--- type: devlog title: P95 a03最终原件保全的JSON字节合同修正 date: 2026-10-21 status: validated kind: decision stage: P4 evidence: E4 metric: ios.frame.time.p95 --- # P95 a03保全工具字节合同修正 文档类型devlog。[冻结Canonical](/devlog/p4-p95-frametime-window-contract-plan-2026-10-21)与五轮采集源不改。完整五轮逐轮通过，但最终只读保全v1在source-SHA拒绝；正式仍35/66，未写P95通过。 ## 已核事实与原因 v1最终保全正常失败退出10.299404秒/94830592B，236源pins不变；信号、手机写入、新run、安装、删除均0，完整失败原件/日志保留。102个已封口run文件先核同，后核冷请求时将本机格式化JSON文件SHA当作手机原字节SHA。实际发送编码为紧凑JSON，而本机durable_json保存可读格式；语义相同不等于字节相同。 离线直接以五轮各自发送前的cold-write-intent已持久化SHA核对：五份冷请求解码后按原发送器紧凑编码的SHA全部匹配原发送意图SHA，五个格式化本机文件SHA均不同。不是根据失败手机数据修改预期值，正确预期已在发送前存在。逐轮执行器还已核claimed/intent均等于原发送字节，后续轮的旧件准入也按此紧凑SHA核同。 ## 修正决策（先文档、后实施） 原236冻结输入、五轮原始数据、v1失败输出全部不改；新增postflight v2，仅将新五轮冷请求的expected SHA取自既有发送前意图，并独立验证紧凑重编码匹配。手机源文件必须原字节双读稳定、与该预期一致，副本原字节SHA相同；不重写、归一化或删除手机证据。全17目录/141原件、59主run守恒、无pending、封口释放与新鲜稳定生命门不放宽。 v2输出到新目录，监督110秒/192MiB；原始236源和新工具SHA前后核同。纯软件控制覆盖紧凑/格式化差异、内容被改、原意图不匹配等。成功后新增完整attempt audit v2，仅绑定新postflight成功路径，其余全部五轮Raw/actual Core/Session/五生命/冷却/host/UI收据合同原样保留；60秒/192MiB。所有新工具/修复实际结果追加本页，失败不覆盖。无产品/Fixture改动，不重采已完成五轮。 ## 效率与范围 仅O(五份小JSON)预期核对，读取全部原件O(总字节数)，单文件2MiB/总32MiB；顺序单手机通道，8秒单调用、90秒任务/110秒监督边界。v1失败前实际10.299404秒作为该规模下不完整基线，不伪装完整成功性能；v2真实全量耗时/CPU/RSS/I/O及完整样本规模另记。指标正式结论必须等待v2最终保全和全量总核，不以本修正E1代替E4。 ## Validation and Decision Update · 2026-10-21 · 停止尾Raw单独守恒 postflight v2已通过：17目录/141原件17553700B逐源/host原字节SHA、59主run守恒，12.804717秒/峰96452608B，CPU2.492494秒、手机写入/信号/新run/安装/删除0。九项字节合同控制通过，五份预期均绑定发送前原意图；v1失败保留。 全量audit v2正常失败退出1.525214秒/151683072B、源pins稳定，未产生正式PASS。独立重算五轮Raw-oracle字典与各轮原结果逐字段完全相同；失败原因是额外unconsumedTailFrames==0断言：第1–4轮为0，第5轮为1。冻结Canonical/独占方案要求保留完整停止尾部，没有规定所有Raw必须拥有之后的发表点。不能为满足工具断言而删原件、补造末采样或重采五轮。 实际第五轮唯一尾Raw在末发表cut后103260208ns消费，host收到在cut后103152583ns；同一目标/代际/来源/显示，原生端点严格递增且previous端点与前一Raw的end相等。原生区间16459.837958ms、刷新间隔16666000ns，倍数约987.629783，按既有>12倍规则为source-gap，frameTimeMs=null；末已发表P95也为null，原831消费者结果不变。这里只证明该记录的来源/算术/时序与质量，不认定长间隔的唯一外部原因，不将未知间隔变为正常帧耗时。 新增audit v3，完整沿用全部已有Raw算术/消费者/生命/Session/host/UI/冷却门；仅用更严格的显式尾部守恒核对替代无依据的零尾断言：逐尾核消费时间严格晚于末cut、host接收不早于末cut、来源和显示与前帧一致、native整数端点/顺序/刷新间隔、>12倍质量与空值、payload源区间数学一致；消耗Raw数+保留未消费尾数=全部Raw。未支持尾类型仍拒绝，尾事件不进入不存在的发表点。独立保存每轮尾部数量/质量与已发表样本数，最终报告明确尾Raw=1，不声称为0。新增原生尾控制覆盖合法长间隔/普通间隔、错误cut/顺序/来源/端点/阈值/数值及数量不符；无需手机调用。所有v2失败、原236冻结输入与原始样本不改，v3输出新路径，60秒/192MiB，成功前不增加正式计数。 ## Implementation Update · 2026-10-21 · 诊断倍数的既有取整合同 原生尾部十二控制通过，audit v3在尾部诊断refreshMultiple精确浮点比较拒绝；1.599602秒/151093248B、源pins稳定，失败保留。冻结decoder既有合同在输出诊断字段时round(refresh_multiple,3)，而原生区间及质量阈值仍用整数与未取整比值。实际原生比值987.6297826713069、payload987.63，区间毫秒16459.837958精确一致。v3辅助工具遗漏了这个已存在的诊断取整规则，不是产品数值变化。 新增v4工具副本，原生整数决定>12倍质量门保持；仅诊断refreshMultiple按原schema三位小数核对，不用该诊断取整值决定阈值。补充非整数比值及恰好超过阈值但三位诊断显示12.000的控制，错误诊断仍拒绝。原v3脚本/失败与236源不改，输出新路径，原定60秒/192MiB边界不变，不重采或删任何数据。 ## Implementation and Validation Result · 2026-10-21 实际新增私有cold_request_byte_contract_a02、postflight_formal_all_a02及guard、raw_tail_conservation_a03/a04、audit_complete_attempt_a02/a03/a04及对应guard；原236冻结源、产品/Fixture与五轮原件未改，全部旧失败保持原状。字节合同九控制、原生尾十二控制及诊断取整/原生阈值三项增量控制通过；缺轮工具拒绝控制仍保留。v4全量实际审计成功1.461400秒/152223744B，CPU1.426125秒，60秒/192MiB边界内；手机调用0。全17目录141原件17553700B、全部五Session/五生命、831消费者和36204 Raw与原始来源/host核同；未消费尾Raw一条显式守恒，不是0。 相对原工具的偏差仅是修正紧凑发送字节预期、替换无合同依据的零尾断言为严格尾部核对、遵循诊断字段既有三位取整；采集合同、固定首120/覆盖门、Raw整数P95公式、已发表值与所有原件不变。完整原件保全与全量离线总核均通过后，P95按Owner无完整独立物理参考政策正式通过，ref accuracy仍false；本页工具成功不单独代表物理精度校准。 v1保全与v2/v3总核失败不是有效完整性能基线；已分别报告真实耗时/CPU/RSS，不虚构提速比。完整规模保全与审计均满足预定时间/内存上界，读取原件双读为35.1MB级加既有元数据核对；物理I/O瞬时峰未知，不外推更大设备或多display。没有新增采集热路径、常驻进程或手机测试负载。 最终结果及正式36/66由[本批五轮结果](/devlog/p4-p95-arm202-a03-marked-five-round-result-2026-10-21)承接；交付同步/网站/通知仍按真实收据partial，下一屏幕刷新率0/5。公证暂缓、内部签名及GPL分发门保持。