2026-10-21；E2软件/E3安装保全/E4自有App用例失败；35/66；P95 0/5；非指标验收。
--- type: devlog title: P95 FrameTime窗口合同、算术参考与专项准备 date: 2026-10-21 status: partial kind: plan stage: P4 evidence: E2 metric: ios.frame.time.p95 --- # P95 FrameTime当前唯一验收项 文档类型devlog。同一AI依Owner授权承担方案、实现、测试与证据核对，无子代理；不要求Owner额外复核。基线bcdddc72，GPU Device正式通过后整体35/66、剩31，P95专项0/5。历史FPS/FrameTime不重新做真机验收，GPU三项已封存不重开；不得把GPU Session旁路帧值充新P95正式轮。 ## 已读合同与E2证据 唯一知识页为[FrameTime P95](/knowledge/metrics/frame-time-p95)。Registry实际metricID为ios.frame.time.p95，scope foreground-device、unit milliseconds、definitionVersion activitytrace-framelifetime-p95.v1。底层自研ActivityTraceFrameLifetimeRawAdapter经pymobiledevice3 DTX ActivityTraceTap/com.apple.instruments.server.services.activitytracetap，subsystem=com.apple.coreanimation、category=IOMFBServer、name=FrameLifetime（当前源码已核）；schema和实际源时间转换仍须按原件固定，不能从旧文案猜测。 私有研究20261021-p95-frametime-research-01的baseline-contract-probe-a01.json，通过真实RealtimeMetricProjector消费合成规范化display.frame-lifetime.raw复现：六条80ms有效样本后，discontinuity、target generation变更、两次前后台状态切换之间不调用snapshot、host静默2秒，P95仍80/valid。前三项与知识页既定边界冲突，host静默是否应判陈旧需按当前窗合同显式决定。这是E2规范化输入链控制，不冒称原生decoder输出或真机bug发生率；尚未修改产品、未手机调用。当前共享DisplayPerformanceProjector只在epoch/reconnect和后台snapshot清窗口，targetGeneration仅赋值，断续保留历史；不同display帧被隔离不等于跨display身份切换已处理。 ## 先冻结P95公式与质量语义 只接受同一来源合同、目标PID/代际、sourceEpoch/reconnectGeneration与主display下有效、有限非bool正数FrameTime，来源顺序和原生时间事实可追溯。原始帧间隔仍由endMach−prevMach及timebase转换，缺前驱/断续/source-gap不生成有效区间；不改底层已验FrameTime计算。 实时窗口右端T沿用现有短期显示时钟估计：最后有效呈现戳P与其host到达H，当前发表host N，T=P+(N−H)，要求N≥H且来源仍新鲜。窗口为(T−10,000,000,000ns,T]，禁止未来项；只纳入连续segment有效区间。n<5为null/warmup；否则rank=ceil(95*n/100)（以整数算术避免浮点边界），P95=sort(values)[rank−1]，最终按现有Python round(value,6)的六位小数规则（ties-to-even）；Session全量P95是另一统计，不混实时窗口。 epoch/reconnect、目标身份/代际、前后台转换立即清P95窗口（不依赖中间snapshot）；明确discontinuity或source-gap开启新segment、不跨未知区间沿用旧历史。多display隔离，主display真实切换需新segment；外显示器偶发事件不得清主显示有效历史。host倒退/来源倒退/非有限/来源未验证/掉包或未解码异常不输出valid数值，缺值不补0。host静默严格>1秒时P95置null/stale-source，恰1秒允许；同设备时钟已证过期下界>2秒仍由现有display source clock总门置空，不把下界小或缺钟称新鲜证明。陈旧帧新到达不自动证明当前物理准确。 为P95增加可重算收据，包含算法版本、window右端/左开右闭、segment/身份、输入样本数、rank、首末原生呈现戳、最后source sequence/host、失效原因和原生时间桥资格。原始事件、来源与计算参照均保留；不凭receipt自己证明正确。 ## 实施边界与独立参考 优先为P95单独维护有界状态与输出，实际trace来源/身份与前后台立即通知，保留FPS、单点FrameTime、Refresh/Jitter既有语义；不能为了新P95修复重构全部Display链。先核完整调用顺序、decoder边界和consumer字段，若必须共享变更，先追加明确影响和软件反控方案，不擅自把已验指标重新开五轮。 P95有可设计的独立算术参考：另进程从完整Raw原生区间、timebase、准确发表cut及segment事实重建10秒集合，以独立排序/整数nearest-rank计算，逐发表点核值/质量/窗口/样本数/身份。该参考验证派生算法与数据链，不宣称独立物理呈现真值。不得把同一projector调用或产品receipt算出来的值再作为对照。先证明可获得的Raw字段和cut可重建；若不能，补真实输入保管/时间契约，不能直接用无参考政策豁免。 物理来源准确度另核现存Apple原件/可用同场工具资格与自有测试App实际帧事实。CADisplayLink callback和requestedHz只作调度事实，不能冒充实际present；截图不作逐帧真值。若原生独立参考可在自有App设计，必须完成可控分布与实际完成量用例；只有当前实际调查无合格独立物理参考，才在完整无异常五轮后按Owner政策标记正式接受，referenceAccuracyValidated=false、ownerReviewRequired=false。派生算术参考仍必须通过，不得混淆两者。 ## 测试App、效率与五轮门 既有Lab26 DisplayPlan实际60秒（10/15/10/15/10）、两段动画，尚非P95的140秒可控长尾分布。先核主线程可控帧扰动、正常/取消/恢复/冷请求的实际机制和采集开销。下一实施决策需固定140秒基线/正常节奏/可控稀疏长尾/恢复配方、目标分布及真实完成账；任何App变更需源码先落盘、匹配软件/开销/本机签名包与覆盖安装，保全旧run不卸载。禁止直接把30Hz请求换算P95真值。 期望单事件O(1)追加、发表在有界10秒窗口排序O(k log k)、内存O(k)，明确最大120Hz×10秒与异常上界、超界fail-closed，不重复扫描整Session。新旧真实规模120Hz×10分钟加1小时有界最坏情况，记录wall/CPU、首响应/均值/P95/max、RSS与I/O；发表P95/均值≤1ms、相对完成wall/CPU≤1.15、RSS增≤8MiB，无额外手机服务/高频轮询。只有明确仍未关闭风险时再扩大测试，不以镜像实现单测替代实际消费者与独立算术。 软件先覆盖5点/nearest-rank边界/10秒左开右闭/未来/重复/乱序/缺前驱/非有限/断续/代际/前后台无中间snapshot/多display/host静默1秒边界、历史回放与其它Display字段不变，完整Core0skip、44Core/Codable/CSV/JSONL/SQLite真实链；新包冻结按内部授权，不公证、不伪称正式分发。 准备全部通过后另立P95专属独占attempt、真实枚举容量/源host SHA保全/新五名、五新Session和进程生命、140秒×5及600秒双钟、每轮固定前120机会≥119有效/gap≤2秒、范围/来源/公式异常0、独立算术全部核同、真实负载完成与恢复/成本门通过，首失败整attempt停，不拼轮、不缩分母。当前手机末实际64，下次采集先保全已验Device五run原件和导出后rename保留并真实准入，删除0。历史失败/过渡/尾段和必要回滚全部保留。 ## 下一动作 先完成P95来源/decoder/segment与可独立重算时间cut资格、实际E2反控及自有App可控用例细化，再在本页追加具体最小实施决策后写产品代码。当前35/66、P95为0/5，软件调查不是指标通过。网站/GitLab/通知同步欠项按Owner授权partial，正式Developer ID/公证及GPL门保持。 ## Minimal Implementation Decision · 2026-10-21 已核真实adapter_id=pmd3.activity-trace.frame-lifetime.raw、adapter_version=2、selector=onlySignposts、scope=foreground-device、raw_unit=signpost-framelifetime、schema=perfowl.display-frame-event/2。decoder规范化Raw确实保存end/previous Mach、numer/denom、quality、presentationNs、target/source/reconnect以及adapter观察host到达，可独立重算区间与发表cut；无须以产品FrameTime字段当真值。实时Realtime消费在Raw事件时先送现有Display，不经engine生成P95，故新机制必须从同一已保管Raw事实消费。 定稿最小实现：新增独立p95_frame_window.py/P95FrameWindow，仅新adapter Raw显式p95PublicationPolicy=p95-window-segment.v2启用，未标历史回放继续原路径。adapter只加policy，不改decoder/服务/transport。Realtime在bind身份及update_target_state立即通知P95专属状态，consume观察同一display Raw，snapshot只覆盖frameTimeP95Ms与其quality并增加p95FrameWindow收据；FPS/FrameTime/Jitter/Refresh计算及采集均不改。 窗口收据记录policy/formula、host发表N、source P/H、估计T、左开右闭边界、segment、目标/epoch/reconnect/display、lastRawSequence、有效n、rank和首末source seq/原生戳；未来/陈旧/无足够样本输出null。来源service/channel/selector/adapter/version/scope/rawunit、decoded/verified/drop0与payload和envelope身份字段必须一致；以整数原生差值换算验证payload有限positive FrameTime与presentationNs，不信伪造值。raw sequence、host与原生戳严格有序；epoch/reconnect/timebase切换清segment后重新warmup，包络与payload目标错配直接失效。重复序列/host倒退/原生倒退清窗口fail-closed；不同display事件隔离且不延长主display freshness。未取得新目标有效源不得沿用旧window。 valid区间追加O(1)，每次追加按最新P剪除>10秒项；硬上界4096有效点/窗口，超界清空并锁定overflow直至显式身份/epoch/reconnect/timebase/前后台新segment，不丢最老点来伪造统计。正常120Hz最多约1200点，O(k)空间；snapshot≤4096项独立sort，先短路foreground/来源/host未来/静默，再evict/filter，n≥5用(95*n+99)//100整数nearest-rank与round(value,6)。不修改现有其它统计字段或metricID；只P95 definition增量记录，正式全量模型合同注册若需变更先记录，不用测试值冒充E4。 原生decoder→Raw→Realtime合成控制、独立整数原生区间oracle与多次发表cut逐点核同；边界、篡改、掉包/来源错配/乱序/overflow全反控；其它Display四字段旧/新同输入完全一致。之后完整Core和50k/实际120Hz×10分钟/一小时有界前后基准，达到上述预算才内部ARM201包。自有App140秒长尾用例仍需另落实施细案与资格，不能因软件修复完成就开正式P95轮。 ## Implementation Update · 2026-10-21 · 软件控制进行中 新增P95专属有界窗口，adapter只增显式策略标记；Realtime只对新标记Raw覆盖P95，绑定与前后台转换立即清专属状态。保留旧回放与其余四字段链。首批10项原生合成decoder/adapter/实际Realtime控制通过（0.131秒，E2，手机调用0）：独立整数区间重算多cut、无中间snapshot切换、断续/过长/epoch/reconnect、静默与未来边界、来源/原生值篡改、重复/漏前驱、外display隔离、4096超界锁及历史回放/四字段逐点一致。控制不代表E4，P95仍0/5。 分离代码检查发现超界后错误来源可能意外解锁，已将overflow锁限定为仅身份/前后台/source epoch/reconnect/timebase明确转换才可解除；补反控已通过。接着补valid原生区间的refresh倍数检查及最终同钟门的发表质量收据，完整软件与效率尚待执行，不宣布交付完成。 ## Efficiency Decision · 2026-10-21 · a01未通过 原生decoder→Raw→Realtime前后各3次，同规模50k每事件发表、120Hz×600秒/3600秒每秒发表的合成推进a01实测wall比2.3733/1.3569/1.3387，CPU同样超1.15；发表均值/P95远低于1ms、RSS无增，但仍不合格，不进入包/真机。原始失败benchmark-p95-a01.json保留。 最小优化定稿：保持相同输入/公式/失效/4096锁和其它帧字段输出，专属窗口增加标准库bisect有序值索引，常态发表不重复扫描/排序全部帧。追加与驱逐由原O(1)改为最坏O(k)的有界C层数组搬运（k≤4096，约32KiB引用），常态查rank O(1)，延后cut在确实有到期项时才重建子集O(k log k)。空间仍O(k)，不增依赖/服务/线程；此复杂度偏差公开记录，以同一真实规模和效率门实测决定，不放宽预算。来源合同静态元组比较与原生整数检查合并以减少逐事件Python函数调用，语义不减项。优化后全部新异常控制及全量软件需要重新核同。 ### Efficiency Update · 2026-10-21 · a02与等价热点优化 a02同规模各3次：50k发表已达wall1.1193/CPU1.1179；600/3600秒原生规模仍约1.25，门槛未通过。剖析发现既有extract_frame_lifetime_fields在每条消息的9字段循环中重复执行相同Mapping类型判定。定稿仅将这一不随字段变化的判定移到循环前，保留原字段顺序、int转换、camel/kebab fallback、错误预览与decoder算法。该共享热点属于性能等价优化，不改已验FrameTime/FPS语义；必须用旧commit的真实decoder对多形态原生合成输入逐条核输出，再完整软件回归。不得把等价优化当已验指标真机重开。 ### Efficiency Update · 2026-10-21 · a03 a03 50k wall1.1025/CPU1.1028通过；600秒wall1.150033与3600秒1.1772仍不通过，未四舍五入伪装达标。继续同一extractor等价优化：常见dict直接类型快速判断；已成功解析字段本来都按同顺序存在result，只在错误诊断时生成present_fields=list(result)，避免每条正常消息9次无用列表append。P95允许普通dict快速路径，非dict仍按Mapping资格检查。错误诊断字段/顺序和数据转换不变，沿用5000原生形态与全量控制核同；效率门不放宽。 ### Order Guard Decision · 2026-10-21 分离状态检查进一步发现：异常清空窗口若同时遗忘顺序水位，旧Raw回放数条后可能重新凑够5点。定稿将顺序高水位与值窗口分离；同source内失效只清值、不降低最后已观察sequence/host/end/pts，明确身份/前后台/epoch/reconnect/timebase转换才重置水位。同目标下倒退epoch或同epoch倒退reconnect拒绝，不将旧source误当新segment。新增旧五条重放反控；该正确性变更完成后须重跑软件与效率，不沿用先前编译版本。 ## Test App Decision · 2026-10-21 · Lab27候选，尚未实现 发现可设计的独立参考候选，不能此时宣称没有参考。Apple [MTLDrawable.presentedTime](https://developer.apple.com/documentation/metal/mtldrawable/presentedtime)给出实际上屏host秒数，未呈现或丢帧为0；[CACurrentMediaTime](https://developer.apple.com/documentation/quartzcore/cacurrentmediatime())由mach_absolute_time换算秒；[CAMetalLayer](https://developer.apple.com/documentation/quartzcore/cametallayer)要求及时释放drawable，避免池耗尽。以上是API合同，不证明本手机的全设备参考资格。 ### 固定140秒刺激与独立上屏记录 另增自有Fixture的P95专属Core/View与`p95`入口，保持旧Display/GPU场景。新Lab27不卸载旧容器，先备份并核SHA，独占容量与冷请求沿用新鲜准入。四阶段固定20/40/40/40秒：30Hz低节奏基线、60Hz正常、60Hz且每12次请求施加一次有界80ms主线程延迟、60Hz恢复。每次渲染不同颜色的低成本Metal clear pass，单个CAMetalLayer，非截图/非注入；requestedHz、请求量、休眠次数均只作刺激事实，不作实际P95真值。140秒后完整保留尾部，不把计时器到点当所有命令已完成。 请求带schema/runName/recipe/referenceEnabled/用途、版本与源码digest、签发/过期/nonce；新增独占pending根和已消费intent，必须实际前台/温度0或1/canvas设备和queue可用，无GPU/Display/Startup/Memory等并发，旧或多pending直接拒绝。手工与冷请求共用同一执行状态机，不自动重放失败/旧队列。正式purpose必须referenceEnabled，OFF只用于成本资格。 每个drawable在commit前注册addPresentedHandler，记录提交序号、phase、请求/commit/callback的Mach ticks、drawableID、presentedTime和API状态。callback只作有界内存append，不写盘、不截图、不retain drawable到全轮；最多10000请求/10000上屏记录、callback队列峰值≤128，超限或缺drawable/command失败立即停止并partial封口。零presentedTime明确missing/dropped，绝不变成有效0ms。采样前后记录CACurrentMediaTime与Mach的括号时间及timebase，桥宽要求≤0.1ms；不从产品值拟合时间偏移。 正常结束、取消、后台、温度、view消失均停止link/定时器、关闭新提交；最多1秒异步排空已提交handler并保留未完成账。写plan/events/requests/presented/summary原件且不覆盖，明确state/reason、实际phase起止、请求/commit/呈现/丢失/未完成数、idle恢复、workloadReleased、所有成本/时钟证据；资源真正释放后才结束busy。取消并封口后重新运行须新名、新生命，旧partial不改。界面只显示实际状态，不把实现字段混入产品操作流。 ### 参考资格与反控 1. 正常140秒、35秒取消、取消后新生命完整恢复、冷请求一次性/过期/重放/同时pending拒绝，各自原件保留；host纯Core先验证参数/阶段边界/计数守恒/溢出/未知phase/零或倒退上屏时间/部分尾部封口。 2. 独立oracle从presentedTime正数严格递增序列计算实际区间，明确该序列初始范围仅本自有Metal layer，不先称整机真值。与完整FrameLifetime Raw在无需拟合偏移的设备同钟下双向逐帧匹配，窗口端点、全部Raw与drawable计数、主display与每个source surface事实都核对；不能单向找近邻、丢弃外来系统帧或只看相关性。 3. 同窗匹配要求时钟桥宽≤0.1ms、双向唯一对应时间差≤0.25ms，所有固定发布机会使用同一原生10秒窗、有效n/rank相同，P95绝对差≤1ms。任何系统额外帧、缺呈现、时钟不明、窗边缘不确定均记参考资格未成立，保留差异，不调时间偏移/缩分母。严格阈值是本次资格目标，不是已证硬件精度。 4. 正常与稀疏尾的实际区间分布和恢复均按真实呈现账判定；若休眠未产生预期分布，case本身未完成，不能用requestedHz推断通过。派生Raw整数算术对照始终独立必测，不因物理参考未资格而豁免。 5. OFF/ON同配方140秒，参考记录增量CPU≤2个百分点、footprint≤8MiB，记录首/平均/P95/最差handler耗时，平均/P95≤1ms；无周期I/O，完整封口≤2MiB，主机处理O(n)、有界匹配O(n)、额外手机服务0。软件与成本门通过才可正式五轮。 上述候选只有实测后才能判定资格。若不能覆盖整机scope，继续核实际可用Apple工具的同层/同窗资格并记录候选表；只有实际调查当前候选均不合格且完整无异常五轮，才适用Owner无独立参考正式接受政策并保留标记，不要求Owner再复核。当前Lab27未实现/安装、手机调用0，P95仍0/5。 ### Final Invalid-Number Guard · 2026-10-21 最终输入审计发现Python math.isfinite对异常巨大整数可能抛OverflowError。定稿把与原生有限期望区间的等值检查放在isfinite之前，巨大且不匹配整数短路置空；不改变任何真实decoder浮点值。增加巨大整数反控。ARM201已完成内部安装但不用于正式轮；该最后修正随ARM202重新冻结/包核同，201原件作为可追溯候选保留，不以旧包冒充最新源码。软件/效率对最终修正重新验证后再交付。 巨大整数反控实际进入Realtime全链后进一步定位到旧共享Display的float转换也未接住OverflowError。最小扩充已有数值转换异常捕获（typed字段int转换、FrameTime与Refresh float转换）包含OverflowError，合法值算法不变，非法值按原unsupported-schema/缺值分支处理；属于异常输入保护，不宣称已验指标获得新真机证据。a06基准启动后发生该源码增量，不能作为最终固定源性能结论，保留为中间结果；待固定源后重跑a07。 ## Validation Update · 2026-10-21 · ARM202软件准备完成，指标未验收 固定源完整Core a05 **2851/2851、0skip**，135.293秒，全部源码/测试pins前后核同；原a02有175项分片60秒超时未计通过、a04启动前后有最后异常输入修正，均保留，不混称最终固定源验证。最终13个新专项测试包含多cut原生整数oracle、左开边界、最少5点、来源/顺序/目标/前后台/timebase/overflow、巨整数异常，以及其它四Display字段逐点等价；5000条10形态原生decoder与旧commit输出核同。 最终效率a07每场景基线/当前各3次：50k每事件发表、120Hz×600秒/3600秒每秒发表，wall比依次 **1.111098 / 1.136757 / 1.121459**，CPU/RSS与发表平均/P95均符合冻结预算。真实规模是合成事件推进，不是实等1小时手机测试；实际I/O物理峰值未知，rusage block I/O/首响应/最差延迟保留私有收据，不外推手机成本。早期a01/a02/a03效率失败、a06中途源码变化均保留。 真实44个Swift Core源及新增P95Consumer通过8个实际Python原生decoder→Realtime样本的模型/Codable/CSV/JSONL控制。首版控制把整数Mach差换算误写为16.666667，实际应为16.666666；输入生成断言及后续缺输入失败保留，新a02用正确独立整数期望并核原编译源/二进制后全部通过，没有修改产品来配合错误期望。 ARM202开发签名、源码/ARM依赖、严格签名、独立只读解包 **12931** 文件/链接及模式核同，实际同址安装/签名/所选证书核同。包为`MacApp/dist/Perfowl-1.0.0-202-arm64-internal.dmg`，116312539字节，SHA-256 `b23a215ea288aea71f5ff1782c313ca088487edffab3ac3ea6a232ad300001a6`。ARM200与中间ARM201 App/DMG均私有保留，删除0；dist仅当前包及校验文件。Gatekeeper exit 3，不是Developer ID包/已公证分发；沿用Owner仅本机内部授权，公证暂缓与GPL门保留。 软件与主机安装准备完成不等于P95验收。整体仍 **35/66**、P95 **0/5**，本批手机调用 **0**，Lab26及末实际64仅历史实况、下一采集必须重新枚举/全源SHA保全。Lab27新Metal上屏参考用例已定稿但**尚未实现/安装/实测**，尚不能判定没有合格参考；不得提前套用无参考正式通过政策。下一实现上节Lab27、来源/同窗资格、完整正常/取消/恢复/冷请求与OFF/ON成本，再另立独占五轮；旧GPU五轮不能充P95数据。交付同步与网站/通知配置欠项单列partial，不要求Owner额外复核。 ### Verification Commands / Delivery Update · 2026-10-21 在仓库根目录执行的专项命令如下；均为软件控制，不启动手机、不计正式轮： ```sh PYTHONPATH=MacApp/Sidecar MacApp/.sidecar-build/venv-py312-arm64/bin/python -B -m unittest discover -s MacApp/Sidecar/tests -p test_p95_frame_window.py -v codesign --verify --deep --strict /Applications/Perfowl.app shasum -a 256 MacApp/dist/Perfowl-1.0.0-202-arm64-internal.dmg ``` 实际全量运行入口为私有专项批次`run_full_shards_p95_a05.py`（2851项、100项/片、并发1、每片60秒/192MiB，源码前后pins）；最终性能入口`benchmark_p95_a07.py`，原生decoder旧commit/当前各3次；实际Swift编译和导出核对入口`qualify_p95_core_a02.py`（复用a01已编译并核全45输入pins的二进制）。可复用Swift消费者和输入合同见仓库`internal/acceptance/p95_frametime_1hz/README.md`，不把私有样本提交Git。 首个站点调用误以为捆绑Node目录含npm，子进程创建前失败；改用实际已安装npm和捆绑Node24后，第一次完整构建22.211秒、exit0，0死链；本段补齐验证命令后重新完整构建最终正文。部署入口未发现Cloudflare环境/现有Wrangler认证文件，Webhook环境与指定钥匙串均缺配置；沿用Owner允许的同步欠项partial，不请求重复配合、不冒称线上已发布或通知成功。 ## Implementation Update · 2026-10-21 · Lab27初始实现，未验证 新增FixtureLabP95Core.swift与FixtureLabP95View.swift、独立P95入口/全屏画布及Lab27构建输入。Core规定20/40/40/40秒配方、35秒取消资格、仅cost可关闭参考；冷请求严格版本/源码/90秒有效期/nonce，在启动前claim原件并持久化intent，重复nonce不重放。Metal手动CADisplayLink驱动低成本clear pass，所有request/commit/GPU结束/实际presentedTime分别记录，80ms延迟仅第3段每12次一次，不把requestedHz当真值。回调使用独立锁保护O(1)按序号账本，10000记录/128在途上界；停止后有界1秒等待、保留未完成与原始回调事实。来源scope/同窗资格尚未成立。 当前只写源码，尚未host测试、实际SDK编译、签名或手机操作，不能称Lab27可用。接着验证完整冷请求/重放、乱序/重复回调、部分完成/超界、上屏0/非有限与缺失的保全、紧凑编码总量；完成真实SDK构建和独立签名/安装资格后才开始手机四工具与OFF/ON成本。Mac ARM202及其正式前软件证据不变，整体35/66、P95 0/5。 ## Implementation Update · 2026-10-21 · Lab27软件与签名准备 Lab27实际iPhoneOS 18.5 SDK、arm64、25个显式Swift源编译通过（native-build-a03，E2），源码digest `b1a73507126bea9f145cb88db751ecdbf9871cdae1f7a93d732b062d8fd27eac`。SDK实际drawableID为Int，Core保留其原生类型，未用强制无符号转换。首版host测试有两处throwing-autoclosure编译错误、构建入口仍断言23文件、首SDK编译drawableID类型不符，均保留失败；修正后重新编译，不沿用失败产物。旧签名预检引用已不在主线的历史恢复脚本，不能运行；改从已核Lab26嵌入profile重新验证当前钥匙串私钥、有效期、设备/自有App授权，再按既有签名工具生成新副本。 最终host Core a04 **18项控制通过**，包含7200条完整数据、120在途并发回调/正反完成顺序、总10000条与128在途上限、冷请求重放/时钟/版本/路径/类型反控、非有限数原始IEEE位、乱序/重复回调、有界缺失尾段等。实际耗时1.449秒、CPU0.0603秒、进程RSS峰19,890,176B，源码/测试/二进制pins前后核同。7200请求与上屏紧凑JSON分别588379/600904B；这是合成主机控制，不是手机完整payload或OFF/ON成本证据。 停止封口用强引用保留控制器，并使用有界后台任务，避免view消失丢失封口；GPU结束未确认则持续busy阻止新负载。上屏非有限值以null加原始IEEE位保存，不冒充0；callback耗时明确只覆盖入口至账本追加/解锁前。新IPA严格签名、实际leaf与entitlements、独立zip全文件SHA核同，SHA `a4ab248d95d480d6562ee83f94ca6d0746d669866c559a4c87837216b89fa30f`，仅自有iOS内部开发测试，不代替Mac公证或分发授权。私有证据位于20261021-p95-lab27-01。 以上仍为E2准备，未证明Metal参考覆盖整机scope，P95仍0/5、整体35/66。下一先新鲜只读手机生命/版本/容量与旧Device五run保全，再单版本升级、正常/取消/恢复/冷请求及OFF/ON成本。依据Owner最新决定，无参考接受标记不需要额外Owner复核；完整测试尚未完成的本项不能提前计通过。 ### Phone Preparation Update · 2026-10-21 新鲜只读确认Lab26仍为已绑定旧生命，旧Device五轮全部源件/导出逐SHA核同并保留归位，实际64→59，删除0、导出守恒，正常退出一次。新鲜完整目录3423文件/5,846,383,820B已逐字节读取，host独立再读核同，253.28秒、RSS峰159,268,864B；该保全阶段手机写入/信号/安装/新run均0，保留182件109,967,722B新增备份，其余复用先核过的旧副本，不清理历史证据。 升级a01在手机调用前因增量备份预算拒绝，实际upgradeAttempts=0；诊断为新保全目录快照将mtime编码为ISO的T分隔符，原始只读inventory及manifest使用空格分隔，导致3423件都被字符串比较误判为修改。a02只选用原始只读inventory，逐件用datetime解析证明其与前后快照的类型/大小/mtime等价；不修改源收据、不放宽SHA/备份预算、保留原保全完成时间，不因重建收据延长900秒时效。该问题属于准备工具格式，不是P95数值或硬件故障。单版本升级与真机参考仍待后续实际结果。 ### Sealed Lifecycle Decision · 2026-10-21 a02在只读DeviceInfo连续两次观察到新的稳定自有App生命后停止，upgradeAttempts=0、terminationAttempts=0；不反复退出、不猜测Owner操作或自动重启原因。改用既有已通过Lab26升级的`retained-sealed-life`准入：显式绑定这一次新生命，逐件核当前59个已封口run的summary/manifest与完整目录快照、旧全源SHA收据，升级前再次确认同生命和所有负载已释放；不额外发信号。任一生命或目录变化立即停，不能按旧生命周期强制覆盖。来源、完整SHA和900秒门不放宽；App自行出现新生命的具体触发机制仍未定论。 ### Installation Update · 2026-10-21 · Lab27单版本升级完成 a03唯一升级返回成功，额外signal0、bundle PID lookup0；118个旧封口元数据、新鲜绑定生命、完整目录准入成立。升级前后3423文件/5,846,383,820B全部SHA及目录/mtime核同，host副本再次独立读取一致，旧主run真实59、导出原位，删除0。升级耗时239.38秒、进程RSS136,888,320B，有界监督615秒通过（wait4峰137,068,544B）；安装后DeviceInfo观察空闲。实际版本90.21.27，仍只是自有测试台安装准备E3，P95参考资格及指标E4尚未通过。 下一为新名`normal`140秒纯Lab资格，冷请求一次写入/rename/nonce/版本/源码绑定、实际六原件全保留、旧59run的metadata与导出守恒；正常/取消/恢复与OFF/ON不重用旧run。该纯Lab用例不是正式产品Session，也不替代完整Raw/消费者/导出验收。Mac ARM202保持原内部安装，本批未重包Mac产品。 ## Validation Update · 2026-10-21 · Lab27首轮normal为partial 新独占纯Lab normal-a01冷请求实际一次写入/rename、一次自有App启动、nonce已消费和intent/claimed原字节核同；旧59主run的118个元数据、导出集合前后守恒。完整140.009894秒保留四阶段601/2403/1804/2404请求，共7212请求与7212上屏回调，六原件合计1,115,794B，GPU/呈现pending均0、非法回调0。所有文件源/host SHA保全；封口与负载释放确认后只正常退出一次，未重跑。 本轮state=partial、reason=plan-finished，**testPassed=false**：第1个请求在开始后0.032649875秒的presentedTime为0，其余7211条为正值。独立原生事实检查按positive-finite-presented停止；该失败与原件全部保留，不丢掉首帧、不把7211条筛成通过、不把缺值补0ms。执行器完成与关闭成功不等于测试通过，仍不能宣布同层独立参考可用或当前一定无参考。实际系统首帧为何未给正数上屏时间尚未定位，可能与就绪阶段有关，但只是待证方向，不能归为硬件故障或产品P95数值bug。 本批完成候选实现/主机控制/签名/手机证据保全与单版本安装；真机normal准备失败、取消/恢复/冷请求反控/OFF-ON及Raw双向参考资格仍待。下一先研究首帧的呈现/画布就绪证据，明确文档化修复或更严格准入后再新名完整用例，不能修改旧normal结论或暗中去首点。正式仍35/66、P95 0/5，下一指标顺序不变；无需Owner再作独立复核，但完整无异常测试条件不能提前豁免。 ### Evidence / Site Update · 2026-10-21 证据范围分别为E2主机软件/SDK/签名、E3安装与数据保全、E4自有App首个normal真机用例失败；E4失败只说明该场景本次出现首帧零上屏时间，不代表P95指标通过或准确度已校准。第一个完整站点构建22.039秒、0错误/死链；本段与证据范围补齐后再构建最终页面，发布与通知依真实配置收据报告，既有欠项授权不变。下一继续P95参考就绪定位，正式35/66、P95 0/5。