Perfowl v9接收保全与正式软件门

---
type: devlog
title: ARM195接收率v9独占五轮与保全准入
date: 2026-10-21
status: approved
kind: plan
stage: P4
evidence: E2
metric: ios.device.network.receive_rate
---

# ARM195接收率v9完整五轮

唯一type devlog。同一AI承担方案、实现、测试与分离复核，不创建子代理。承接[旧五轮方案](/devlog/p4-network-receive-five-round-plan-2026-10-20)的五轮、固定机会、生命周期、600秒双时钟冷却和最终Owner验收边界；旧attempt-01永久0/5，失败及尾部保留。当前30/66正式已验、发送标记1、测试完成31/66不变。

## 前置与参考

必须先取得[新v9接收诊断](/devlog/p4-network-v9-receive-diagnostic-plan-2026-10-20)实际完整采集及分离审核ready，不能以软件通过、旧v8诊断或本方案充数。a01诊断未选择设备而首失败停、手机动作0；a02是新合同/输出/新run和新鲜容量，不补旧队列。

参考沿用[七候选与已设计业务](/devlog/p4-network-reference-fallback-cases-plan-2026-10-20)及唯一[指标口径](/knowledge/metrics/device-network-rate)。出现新合格整机同层同窗参考必须转配对。自有App六任务91MiB及服务端只作可控业务/异常覆盖，不能当整机精确字节真值。确认当前无合格参考后，也必须完整五轮与全部当前方向异常门通过，才标记NO_REFERENCE_OWNER_REVIEW；metricAccepted始终false，等待Owner独立验收。

## 容量保全

a02之前实际60，新诊断若完整仅增加1；61只是预期，下一先真实核集合。五轮需要初始≤59，保全归位两项历史已封口准备诊断，指定来源为私有20261020-network-194-diagnostic-01/capture与20261020-network-receive-diagnostic-01/capture。两项均须在当前集合、完整原Lab所有附件及导出已在本机、全部文件/manifest/原导出流SHA逐一核同；失败attempt、发送五轮及新v9诊断不归位。新诊断完整末生命为唯一已知生命来源，保持同生命或持续缺席；未知生命停止，不额外signal/launch。

复用已冻结保全事务_retire，新增严格两项封装；独占新journal，每步pending先fsync，真实全部metadata/exports前后核同，原始附件集合及流SHA在rename前后逐项核同，导出原位不动。仅同容器rename2，signal/delete/新run/安装均0；失败不自动回滚或重放。独立审核重读本机源、全部原DI、journal与前后metadata，确认61→59守恒后才能生成新五轮合同；实际不同先停，不硬填61。

## 新v9正式合同与工具

旧冻结v8工具不改。新增v9专属attempt/容量/runner/engine/逐轮review/final审计；继承旧正式生命周期与进度审核，显式绑定新v9诊断合同、全部原件/guard/实际44Core资格、新195产品来源、两项保全审核、真实初始custody/exports及当前boot。初始集合必须等于新诊断末集合减精确两项保全名单；不是直接假设旧60或旧59。所有执行依赖、driver及参考证明SHA冻结，新独占前缀，五名不同于所有现存记录。

formula network-window-rate.v9、directional-input.v1/schema5按产品方向隔离方案；新双数学来自network_direction_anomaly及独立Fraction reader，全部样本/完整Raw/拒绝事件/尾部/终态收据/SQLite/产品及实际44Core Codable/CSV/JSONL均逐轮重读。v8仅允许订阅前无窗sysmontap空锚。当前接收任何异常包括尾部均失败；对侧异常原文保留单列，结构/时钟/未知输入污染双侧，不能补None为0或把旧失败重判。

每轮[15,135)固定120机会，≥119有效且完整、gap≤2秒、≥5正值、六业务91MiB全部完成。每轮全新只读容量与10秒双原DI、全部metadata/导出集合和已核封口生命绑定，收据≤180秒，正常UI Start/URL/Stop各一次。第2–5轮自前轮完整封口后wall及monotonic均≥600秒，同boot；首失败停，全attempt永久保留实际轮数，不补采或拼轮。

最终审核重新执行五组原件与消费者，不只信五绿灯；核五Session/新生命、30独占请求、455MiB、600固定机会、精确集合增长及四冷却。全部通过才testPassed=true/metricAccepted=false/ownerReviewRequired=true/NO_REFERENCE_OWNER_REVIEW、referenceAccuracyValidated=false/referenceDeviation=null。正式仍30、标记增2、测试完成32；之后才GPU Renderer。

## 资源与验证

关键路径：诊断ready→两准备原件保全与独立审核→v9工具控制及真实合同篡改反控→提交冻结→五轮→独立总审→逐指标交付。O(所有证据bytes+事件)，1MiB流块、有界HTTP并发4、单一driver无并行手机采集。保全预计≤30秒、90秒/192MiB硬界；软件≤60秒/192MiB、容量≤90秒/外层110秒、采集≤230秒/外层245秒、单轮review≤75秒/192MiB、总审≤120秒/192MiB。五轮约54–60分钟，冷却不缩短。约35MB/2000Raw/160sample规模比较双数学/合同核验耗时、CPU、RSS及逻辑I/O；未测介质峰值保留unknown，不把软件门说成真机指标通过。

控制覆盖旧schema/v8/194、假参考/假诊断、SHA有效但错真实原件、遗漏双数学及尾片/终态收据、保全错两项/缺附件/导出/生命、陈旧容量、错索引/集合/新名/boot/两时钟、缺轮/重复请求/消费者不一致。软件模拟不充手机容量。采集前/批末/每30分钟核空间≥10GiB且≥预计新增2倍，预估host≤2GiB/手机≥512MiB；证据及必要回滚不删。

## 交付

没有产品代码变化，不重包；195仅本机内部签名、公证暂缓及GPL门保持。方案/实施/结果增量落盘，完成批次不可变归档、知识页/时间线/总览/首页/机读同步，本地build和链接核对。GitHub/GitLab各一次、GitLab失败不重试；网站与Webhook缺配置按Owner授权partial，不再索要。指标测试状态与提交/发布状态分列。

## Implementation Update · 2026-10-21 · 两准备保全边界细化

新v9诊断a02已实际ready（32219b70），当前按其完整末集合61及新封口生命建立保全来源。源码复核发现冻结_retire仅接受upload/response附件，接收旧准备包含download附件；直接复用会拒绝真实完整附件。因此新增v9两准备专属事务，保持原pending/journal/源前后SHA/不重试控制流，唯一扩展是明确下载附件安全命名及≤50MiB边界，严格限定两项。旧冻结事务与所有旧证据不改。先软件控制覆盖下载附件/超限/路径穿越/错两项/未知生命/中途超时与禁止重试，再冻结执行源；真实两项来源和导出始终以原pin核同，不按文件名忽略附件。新事务O(附件bytes+metadata)，1MiB流块、90秒/192MiB，约两批业务附件≤160MiB，流读多次用于来源及rename前后核同，不能把逻辑读速率说成介质峰值。

### 保全软件控制记录 · 2026-10-21

新增network_v9_receive_preparations与专属控制模块，10项控制通过E2，有限guard0.057秒/25034752B，覆盖两项集合守恒、源SHA不符、非空闲、已存在目标、未知rename结果保留pending且禁止重试、完整下载附件50MiB边界、超限/路径穿越和错两项；未调用手机。实际保全来源已重新核25源件160586678B及两份导出，尚未rename或产生新容量。首次私有host准备脚本因str未转Path在读取合同前失败，仅建空目录；原源码保留，新a02明确空目录校验后完成本机来源准备，不是手机重试。下一冻结此两项工具与私有执行/独立审核源，真实核集合与生命后一次保全事务。

## Implementation Update · 2026-10-21 · 保全E3完成与正式软件门E2

真实保全driver80449已exit0，不重启。ea9b5642及执行/独立审核源冻结，真实61条全部metadata、已知新诊断末生命、全部导出集合、两准备25原件160586678B及两导出逐一流SHA/文件集合/manifest核同；rename前后保留验证，共161795136B本机保全，244 metadata前后核同。事务guard19.372秒/RSS120012800B；独立guard0.138秒/29392896B。实际61→59、rename2、signal/delete/newRun/launch/install均0，全部原件与导出保持，末生命未改变。仅E3保全资格，不是新鲜五轮容量或指标通过。原私有独立审计及frozen-execution快照保管，后续可变项目方案按当时冻结副本核SHA。

新增v9专属attempt、只读capacity、runner/engine、逐轮review、终审、consumer审核及两项保全证明八工具和两控制模块；旧冻结v8工具不改。新合同重新核真实v9诊断Raw/全部封口/DI/双数学/终态收据与两准备全部原件/导出/244metadata/journal/DI，精确绑定61减两项为59，不信主机模板。正式consumer helper与诊断入口分离，不能把诊断通过标志充正式轮；逐轮/末审沿用五新生命/Session、30独占请求、双时钟600秒和固定机会。新源仅network-window-rate.v9/directional-input.v1，实际44Core资格沿用当前195已编译同源码；对侧异常原文及全部尾部持续保留。

初次真实保全证明软件核验对DI observation直接传含life的对象给严格pin形状门，明确被拒绝；修为只传path/sha256，原software-contract与失败保留，未放宽pin形状。首轮真实篡改反控在替换保全review路径后先读同目录journal导致FileNotFoundError，未误判PASS；修为在附属文件读取前校验全部精确路径，失败guard6.056秒及原合同/日志保留，新输出a02重跑完整反控。

最终34软件控制通过（新诊断9、保全10、正式准入/完整只读入口10、独立link5），guard0.251秒/40632320B。35真实已保管诊断及保全合同篡改全部拒绝，正常真实合同通过，guard9.078秒/92536832B；覆盖旧schema/v8/194、假参考/诊断/保全、错集合/生命/boot/时间/名、缺方向双数学/终态reader/消费者与保全证明。link消费者明确stub，仅测连接门，不充真机值；实际v9双数学及44Core来源来自已保管新诊断。软件控制手机调用0、actualCapacityReceipt=false、新正式0/5。

效率与边界：保全O(全部附件bytes+metadata)流读，1MiB块、无额外手机进程/常驻环境；19.372秒满足事前30秒目标与90秒预算。当前合同核验9.078秒含35次拒绝，正常完整真实来源核验约1秒；不是产品前后性能对比或介质峰值。产品195无代码变更、不重包；产品既有全链性能证据由方向隔离批次承接。全部原件/失败/尾片保留，删除0。正式30/66、发送标记1、测试完成31/66不变；下一本批提交/双推一次/网站本地核对后冻结新HEAD/全部工具/driver/current boot，再真实新鲜第一轮五槽与完整单driver五轮，首失败停，不提前GPU。