不再渲染Running/Foreground曲线，两个字段为Session/报告/导出保留；本L4应按报告型指标核对，不无故恢复被明确删除的曲线。官方App Launch先启动后被动观察路径是否能提供L4请求与端点须先读证据，缺失必须报告，不把Total/九阶段外推L4或采两次启动拼接。
  3. 先软件与窄main，再新资格：新工具必须通过全部软件控制并落main后，干净来源单次8秒只读参考资格；之后在新的独占目录/新run按当前正常UI配置做一次有界启动资格。现有pending已被S6领取，旧request/manifest/Sessions保留，不覆盖。资格准入不要求startup目录从未存在，只要求无pending且独占run未存在、既有小型startup终态SHA成立。参考预留1秒、35秒窗口/实际尾界记录，资格工作≤90秒、外层105秒、RSS192MiB；官方启动如超预算先停，不扩时限偷判。首失败停，0正式分母，不自动补轮。运行期间不构建/部署；保持主机空间≥10GiB、预计增长2倍。
  4. 成功后再根据同端点实际读界/采集路线固化正式数值门及5新生命/Session；失败先归类配置、工具、产品或环境，保留原件并仅做对应最小修复，所有通过表述限实际证据。已验代码窄main/双推GitLab仅一次、知识/开发记录/归档/网站同批闭环，不开启下一指标。

S7范围澄清：运行源码两文件startup_reference.py/run_startup_reference.py，另追加同目录test_startup_reference.py负控；三件均为测试工具，不是产品源码。

S7参数兼容补充：CLI默认预留min(1秒, 请求窗口)，短于1秒的旧CLI调用不因默认值被拒绝；显式非法值仍在任何设备调用前拒绝。库API默认0不变。

Implementation / Validation Update · 2026-10-17 · L4-S7参考尾读准入（E2，真实再资格待续）

实际只修改测试工具startup_reference.py/run_startup_reference.py及其负控，不改产品或179安装。库API保留默认0；CLI默认min(1秒, 请求窗口)，显式结果/limits记录预留。已完成至少一读后，剩余时长≤预留才不再开始下一读；所有真实查询超时、取消、部分读、sink/资源错误保持失败，无自动重试。实际读末界和未观察尾段仍明示，不声称连续覆盖或1秒是精度上界。

下一以窄main已验工具、原179/新Lab90.21.8做新独占只读资格与正常UI启动选择核验。正式0/5、新设计1/66、历史8/54（旧7本轮未重验）不变。Owner已确认连接/授权条件，不重复求助，不进入下一指标。S6已在main/GitHub 7b89d34且8线上页核同；GitLab本批一次失败，公证/GPL与继承wall分列保留。

工具方案与软件证据快照。