网络能耗评分来源质量与持续网络负载验收方案

基线与当前门

唯一类型devlog。同一AI按Owner授权承担方案、实现、测试与分离核验，不创建子代理。main基线56b5717ac41cafa766061cc172d5b5e1f47ce4d3。GPU新完整五轮正式通过，整体55/66、剩11项；GitHub核同，GitLab唯一推送失败、生产上传失败、Webhook缺配置，沿既有授权partial继续。Apple Development仅本机内部、公证暂缓，最终分发/GPL门保留。

唯一当前网络能耗评分，正式0/5；不重测历史55项、不复用GPU/CPU/Total轮次。当前Mac222/Lab34，上一GPU全部句柄终态、无待Stop。手机实际活动Runs64/64，后续必须重新只读核实、全旧数据保全与精确容量合同；不直接新run或盲迁移。

Q0软件复现（手机动作0）

现有真实RawMetricEngine与RealtimeMetricProjector在网络能耗单项请求下，单个1.25源值在host age0.1/9/99秒仍发布candidate；目标42而唯一字典99时输出22.5/candidate。均为软件合成复现，不是手机异常。准备目录initial-network-investigation-private.json保存当前源码SHA及实际输出。

实施前公式与质量合同

metricID ios.process.energy.network_cost、process、source-native-cost、原字段energy.networking.cost，公式energy-cost-gauge.candidate.v2。com.apple.xcode.debug-gauge-data-providers.Energy经DTX，由自研EnergyRawAdapter使用pymobiledevice3原生EnergyMonitor的startSamplingForPIDs:/sampleAttributes:forPIDs:/stopSamplingForPIDs:。有限非负原值直接透传，真实0合法；无差分、聚合、积分、换算或取整，不能换为流量速率、W/J或硬件无线电功耗。

新增独立energy-network-source-once.v1及energyNetworkPublicationPolicy。严格服务/channel/selector/adapter/event/unit/decode/drop/verified身份、target/generation/epoch/reconnect、来源序号/adapterSequence/arrival时钟；目标字典唯一对应，不采用单字典fallback。有限负Total保持整帧source-sentinel；网络负值、缺失、bool、非有限数、身份错误为null，不能因无参考豁免。每源最多发表一次，host arrival age为0..2秒；没有新源为null，不沿用旧值。设备真实采样窗口仍未验证，deviceEnergyWindowVerified=false。旧未标记回放保持既有语义。

新增network独立模块与聚焦测试，接入adapter、Raw严格解析、Realtime独立状态/收据，以及预热和实际两条options路径。不重构其他Energy分项；验证四policy并存各自独立消费，覆盖0/哨兵/错误目标/生命周期/关闭失败/Stop竞争、writer/checkpoint/seal和真实Swift Wire→Session→CSV/导出消费者。

参考调查与当前边界

本机SDK MXNetworkTransferMetric.h提供Wi-Fi/蜂窝上传下载累计信息存储量，不是本字段成本值；URLSessionTaskMetrics、客户端/服务端正文SHA和字节/持续时间可用于实际负载证明，不是cost真值。不能在测试App预设cost数值作为参考。

Apple官方Power Profiler说明要求iOS26；当前17.0不满足。MetricKit网络数据是不同定义。后续必须冻结当前设备/系统、可用xctrace模板、Gauge导出能力及同定义/同窗/独立性矩阵；尚未据此宣布最终无参考。第二EnergyMonitor属于同源，整机电池W不同scope/unit。确证无合格参考且新完整五轮全部正常后，才沿Owner政策正式计入并标记NO_REFERENCE_ACCEPTED_OWNER_POLICY、referenceAccuracyValidated=false、ownerReviewRequired=false。

可控负载设计与资格顺序

现有Lab34网络合同已支持≤180秒、单stage≤150秒、1/10/50MiB文件和有界服务端读取速度。候选使用baseline15秒、单个50MiB上传、concurrency1、服务端393216B/s读取、stage145秒、recovery15秒，nominal175秒；50MiB/393216约133.33秒，低于阶段期限。referenceEnabled=false，使用实际客户端和临时主机服务端双端字节/正文SHA/请求回执证明完整工作量。主机端点/token只放私有配置，不进公开文档。实际传输使用局域网络，不用手机loopback替代网络场景。

此配方先资格，不能直接正式执行：服务端限速不是手机wire-rate保证，内核缓冲可能提前完成上传；必须核client/server真实开始结束时间、收据SHA/字节、active/取消保护、Session完整性与固定120槽来源正常性。候选固定窗口从network-stage-begin直接device tick包围上界+5秒后的首计划1Hz槽起120槽，末槽≤包围下界+126秒；仅在资格前确认实际事件/时钟和收据后冻结。不能观测后移动窗口选好值。若实际流量持续不足或空闲哨兵进入窗口，保留失败并改方案/版本后新资格，不缩分母或放松Total哨兵。

先验证当前临时NetworkLabServer支持该大小/节流/有界关闭，并做匹配软件控制；必要工具扩展先追加本方案再实施。若现有Fixture能力足够，不无故重装手机；需要Fixture产品变更时完整保全Documents并核SHA后单版本覆盖。新Mac223必须严格ARM/来源/PYZ/App与DMG签名及独立解包，标准路径实际空闲正常退出后安装，旧222回滚保留。

正式attempt与保全

新参考矩阵、软件/效率/包、临时服务端、真实网络通道、OFF/ON开销、温控和资格全部过后，才文档化新的独占正式attempt。每轮新run/Session/生命与双端journal，五轮各120固定1Hz槽，共600。每轮≥600秒idle及末尾≥300秒nominal/active，live准入后15秒内负载准备；具体native ack停止点按资格实测前瞻冻结，Session≤225秒。任一正式轮失败即停整个attempt，保留完整原始、过渡、失败和尾部，不拼接或补轮。

每轮全消费者/封口、双端实际网络回执与SHA、温控、增量custody/全目录核同后才下一轮。五轮结束须全三根源/原host SHA、完整温控树SHA及新输出目录10份审计分离重算。已满64容量必须精确枚举和保全后再定迁移对象，不能照搬GPU目录或旧容量数字。原证据和必要回滚保留，未知用途不清理。

轻量与效率门

来源质量状态O(1)，仅请求时启用，无新常驻环境。120/600槽三pair before/after、12独立进程实际writer/checkpoint/derive/report/seal，源码pins核同；wall/CPU中位≤1.2倍、RSS增≤8MiB、单step≤10ms，记录首响应/吞吐/最差与物理I/O峰unknown。聚焦软件180秒、基准每进程120秒、构建180秒有界。资格网络单任务/单连接，64KiB流式读写，服务器生命周期≤240秒、单调用≤8秒；500ms源/1Hz发布，不高频全盘扫描或启动重复进程。每轮预计约14分钟；保全按实际体积估算，至少10GiB且不少于预计新增两倍，30分钟复查。

交付与下一动作

当前批准先做来源质量最小实现、聚焦软件/Swift消费者与真实规模效率；手机资格与正式负载尚未具备具体attempt准入证据。先完成本方案中的参考与工具资格，之后前瞻冻结实际场景及容量合同。每指标正式通过后窄提交双推（GitLab一次）、知识/开发记录/归档/首页/总览/站点构建、实际生产发布与Webhook真实收据；欠项单列partial。网络未关闭前不进入定位指标。

Implementation Update · 2026-10-25 · 网络来源质量最小实现

已新增energy_network_freshness.py，网络独立policy/target provenance/单源唯一消费及2秒arrival门；adapter独立标记、Raw严格解析、Realtime独立收据及预热/实际两条options路径均接入。复制已验GPU质量结构时只按网络字段/metric/policy映射，不重构既有分项；新增四policy经真实adapter并存、各自独立只发表一次控制。116项Energy聚焦控制17.984秒全部通过（energy-focused-a01.log，E2）；原异步ResourceWarning完整保留，不虚构0警告。

新增真实Swift网络Wire→Session→CSV/导出11.25/null/0/null消费者控制待执行。效率、Mac223内部包、当前参考矩阵/网络服务端/设备通道/容量及新资格仍未完成。正式0/5、整体55/66不变，手机动作0，不因此启动网络负载。

Validation Update · 2026-10-25 · 消费者与效率通过

网络真实Swift消费者1项/0失败、0.014秒通过（Wire→Session→CSV/导出11.25/null/0/null）。效率固定56b5717a旧基线与当前网络质量实现，120/600槽三pair共12独立进程真实writer/checkpoint/derive/report/seal全部通过、源码pins核同：120槽work wall/CPU中位比0.990396/0.999072，600槽1.023737/1.045748，最大step6.039500ms、峰RSS68927488B，物理I/O峰unknown（E2）。主机可用35,862,540,288B，预计新增128MiB、满足空间门；手机动作0。下一Mac223内部包/严格ARM与源码及PYZ/签名独立解包/空闲同址安装，参考矩阵与网络工具资格继续，不提前新run。

Mac223内部构建已启动build223_a01.py，原句柄98509，日志private 20261025-energy-network-preparation-01/build223-driver-a01.log；180秒有界/2jobs、真实当前源码pins。package223_a01.py已准备未执行，安装工具尚未生成，不能使用GPU旧安装脚本直接覆盖；下一须严格签名/ARM/独立解包/网络PYZ源码核同及真实空闲检查。当前无手机动作或待Stop；55/66、网络0/5不变。

Mac223 build98509终态exit0，46.074秒/431源码pins核同。package223_a01.py原句柄1699运行，日志package223-driver-a01.log；下一轮询原句柄，不重建/重打已有包。严格签名/ARM/独立解包终态后仍须网络PYZ代码对象与源码核同及空闲安装合同。当前222仍安装，手机动作0；55/66网络0/5。

Validation Update · 2026-10-25 · 内部包、参考与初始保全终态

Mac223构建、严格App/DMG签名、独立解包全树及319个ARM Mach-O（Intel-only 0）、六模块PYZ代码对象核同已完成，空闲正常退出后同址安装核同；旧222与dist完整保留。Apple Development仅内部，Gatekeeper exit3、未公证，不称正式分发完成。原构建/包/安装句柄98509/1699/45030均exit0。

当前参考矩阵已完成：本机SDK、Network模板四schema、Gauge及当前系统适用范围均未提供完整独立同定义1Hz成本参考，referenceUnavailableConfirmed=true；这不等于指标通过，网络仍0/5、整体55/66。本机loopback单请求50MiB、393216B/s规模工具资格通过，服务器133.340秒、双端字节/SHA核同并关闭，仅E2，尚非手机网络资格。

初始全三根源与原host SHA终态63314 exit0：1959件、3858518054B、64个Runs全部核同，手机写入0、新测试请求0，152.082秒。容量准备曾因未经枚举假定30件触发断言，未执行迁移、未写后续状态；现真实枚举GPU五个已完成释放run，每run5件，共25件16532580B，并重新核原host SHA。私有capacity-contract-private.json冻结精确目录rename对象与映射，预计Runs64→59，Exports不动、删除0；当前合同尚未执行。迁移后须全三根源/host SHA和精确映射核同，再做手机网络资格，不直接启动正式轮。

Validation Update · 2026-10-25 · 网络容量保全完成

按冻结合同仅rename五个已完成释放GPU正式run，共25件16532580B，活动Runs64→59、删除0、新测试请求0，迁移60105终态exit0。迁移后74563终态exit0，三根完整1959件3858518054B的手机源与原host SHA及精确目录映射全部核同。旧Exports不变，原证据完整保留。私有network-capacity-migration-a01/custody-after为下一次保全的目录事实源；capacity-post-fullsha-a01/result-private.json为全SHA收据。主机私有IPv4路由已只读确认，无监听器、无手机网络请求；不能据此认定手机可达。下一为新的手机网络路径与温控/开销资格，正式仍0/5、整体55/66。当前无活保全句柄或待Stop。

执行前冻结 · 2026-10-25 · 手机资格温控准备

容量后全SHA已通过。下一仅一次核对上一GPU已释放的确切进程生命，若仍匹配则SIGTERM15一次，确认两次不存在；变化则停止，不按进程名盲退出。随后复用已核验Lab34零负载温控工具，以全新network nonce启动≤900秒观察生命，真实idle≥600秒且末尾连续nominal/active≥300秒才准入；不发网络负载、不自动启动正式轮。30秒有界读取，所有温控源与尾部后续完整保全。当前GPU生命、全部summary释放状态及三根精确目录/元数据须在动作前核对。此工具准备不计正式通过。

执行前冻结 · 2026-10-25 · 网络资格控制与活动观察

新私有资格目录20261025-energy-network-reference-diagnostic-01，独占run前缀energy-network-ref-20261025-a01-r1；尚未启动网络请求。最小控制器经单独静态审查，先核223签名/冻结来源、59真实容量与全部旧目录、两次真实live温控准入；唯一标准GUI Start后核实际1Hz七项Energy、screenshots/startup关闭及新生命，再一次native参数启动网络生命。临时服务端绑定明确私有单播地址、新token，生命周期240秒，50MiB单上传，393216B/s；baseline15/stage145/recovery15，native ack后185秒发Stop-ready，总Session225秒上限。失败不重放、不改窗，保留全部；服务器finally关闭失败使工具失败。controller未执行，不能声称手机网络资格通过。

零负载温控观察原句柄21325已确认运行，30秒日志持续至240秒；nonce energy-thermal-network-diagnostic-20261025-a01，结果目录network-diagnostic-cooldown-a01。下一继续轮询同句柄，准入终态后再执行新prepare冻结与控制器；若超过900秒自然终止，必须保全完整温控尾部，不复用过期准入。上一GPU精确生命正常退出原句柄94765终态exit0，仅signal一次，无安装/网络负载。Mac223标准GUI仅Energy七项已配置、目标自有测试台、Start尚未点击；无网络服务端活任务或待Stop。整体55/66，网络0/5。

资格控制器前瞻修正 · 2026-10-25

网络stage发生在15秒baseline之后，GPU旧工具启动附近约2秒的时钟点不能直接包围它。资格开始前改为native ack后12至25秒内每200ms至多一次直接设备时钟查询，其余观察保持2秒节奏；完整查询点与host前后界一次落盘，后续仍要求阶段包围误差≤750ms，不估算或后移窗口。新增查询有界≤66次、单调用8秒，总Session225秒边界不变；资格本身检查时钟开销，不把这一取证开销视为已通过。

资格执行增量 · 2026-10-25

温控原句柄21325终态exit0，真实idle/nominal准入通过。prepare已冻结479输入且exit0；新网络资格控制器原句柄66423运行，唯一标准GUI Start已执行，实际capture-plan通过七项Energy/1Hz/startup与screenshots关闭核对，新native参数生命已一次启动并由产品重绑定。临时host服务端在控制器内部有界运行，当前等待native ack后185秒停止点，不重复Start/请求。尚无资格通过结论，正式0/5、55/66。下一必须轮询66423原句柄；STOP READY或PROTECTIVE STOP后立即执行唯一CUA Stop，再完整保全Session、Fixture及温控源尾部。

Validation Update · 2026-10-25 · 网络资格a01未通过（E4当前场景）

控制器66423终态exit0只表示一次启动/绑定与固定停止控制完成，不代表资格通过。标准GUI唯一Stop后Session完成205样本、32文件4860544B，全源/副本SHA核同；候选97、source-sentinel108，全部样本候选数已不足固定120槽门槛，不删点、不缩分母。网络Fixture自然完成并释放，真实50MiB（52428800B）上传、双端正文SHA与字节一致；URLSession请求发送130.707546秒、服务端读取133.338792秒。8个Fixture/Export文件全SHA及manifest、3510事件与流式导出语义核同。温控观察完整316行到630.007977秒，切换后完整源/host SHA、三个准入prefix核同，未伪称运行满900秒。

独立审计另发现阶段直接时钟包围宽度13012562667ns，超过750000000ns门槛；前瞻按ack12秒起取证仍错过stage，不能据该宽窗口计算正式固定槽。旧review_network_qualification_a01.py实际在direct-clock-too-wide断言处失败，无完整审计成功输出；最终qualification-failure-decision-private.json明确fixedWindowEvaluated=false，同时以全205样本仅97candidate这一必要条件证明本轮不可能满足120健康槽。不得把上传成功、工具exit0或网络原始分项非负当资格通过；Total负哨兵继续整帧置空，根因尚未确定。

当前实际Runs60，下一先把本次新run/Export八件及温控加入custody并核目录变化，再调查源哨兵与实际事务时段；时钟方案须从native ack立即有界取证并在新执行前落盘、复核，不能重放a01或事后平移窗口。当前所有21325/66423/66367/18330均终态exit0，临时服务端已关闭、无待GUI Stop。正式55/66、网络0/5。

Investigation Update · 2026-10-25 · 失败资格纳入保全与来源节奏

本轮失败资格8件新增源/导出文件已逐件host SHA核同并追加私有20261025-energy-network-reference-diagnostic-01/custody-after；旧三根全部条目保留，真实Runs60。已启动全三根源/原host SHA只读复核，原句柄55710、输出network-preparation-01/qualification-a01-post-fullsha，不得因观察超时重启。无新负载、无待Stop。

离线逐源统计288帧：同生命相邻返回间隔中位0.712114896秒（0.707079125–0.813296125秒），Total负160帧、非负128帧；负→非负与非负→负各98次。实际上传期间网络正值和网络0/Total哨兵交替可观察，尚不能证明其机制。采样/系统成本更新周期相互作用和活动稀疏仅为假设，不以此过滤负帧或更改质量。私有source-cadence-investigation-private.json保留统计与原始SHA。下一独立有界节奏诊断须先文档化完整配方/分母、保全及开销，不通过反复调相位择优；时钟应在native launch前后连续覆盖stage，不能再以ack后延时推定。正式55/66、网络0/5。

Decision Update · 2026-10-25 · 先隔离来源节奏，不盲重跑资格

本轮时钟证据进一步定位：首clock到native ack3.259287秒，stage位于首clock后15.259291秒，而首个ack后阶段clock在15.282140秒，晚约22.85ms；最近前点仍在2.276646秒，造成13.012563秒包围。这是取证起点不足，不能归因为手机时钟漂移。新资格必须从native launch返回后立即到ack+25秒连续有界查询，覆盖rebind等待；不得等待ack+12秒，不以拟合桥替代直接包围。

来源方面，准备独立诊断而非再跑正式候选：标准客户端保持空闲，不与第二EnergyMonitor并行（原生进入会stop/start同PID）；只运行一次新50MiB上传recipe，完整保留baseline、175秒全程及尾部。单个EnergyMonitor生命内前瞻固定三个查询等待块：stage相对0–40秒0.5秒、40–90秒1.0秒、90–145秒0.5秒；等待指每次真实响应后的sleep，记录每次请求/响应host时刻、直接设备时钟和原返回，实际服务延迟另外计入，不伪称固定采样频率。所有块按预定边界统计，失败/迟到/负Total全部进入分母，不能只比较正值或择优相位；网络业务随时间变化仍是混杂因素，单轮仅能提出/排除机制，不能据此直接改变产品配置或验收。请求数上限320，单DTX调用8秒、诊断总≤225秒、流式文件≤16MiB；临时server≤240秒，1请求50MiB，完整双端SHA与事务时间。准备/审查诊断工具后才允许一次新启动；三根custody全SHA及温控/手机空间先过，不在旧a01生命追加负载。每次进入/退出都保留原生start/stop回执，失败不重试，最终保全真实新run与导出。

网络失败资格a01后全SHA终态 · 2026-10-25：原句柄55710 exit0，完整三根1967件3912445874B，全部手机源/原host SHA及目录精确核同，真实Runs60。无活采集/保全句柄、无待Stop，下一按已落盘节奏诊断合同准备工具，不重放a01。正式55/66、网络0/5。

Implementation Update · 2026-10-25 · 独立节奏采样器准备（E2，未真机执行）

私有network_cadence_probe_a01.py新增有界单Monitor采样函数：按直接设备stage ticks固定0–40/40–90/90–145秒等待块；上限320次、16MiB、单条1MiB、单调用8秒，总duration175+10秒。记录每次请求/响应host时刻及设备clock，原生返回以binary-plist/base64保留，避免JSON把非有限值或binary误丢弃。逐回复flush/fsync，独占创建、失败落盘后停止、不重试。当前仅模块，无start/stop或launch入口，尚须专门控制器完成生命周期/温控/全树准入和finally stop，不能直接当可执行真机诊断。

软件控制7个固定边界、异常原返回落盘一次/不重试、拒绝覆盖已有证据通过；另验证负Total、NaN和binary原返回往返不变及阶段结束短路（cadence-probe-software-controls-a01.json与cadence-probe-raw-roundtrip-a01.json，E2，手机动作0）。相对方案无产品代码变动；新采样器尚未规模基准及真机，不能声称轻量开销或E4可用。下一补生命周期控制器、超时/体积/关闭故障控制与实际规模基准，再前瞻冻结新独占诊断；不修改现有Energy质量策略。正式55/66、网络0/5。

诊断生命周期与开销实施增量 · 2026-10-25

新增run_owned_monitor：进入原生Monitor至多一次，部分进入失败也尝试退出一次；capture失败、总超时及stop失败均不返回成功，最后独占写入receipt。采样循环真实进程生命核对降为首点及每10秒一次，避免每个来源帧执行完整process-list；设备clock仍逐查询保留。诊断阶段结束或320请求上限停止；到请求上限不伪称完整观察。

E2软件规模控制：两个完整320请求分支及进入失败分支，2KiB合成payload、真实binary-plist/base64与逐行fsync，原版本实测wall0.040090秒、CPU0.034033秒、峰RSS32292864B；证实上限停止不误判完成、部分enter失败仍stop、stop失败阻断成功。此为合成工具规模控制，无DTX/网络设备开销、无产品before/after性能结论；生命核对降频后须再次运行控制并保留新收据，不覆盖旧数字。真机全流程控制器尚未完成，手机动作0，正式55/66、网络0/5。

独立诊断工具增量 · 2026-10-25：network_cadence_probe_a01.py已接单Monitor start/stop/finally收据，原生enter/stop各至多一次，部分enter失败仍尝试stop，stop失败阻断成功；真实生命首点及每10秒核对。320次请求上限不误报完整，三分支软件规模验证通过；降频后复测wall0.038452708秒、CPU0.033073000秒、RSS32145408B，原规模收据已另存未丢失。2KiB合成payload真实编解码/逐行fsync，不代表手机DTX开销。仍需真机全流程控制器、温控/实际空闲检查/新run/服务器/保全/失败清理边界；无手机动作或活任务。正式55/66、网络0/5。

Implementation Update · 2026-10-25 · 隔离节奏诊断控制器与新温控

新增私有network_cadence_controller_a01.py，未执行：要求标准Mac客户端已退出、真实60Runs/全部旧目录与元数据、Lab34安装身份、当前容量后全SHA和新live温控，单次退出观察生命后单次native参数启动新energy-network-cadence-20261025-a01-r1。实际读取network-stage-begin设备ticks作为分块起点，再单Monitor执行预定节奏；临时服务器有界240秒、单50MiB，finally关闭Monitor/服务器/通道并保留收据。工具只编译通过，尚需独立全流程审查/冻结和失败分支控制，不据此宣布手机诊断成功。

为避免同PID Energy服务stop/start冲突，已通过CUA正常退出空闲标准客户端；没有点击Start。上一已保全network资格生命精确核对后SIGTERM15一次、两次不存在，64860终态exit0，未发负载或安装。随后新的零负载温控观察原句柄35533已启动，nonce energy-thermal-network-cadence-20261025-a01，输出network-cadence-cooldown-a01，日志network-cadence-cooldown-driver-a01.log；下一必须轮询原句柄，不重复启动。观察真实600秒idle和300秒nominal后才准入；在此期间继续控制器审查，不自动发送网络请求。正式55/66、网络0/5。

控制器审查修正 · 2026-10-25

审查发现先等待stage再启动Monitor会遗漏baseline的Energy原始帧，且读取活动events不应使用稳定文件SHA函数。执行前修正：native启动后取得effective-config即启动唯一Monitor，后台有限读取完整JSONL行查找真实stage tick；stage未发现前仍保存全部原返回与clock，stageRelativeSeconds记null，不猜测阶段。发现stage后按真实tick固定块，最终可离线重算全部行的阶段相对位置。活动events读取≤1MiB、丢弃仅未完成的末行等待下次，保留观测prefix；最终文件需完整保全，不把prefix当封口证据。阶段查找超时使诊断失败，不重发。

采样尾段修正 · 2026-10-25：独立诊断的原始Energy采样结束点由stage+145秒延至stage+160秒，保留完整15秒恢复尾段，仍总≤190秒采样边界/225秒控制边界和320请求上限；stage145秒后的sleep固定0.5秒。所有此前145秒短路软件控制仅覆盖旧工具版本，不能外推新尾段。此前软件规模复测脚本写回同名最新结果文件，初始版本副本保留，前两次数字仍在增量文档；后续收据改为独占创建，避免覆盖历史工具验证。无手机负载已执行。

网络隔离控制器审查增量 · 2026-10-25：控制器已修复baseline先采源、后台读取活动JSONL完整行确认真实stage，未确认阶段记null；采样末界延至stage+160秒，保留恢复15秒。新增baseline/实际stage及145–160恢复边界软件控制通过，320次上限/部分enter退出/stop失败复测通过，新收据独占写入。控制器仍未执行且尚需冻结pins/异常尾部处理全流程审查；不能将模块编译/软件控制称真机通过。温控35533原句柄仍活，最新日志120.565秒，继续原句柄，未发网络负载、无待GUI Stop。正式55/66、网络0/5。

Validation Update · 2026-10-25 · 隔离诊断工具冻结

控制器独立静态复核及输入pins已冻结cadence-controller-review-private-a01.json，初版审查另保留。执行前逐pin核同，严格匹配实际启动PID，不按唯一字典fallback。新增独立离线分段器review_network_cadence_a01.py：按实际stage/device clock重新归组baseline、0–40/40–90/90–145秒和恢复尾段，错误/哨兵/非有限/缺失全部保留分母，无指标通过或因果断言。8个分段边界和7类异常分类软件控制通过，源/Fixture/温控保全工具已准备。主机空间与全部冻结pins复核通过，诊断尚未执行。温控35533仍活、持续超过300秒，须继续原句柄，满足600秒且300秒nominal后再运行已冻结控制器，正常客户端保持退出。正式55/66、网络0/5。

Validation Update · 2026-10-25 · 隔离节奏a01编码失败（不重放）

温控35533终态exit0，准入后已一次执行冻结控制器88772，终态exit1。新生命native启动一次，首个真实Energy返回在binary-plist编码处TypeError“keys must be strings”：真实原字典包含整数键。Monitor enter一次/stop一次且stop成功，临时server关闭，控制器23.075351秒退出。未形成有效来源节奏数据，不得据此比较分块或宣称根因。

重要证据缺口：这一回复成功返回但未成功编码，原内容无法追溯；raw行仅记录错误和时钟。旧工具receipt中allRepliesRetained=true在此分支不成立，单独serialization-failure-clarification-private.json明确actualRequestReplies1/encoded0，保留原错误收据不回改，不虚构缺失原回复。后续须支持整数键的可逆编码，并在新独占诊断前通过真实字典类型控制；禁止重发旧请求补此回复。

手机网络负载可能继续到有界自然结束，故未重复launch或强杀。已启动失败Fixture全目录/Export保全原句柄38695，输出failed-fixture-preservation-a01，先等summary释放后全部源/host SHA，保留失败/过渡/尾部。下一必须轮询38695；其终态后再保全network-cadence-cooldown-a01原温控完整源与prefix，追加本run到custody并核新容量。当前无产品GUI待Stop，标准客户端保持退出。正式55/66、网络0/5。

隔离诊断失败保全终态 · 2026-10-25：38695 exit0，Fixture partial/transferFailed在15.611124秒结束且workloadReleased=true；8件52565765B全源/host SHA核同，真实Runs61。原温控保全a01因缺selection副本在手机动作前失败、空输出目录保留；补充冻结selection副本后以新a02输出执行93458，exit0，308行到614.024917秒全部源/host SHA与准入prefix核同。新custody-after追加8件且保留全部旧清单，最终全树源SHA尚待执行。当前无活手机任务/待Stop。下一先修复整数键无损编码并验证，再新独占诊断，不重放a01，不将工具失败当指标异常。正式55/66、网络0/5。

修复决策 · 2026-10-25 · 原返回带类型编码a02

旧a01采样器/冻结审查保持不动，新增独立a02模块。原返回采用自描述带类型树：dict为键/值有序pair数组，整数与字符串键保持不同，int十进制字符串、float以IEEE754二进制hex保存（含NaN/Inf/负零），bytes为base64，None/bool/list/tuple分别标记；不执行pickle、不把整数键强转字符串。深度≤32、节点≤8192、单条≤1MiB、总≤16MiB。无法编码的返回使allRepliesRetained=false并明确lostReplyCount，保留错误时钟后停止，不伪装完整；禁止为修复丢失回复重发。a02独立decoder用于诊断分段，先边界/混合键/非有限/失败控制与320请求规模验证，再冻结新独占诊断。当前cadence-a01-post-fullsha原句柄24144在运行；新请求等待全SHA终态。

Implementation Update · 2026-10-25 · 带类型编码a02软件验证

新增network_reply_codec_a02.py与network_cadence_probe_a02.py，旧a01文件/审查不覆盖。原回复变为rawReplyTypedTreeV2，dict键/值分别带类型编码，浮点IEEE754 bits保存；新增独立decoder供review_network_cadence_a02.py使用。整数7与字符串“7”并存、NaN payload位、负零、binary与tuple往返、重复键拒绝及不支持类型丢失标记均验证通过（E2，手机动作0）。无法编码时allRepliesRetained=false、lostReplyCount1，错误时钟落盘一次后停止；不谎称保留原回复。320请求/部分enter/stop失败三控制复测通过，wall0.036759208秒、CPU0.027184秒、峰RSS30883840B，仅合成工具规模，非手机成本。

a02控制器与独立分析器已生成/编译，使用全新energy-network-cadence-20261025-a02-r1、真实容量61及上一失败诊断custody；尚待独立审查/冻结和新温控，不复用a01准入。下一在24144全SHA成功后精确正常退出上一已释放的a01生命，再以nonce energy-thermal-network-cadence-20261025-a02启动新的≤900秒零负载观察；仍600秒idle/末300秒nominal、15秒live准入，不发网络负载直到a02工具复核完成。正式55/66、网络0/5。

全SHA与a02温控启动终态 · 2026-10-25：24144 exit0，三根1975件3965011639B全部源/原host SHA及目录精确核同，Runs61。a01已释放生命精确核对后正常SIGTERM15一次、两次不存在，5428 exit0。新a02零负载温控原句柄87008运行，输出network-cadence-cooldown-a02、nonce energy-thermal-network-cadence-20261025-a02；下次轮询原句柄，不重新启动。a02控制器尚未冻结复核、未执行，无新网络负载或待Stop。标准Mac客户端保持退出。下一完成新codec/controller/decoder分离审查及收据冻结，真实温控准入后一次新诊断。正式55/66、网络0/5。

Validation Update · 2026-10-25 · a02完整软件链路与执行冻结

新增完整链路控制test_cadence_review_pipeline_a02.py，从混合整数键原返回的带类型编码、真实文件到独立decoder及实际PID匹配，六行覆盖baseline/三负载块/recovery，负Total/NaN均入分母，五段与全部请求计数通过（E2，手机动作0）。a02控制器、codec、分析器及依赖通过独立静态复核，cadence-controller-review-private-a02.json冻结pins，执行前再核同；在新目录先落selection副本，避免旧热保全工具缺selection问题。正常/失败Fixture、Export及温控保全脚本均已准备编译；不将编译称为真实采集通过。

唯一活任务仍为新温控87008，network-cadence-cooldown-a02，日志已持续至60.518秒。下一轮询同句柄，600秒idle/末300秒nominal准入终态后执行network_cadence_controller_a02.py一次，输出全新20261025-energy-network-cadence-diagnostic-02；其为隔离来源节奏诊断、标准Mac保持退出，无GUI Start/Stop。不重放a01，controller成功也须完整Fixture/Export/温控保全和独立分析后才能判断机制；仍不是正式五轮。正式55/66、网络0/5。

a02真机诊断启动 · 2026-10-25：温控87008终态exit0且真实准入后，一次运行冻结控制器17529，新前缀a02；首12条真实回复均成功带类型编码、错误0，尚未结束/分段分析。标准Mac退出、无GUI采集，仅单Monitor与临时服务端。下一继续原句柄终态后全源/Export/温控保全，再独立比较；不得把回复编码成功视为指标通过。正式55/66、网络0/5。

Validation Update · 2026-10-25 · a02节奏诊断终态及保全

控制17529、Fixture保全85723与温控保全85653均exit0。204条真实原生回复全部带类型编码、丢失0，Monitor停止、临时服务器关闭、负载自然释放。50MiB上传双端正文SHA一致，客户端129.620273秒、服务端133.343294秒。Fixture/Export8件源/host SHA及3510事件导出核同；温控308行到614.071906秒完整保全，因控制切换结束，不称900秒完整观察。custody追加8件，全部旧条目保留，真实Runs62。

独立分析全部请求入分母：baseline20、上传三块52/40/72、恢复20；上传三块Total负哨兵26/1/41。查询中位约0.213秒，响应后等待1秒意味着实际周期约1.213秒，不能满足每源只用一次的连续1Hz。分段结果支持继续调查节奏影响，但时间段及传输结束混杂尚未排除，不能建立因果、放松Total负哨兵规则或算指标通过。分析wall0.005568秒、RSS19595264B；导出核验wall0.047240秒、RSS21184512B，仅离线工具成本。

后三根完整源/原host SHA核验原句柄36171仍运行，输出cadence-a02-post-fullsha，下一先轮询同句柄，不重启或发送新负载。其终态成功后先前瞻冻结绝对1Hz请求起点的有界诊断与软件准入，再考虑新手机动作。标准Mac保持退出，无待Stop。正式55/66、网络0/5。

全SHA终态增量 · 2026-10-25：36171 exit0，三根1983件4018939471B源/原host SHA与精确目录全部一致，真实Runs62，可用13803089920B，wall155.921139秒、峰RSS134627328B。无新测试请求、无手机写入、无活负载。

下一最小诊断决策 · 2026-10-25 · 绝对1Hz请求起点（执行前）

目的仅验证连续1Hz请求节奏是否获得足够原生健康来源，不直接计正式轮或建立查询频率因果。使用新独占前缀及单Monitor，保留相同50MiB单并发上传及15/145/15秒阶段；绝对单调时钟请求起点为t0+k秒，响应和落盘时间计入该周期。不并发、不补发、不跳槽；若请求或持久化越过下一计划起点则明确调度失败并停止新请求，原回复及负载自然结束尾部全部保留。不得事后移动相位、缩分母或按有效帧过滤。每条保存计划/实际请求与响应时刻、device clock和完整带类型原返回；按实际stage ticks分组并另报告完整请求间隔，不把host周期等同设备测量窗。

关键路径为单次DTX查询/clock及有界编码落盘，O(n)时间、逐条流式O(单帧)内存，最多190次请求、16MiB、单调用8秒、capture190秒、控制225秒，临时服务器/单请求240秒。目标实际完整175秒观察内无调度漏点，预计总约183秒；沿用每10秒生命核验，无第二Monitor、无GUI采集。软件先覆盖响应0.213秒、刚好周期边界、超时、负哨兵、enter/stop失败和真实文件独立重算，报告wall/CPU/RSS与落盘量；不把合成开销外推为DTX真机成本。

执行门：新的600秒idle/末300秒nominal及15秒live准入、精确安装/空闲/全部冻结pins/实际容量62和完整custody核对，≥10GiB且不少于预计新增两倍。先实现并分离复核冻结新工具，再启动新温控及一次新诊断；不得复用旧准入或重放旧run。若完整1Hz仍出现负哨兵，则保留结果并继续来源机制判断，不放松产品语义。新诊断尚未实现或执行，正式55/66、网络0/5。

绝对调度实施边界 · 2026-10-25

私有a03调度器采用整数纳秒t0+k秒，上一操作达到或越过下一槽即失败，不补发；系统唤醒偏差允许最多50ms并逐点报告，超出即失败，容忍度仅为工具调度准入，不是指标误差或设备窗精度。该50ms边界先固定，不依据真机结果调整。190槽虚拟时钟控制通过，覆盖0.213秒响应、恰好下一槽/跨槽拒绝、50ms允许及超过50ms拒绝；wall0.000091秒、CPU0.000091秒、RSS22708224B，仅纯调度控制。尚需接入完整采样器、磁盘规模及生命周期测试与分离审查，未手机执行。

a03采样器实施增量 · 2026-10-25（未执行）

新增独立network_cadence_probe_a03.py，旧a02不改：190请求上限、绝对请求起点；原生回复完成并编码后再获取设备clock和每10秒生命检查，辅助查询失败仍先落盘原回复和错误，避免新工具再次丢失已返回内容。clock记录为响应后的真实时钟，独立分析必须报告该顺序与请求/clock间隔，不将其伪装请求时设备窗。stage+160后的最后回复同样保留后结束。已编译，但完整采样器规模/失败控制、调度误差实测、分析器适配、控制器冻结尚未完成，因此不启动手机负载或温控。下一先完成完整采样器E2控制与独立审查，正式55/66、网络0/5。

Implementation Update · 2026-10-25 · a03完整采样器软件控制

实际执行test_network_cadence_probe_a03.py，覆盖正常176条至stage+160、设备clock失败、生命错误、原生查询失败、enter失败、stop失败与stage缺失190请求上限。真实带类型编码、逐行flush/fsync、独立解码与生命周期执行通过；辅助clock/生命失败仍落盘已收到的负Total原返回，stop失败阻断成功，缺stage不误报完成。wall0.044694秒、CPU0.034435秒、RSS30965760B；正常每分支约579530B JSON重序列化统计，非源文件字节或DTX成本。调度使用虚拟时钟，不能据此推断手机可达1Hz。

另执行四槽真实主机定时控制，每槽合成等待213ms，t0不移动，最大唤醒偏差2.249250ms，wall3.217934秒、CPU0.002043秒、RSS22347776B；仅四槽主机证据，不能外推完整175秒或设备服务。

新增network_cadence_controller_a03.py，引用新a03采样器、新诊断03目录、a02 custody与全SHA、新温控a03及真实Runs62；仅编译，尚未审查冻结/执行。下一适配独立分析器的全部1Hz标签及响应后clock边界，完成完整链路控制与pins冻结、保全脚本后再新温控；无手机动作、无活动任务，正式55/66、网络0/5。

Implementation Update · 2026-10-25 · a03独立分析适配

新增review_network_cadence_a03.py，不导入产品投影：所有上传块明确标为absolute-1hz，严格核对t0+k纳秒计划、50ms唤醒界、响应后clock次序，报告实际请求间隔及请求至clock后界最大差。缺clock行进入clock-unavailable分母，辅助错误单列，不因失败消失；类型编码仍用独立decoder及精确PID。新六行真实文件链路控制验证五段、整数PID、负值和NaN均入分母通过（E2、无手机动作）。该控制为分段边界合成时间，非真实时钟关联精度证据。

已生成a03 Fixture源/Export保全与streaming核验脚本，旧a02不改；尚须补失败/温控保全、独立审查及冻结控制器pins后才能执行。当前无活任务、新温控未启动；标准Mac保持退出，正式55/66、网络0/5。

Validation Update · 2026-10-25 · a03执行冻结与新温控入口

分离静态审查a03控制器/绝对调度/采样/独立分析及源保全工具，冻结cadence-controller-review-private-a03.json。新增失败Fixture保全及温控完整源保全，均独占新输出；新增start_cadence_cooldown_a03.py，严格核对a02已释放、全SHA及同一进程生命后正常退出一次，再启动新的有界900秒零负载观察，准入仍真实600秒idle/末300秒nominal。新nonce与输出a03，不复用旧准入。

主机当前可用约31.8GiB，手机最近全SHA收据13.8GB；新观察与后续单50MiB诊断预计新增小于100MiB，每次新动作仍实时检查空间。冻结后允许先一次运行新温控入口，期间不自动启动网络负载；600/300终态后再核全部pins和15秒live准入执行独占a03控制器。当前正式55/66、网络0/5，工具准入不等于指标通过。

a03温控启动增量 · 2026-10-25：原句柄52272已启动且轮询确认活。前置精确生命/释放核验及正常退出一次成功，4.665806秒、无新负载/安装/直接写文件；随后进入新a03零负载观察。下一继续52272，禁止重启或提前发网络请求。冻结32件输入，温控仍须真实600/300秒准入，不以等待墙钟替代。

a03等待期间准入核验 · 2026-10-25

再次核32件冻结输入全部SHA一致、诊断03目录尚不存在。独立缺clock行控制通过：原生负哨兵回复虽无辅助clock，仍进入clock-unavailable统计分母，不静默删除。温控52272原句柄再次轮询确认活，最新真实设备观察60.515秒，尚不足600/300准入；未发网络负载、未重启任务。下一继续同句柄，终态后读取result-private.json确认真实准入，再执行一次冻结控制器；观察超时不作任务终止或重发依据。正式55/66、网络0/5。

a03诊断启动增量 · 2026-10-25：温控52272终态exit0，真实600.084907秒idle、末300秒nominal、末记录age1.242261秒，一次launch、负载请求0。随后已一次执行冻结a03控制器，原句柄63802；下一轮询同句柄，不重启/重发。终态后正常则preserve_native_cadence_a03.py，失败则preserve_failed_cadence_a03.py，保留自然尾部，再独立streaming/节奏分析、完整温控源保全、custody与后三根SHA。正式55/66、网络0/5，不将诊断计正式轮。

Validation Update · 2026-10-25 · a03绝对1Hz终态（未解决来源覆盖）

63802 exit0，单次新生命、单Monitor，wall182.763968秒，完整负载及恢复尾部结束且释放。176条原回复全部编码，查询/辅助错误0。独立分析全部入分母：baseline15、上传三块40/50/55、恢复16；上传三块Total负哨兵13/19/24，共56/145，仍有来源质量缺口。请求间隔998071834..1001996458ns、最大调度偏差2583708ns；响应约0.214秒，最大请求至后clock界220220583ns。原始SHA c8012b9c86487c0446c223371661692c3ee35d1d9f53d1244a6ef9859bf996ce。该结果证实本场景绝对1Hz请求未解决覆盖，不证明硬件故障或唯一原因，不放松哨兵、不进入正式五轮。

70383保全exit0：Fixture/Export8件全源/host SHA与manifest核同、真实Runs63；离线streaming核验3510事件、8件导出语义通过，wall0.046055秒、RSS24739840B。29872温控保全exit0：309行至616.023829秒全部源/host SHA和准入prefix核同，旧观察生命已结束；不是900秒完整观察。所有旧Raw/失败/尾部保留。

当前无活任务/待GUI Stop，标准Mac保持退出。下一先追加a03八件至custody，完整三根源/原host SHA及精确目录再核；之后须调查Energy原生服务的窗口/查询消费机制与独立可复现策略，不能重复相同采集或事后挑相位。正式55/66、网络0/5。

Investigation Update · 2026-10-25 · 原生Total分量关联（待证假设）

a03新八件已追加至custody，全部旧条目逐项保留，真实Runs63；后三根全源/原host SHA原句柄3589已启动并轮询确认活，输出cadence-a03-post-fullsha，终态前不新手机动作。

读取原生176帧发现：Total减CPU/GPU/network/location/display五项和恒为-10（min=max=-10）；energy.inducedthermalstate.cost恒为-1；81个Total负帧的network均0。该原始算术关联包括baseline与恢复，上传负帧仍56/145。来源source-total-component-residual-private-a01.json及完整原回复；另保存kIDEGaugeSecondsSinceInitialQueryKey逐帧值，仅字段名不能证明设备测量窗。

待证假设：负Total可能与某个分量加权合成有关，而不能直接由缺覆盖推定采集故障；目前无系统公式/服务语义证据，不能宣布-1是有效物理值、Total负是合法值或改变整帧哨兵规则。下一只读检索本地SDK/协议研究原始来源与既有质量决策，先确认语义再决定是否需要前瞻修订；不以本次相关性自我证明通过，不重测历史。正式55/66、网络0/5。

Investigation Update · 2026-10-25 · Xcode分项消费静态证据

3589终态exit0：三根1991件4072867315B全部源/原host SHA及精确目录核同，真实Runs63、手机可用13748629504B；wall156.935641秒、RSS152600576B。无活任务、无新负载。

追溯仓库CORE19历史可见“负Total整帧missing”为产品保守决策，既有记录证明-10是设备原值，但尚未找到服务规格证明它能否使其它独立字段无效。只读检查本机Xcode ARM版IDEIODebugGaugesUI，二进制SHA c2a046051c488c42cf7d6263b467a3fedb0a16ae4e672a4912fd7119baa9d13b，保留完整反汇编与xcode-energy-breakdown-e1-review-a01.json。

所查IDEEnergyGaugeEditor _calculateBreakdown:…fromResult:方法：0x71c0按version==1分支；0x73fc..0x7424读取NetworkingCost并floatValue存入网络输出；0x7494..0x7540单独读取热状态为integer；0x7544..0x7590合计五项overhead及各项成本/后台成本到图表total；该方法没有TotalCostKey引用。仅能据此说明本机Xcode此消费路径独立读取网络分项，不能把其图表合计当原生Total或独立同定义cost真值，也不能由静态片段证明所有0有效、设备服务完整算法或放松身份/源唯一消费。

下一只读确认键符号映射、完整调用路径和负值/0处理，结合a03全部原帧检查字段级异常及版本边界；若证据支持网络字段独立质量，必须前瞻文档化局限于网络项的新质量版本与反控，再实现/新内部包/新资格/完整五轮。历史已验Total/CPU/GPU及失败结论不回改、不重测。当前整帧规则保持，正式55/66、网络0/5。

Investigation Update · 2026-10-25 · 键映射与完整调用链边界

IDEFoundation ARM64符号及CFString字面量已对应：EnergyCostKey@0xb24bc8→energy.cost，EnergyVersionKey@0xb24c00→energy.version，NetworkingCostKey@0xb24c18→energy.networking.cost。首尝试未解码ARM64 chained pointer而失败，无输出收据/手机动作；随后明确按低36位rebase target解析，三项字面量全部断言核同，独占收据xcode-energy-symbol-literals-e1-a01.json。该处理仅适用于本二进制格式，不推广为通用Mach-O解析器。

补核调用方_calculateBreakdownStateAveragesFromResults:startIndex:：0x7c28..0x7c94将选中结果先传入breakdown，之前未查原生Total；0x7dd4..0x7e38确实读取EnergyCostKey的integerValue，加入含overhead的滑动平均，再把负平均截0；0x7e48..0x7ec0再次将旧结果传入breakdown以移出窗口。故上一增量“所查breakdown方法不读Total”成立，绝不能扩展为“整个Xcode消费链不读Total”。Xcode截0/整数取值属于其图表算法，不可直接复制进Perfowl原生cost。收据xcode-energy-call-chain-e1-review-a02.json保留边界。

该调用路径未显示以原生Total负数否决网络分项的条件，形成网络字段独立质量的E1支持；仍不提供设备算法或独立同定义精度。下一须形成明确版本化网络专属合同：区分旧回放保守语义、新version1字段质量与未知版本、单字段负值/非有限/缺失，以及原生0、身份与来源唯一消费；先检查现有formula/receipt如何避免把新规则追溯应用旧标记，再定稿与实现。未修改产品质量规则、未执行新采集，正式55/66、网络0/5。

修订决策 · 2026-10-25 · 网络字段独立质量（前瞻，未验收）

基于完整Xcode消费路径E1与a03原始字段E4，网络cost采用字段级质量是独立的产品合同决策，不声称已逆向设备完整公式。仅新采集明确带energyNetworkQualityPolicy=energy-network-field-local.v1时生效；原energy-network-source-once.v1来源/唯一消费合同不变。无质量标记的旧回放、未知标记、历史Total/CPU/GPU及六分项既有规则不被追溯改写。

新算法energy-network-field-local.candidate.v1：仅精确整型energy.version==1，目标网络字段为有限非负int/float且非bool时直接原样候选；真实0合法。网络字段负数仍source-sentinel，缺失/非有限/类型错误missing，未知/缺版本fail-closed；Total值独立保留，不据其负值否决这个新网络字段，也不将Total改0或合成替代。身份、服务、解码、丢包、严格PID、代际/epoch、序号、2秒age及单源一次发布全部保持。无差分、换算、聚合、截零或取整，scope/process、unit/source-native-cost不变，deviceEnergyWindowVerified=false。

Raw派生仅对带新标记网络MetricValue显式覆写formulaVersion，Registry默认旧公式不变；实时receipt随实际观察标记选择公式并写qualityPolicy。旧标记结果及公式必须逐项反控不变；未知质量标记不得退回有效值。网络新规则不改其它指标或旧报告数值。新无效版本也推进已验证来源高水位，防止旧正值复活。

实施路径：新增标记常量/选择选项、adapter保留标记、validator分支、Raw网络公式覆写、实时独立收据。O(1)每源、O(1)状态，无新设备请求/线程/进程；软件目标120/600槽全writer三pair与当前WIP基准比较，CPU/内存/I/O无明显退化，首次响应不多一轮等待。测试覆盖新版本/缺版本/未知标记、Total负网络0/正、网络负/缺/非有限、旧回放、其它Energy隔离、真实消费者及源唯一消费/失败高水位。软件后仍须新224内部签名包/源码核同、旧223回滚保留及同址安装、新参考决定/容量合同/温控/资格和完整新五轮；旧a03不追认正式，正式55/66、网络0/5。

Implementation Update · 2026-10-25 · 网络字段独立质量首版（E2）

已在energy_network_freshness.py加入显式质量标记、version1字段验证及独立公式选择，publication_options对新采集启用；EnergyRawAdapter仅保留明确请求的标记。RawMetricEngine仅对新标记网络值覆盖公式，包含身份失败的空值，Registry默认公式及旧回放保留；实时receipt记录实际qualityPolicy/formulaVersion。旧无质量标记仍执行Total负整帧门，其他Energy项及Total不修改。

新五项反控覆盖Total负/网络0与正值、旧回放公式、未知/缺版本与类型、未知质量策略、无效新源高水位阻止旧值复活。网络35项通过4.500秒；随后Energy聚焦121项通过18.002秒，0失败。异步故障路径仍有ResourceWarning日志，原日志保留，不声称已消除此问题。新软件结果不能证明真机可用或指标通过。当前相对方案无语义偏差；尚待实际adapter新标记/消费者专项、120/600槽真实writer前后效率、分离代码审查、新224内部包与源码/安装/真机资格及新完整五轮，未开始打包或手机动作。正式55/66、网络0/5。

Validation Update · 2026-10-25 · 字段质量适配器/消费者与规模基准

新增实际EnergyRawAdapter反控：publication_options→adapter真实_payload保留新质量标记与原始version1，Total负/网络0按新字段规则候选；仅旧来源标记不携带新质量标记，仍source-sentinel。字段质量专项6项0失败0.002秒；Swift实际Session消费者专项1项0失败0.017秒，验证value/null/0及存储和导出CSV；不以合成消费者证明真机。

120/600槽各三pair、交替before/after共12子进程真实Raw→Metric→Projector→SessionWriter→checkpoint→seal/报告规模基准通过既定CPU/时延/RSS门。before三处变化模块经逆构后全部SHA逐字核同已冻结Build223源码pins，不用新实现自充旧基线；其余模块在比较中相同。两边均source-once及相同version1有效输入，新侧才加字段质量标记，测试数据不选择Total负来影响吞吐比较。120槽work wall中位0.038935→0.039395秒、work CPU0.037498→0.037600秒；600槽0.187191→0.186046秒、CPU0.180804→0.180590秒。全部p95≤0.105750ms、单步max3.811750ms、峰RSS70123520B，执行时源码核同。子进程冷启动wall下降不解释为算法提速。

限制：物理I/O峰值字段仍unknown，基准仅记录实际落盘文件总字节及writer响应，不据此声称物理磁盘峰值无退化；尚需补I/O观测或明确门禁处理。基准来源field-quality-efficiency-a01/result-private.json、Swift日志field-quality-swift-consumer-a01.log。下一分离审查及该开销缺口关闭后重建sidecar/224内部签名包并核源码/PYZ、安装与新真机资格；未新包、手机动作0，正式55/66、网络0/5。

I/O测量补充方案 · 2026-10-25（执行前）

采用本机SDK sys/resource.h rusage_info_v2及libproc proc_pid_rusage(RUSAGE_INFO_V2)读取当前子进程内核归属磁盘读写字节。对每个writer步、checkpoint及seal前后实际时间窗口计算非负字节差/真实秒并报告最大观察速率、总字节与窗口最短长度；两侧相同观测开销，复用已核同223基线、新独占目录，不再改产品。该量是进程归属I/O观察窗口峰值，不是全磁盘硬件瞬时峰值；计数0仅表示内核归属0，绝不解释成未写文件，另报实际产物字节。12个子进程仍120/600三pair，单子进程120秒边界。若API失败/计数倒退/新侧明显额外I/O则不关门，不用估算值替代。

Validation Update · 2026-10-25 · I/O实测与224打包准入

libproc测量12个真实writer子进程成功，SDK rusage_info_v2大小160B、读取/写入累计计数均单调；测量的两侧源码核同，CPU/时延/RSS门同样通过。120槽内核归属读中位8192→4096B、写1667072→1601536B、观察窗口峰值85.840→89.018MB/s；600槽读0→4096B、写7602176→7651328B、峰值98.571→99.183MB/s。600槽读侧只多4096B，基线0不计算比例；写量变化-3.93%/+0.65%、峰值+3.70%/+0.62%，无明显I/O退化。产物770652→787644B、3469869→3554065B（新增显式标记约2.2%/2.4%）。这里的峰值仅实际writer/checkpoint/seal观察窗口的进程归属计数差，不宣称硬件瞬时峰值或其他进程负载。独立观察收据field-quality-io-independent-review-a01.json保留。

分离代码审查确认显式新质量标记才启用version1字段级合同，未知版本fail-closed并推进来源高水位、旧无标记仍旧公式/Total门；新网络逻辑未修改Total/CPU/GPU验证器。下一按既有内部授权生成Build224（先重建core runtime并冻结源码），严格签名/ARM/源码与PYZ核对、独立解包后再空闲同址安装；223原件/回滚保留，公证暂缓，未新包前不发手机资格。正式55/66、网络0/5。

Implementation Update · 2026-10-25 · Build224内部包与安装终态

57351构建exit0，wall43.178074秒，432源码pins不变；包内六模块代码对象递归核同当前源码（network/CPU/GPU freshness、adapter、engine、realtime）。5761打包exit0，App与DMG严格签名、容器完整性、独立解包12901文件/30链接全树一致；319个Mach-O均含ARM、Intel-only0，冻结pymobiledevice3 11.3.1与Core probe成立。

20255安装exit0，先确认标准App/Core进程0、241个保存Session均封口（239completed/2failed），正常空闲后原223 App与dist2文件完整rename保留到私有install224-a01，删除证据0B；独立解包来源覆盖/Applications/Perfowl.app并全树/严格签名核同。dist现仅224 DMG及SHA，包136656192B，SHA9571b90736199e747020c15c1f86cd40e833d3a7573b8659ad43e78f413ed8c3；安装10.668919秒、主机可用32585166848B。Apple Development仅Owner授权本机内部测试、Gatekeeper exit3、未公证，不能描述正式分发交付完成。

当前无活任务、客户端尚未打开，手机动作0。下一先核63个真实Runs的容量合同（完整五轮不能依靠仅余1槽），保留所有旧原件/失败/尾部，完成必要审计保全与可逆Retired归位及新全SHA；然后新资格须新质量标记/公式、直接stage clock包围修复、独立字段级审计与参考决定，不能重解释a03为正式。正式55/66、网络0/5。

容量合同 · 2026-10-25 · 新字段质量资格与五轮

真实Runs63，最多64，只余1槽不足独立资格1+正式5。选定已完成且released的五个历史Available正式run，25件/544325B，全部原host SHA再次核同。先完整保全/原源全SHA已通过；仅一次可逆rename到专属Retired子目录，保留全部原host副本、Export与映射，不删除或复测历史，不移动失败样本。完成后真实58，预留资格1+完整五轮5恰到64；失败则停下重新核容量，不自动腾挪或缩轮数。

新私有capacity-field-contract-private-a02.json与network_field_capacity_migration_a02.py冻结精确五run/件数/字节、63→58及新目的路径。执行前再核空间、目录/mtime/summary释放，逐rename前意图/后回执，失败不重发；终态后新custody完整三根源/原host SHA通过才进入新温控/资格。正式55/66、网络0/5。

容量归位终态 · 2026-10-25：99873 exit0，五run/25件544325B全部一次可逆rename、新custody已生成，真实63→58；删除0B、新请求0、wall3.772025秒。随后新完整三根源/原host SHA原句柄59630运行，输出field-capacity-post-fullsha-a02，已轮询确认活，继续同句柄不重启。新资格/温控等待该核验终态；当前仍无新负载。正式55/66、网络0/5。

新字段资格时钟修复方案 · 2026-10-25（执行前）

旧资格的after43点随后等待产品重绑、再按ack后12秒才恢复clock，未连续覆盖实际stage。新a02控制器保留before/after各3点，native生命验证后在重绑等待每次迭代也读取直接clock；重绑后从age0至26秒每≤0.2秒等待取clock，响应时间如实计入，所有点保存。不再用ack后12秒推定stage，不通过改宽750ms门补资格；离线按真实stage ticks寻找前后两界，宽度>750ms仍失败。若重绑/服务导致间隙，保留失败不选相位。

单clock8秒、重绑15秒、观察基于真实native ack185秒、Session225秒上界保持，前26秒约≤130次clock（再加前后6点及重绑有界迭代），总clock≤256，流式独占收据。每个正式分母仍首个固定计划槽达到stage上界+5秒后的连续120槽，最后槽须在stage下界+126秒内；新网络字段质量/公式独立审计，不要求Total为非负，不忽略网络字段异常。工具先完成无手机控制与冻结，再新温控/唯一Start。

容量后全SHA终态 · 2026-10-25：59630 exit0，三根1991件4072867315B全部源/原host SHA及精确目录核同，实际Runs58，手机可用13753454592B；wall159.350743秒、RSS148783104B。零新请求/手机写入。新network_field_qualification_control_a02.py已生成并编译，修复重绑等待与age0..26连续直接clock，但尚未软件控制/冻结，也未新温控或GUI Start。下一补独立字段级审计与异常反控、参考决定及执行冻结，再新600/300准入；当前无活任务，正式55/66、网络0/5。

网络字段独立审计实施方案 · 2026-10-25

先新增独立来源审计模块，不导入产品投影代码：严格核对来源服务、目标身份、版本整数1、新质量标记、公式与每源仅消费一次；Total负值不否决合法网络字段，网络负值仍拒绝，非有限/布尔/巨大整数置缺失。无新标记的历史数据不能进入新口径资格。直接时钟仍要求真实stage前后包围≤750ms。反例覆盖错目标、身份、旧公式、旧标记、重用、过期与时钟缺界；此步仅E2工具验证，不是完整资格审计或E4通过。

执行路径逐行校验，O(n)时间、来源索引O(n)空间，限定单轮≤2400条Raw/样本；单元控制预计<1秒，无并发、无手机操作。后续完整审计再接入封口链/双端上传SHA/固定120槽/全部消费者与完整规模资源门，未接齐前禁止启动资格。

来源审计实施增量 · 2026-10-25：独立网络来源审计已新增internal/acceptance/energy_network/source_audit.py与test_source_audit.py，不导入产品代码；14项正常/反例控制0.001秒全通过（E2），覆盖版本/质量标记/旧公式/双目标/负值/非有限/重用/过期/身份/直接时钟缺界及超宽。git diff --check通过。仅来源审计，完整封口链、上传双端SHA、固定120槽及所有消费者尚待接入；没有新手机操作或活任务，正式55/66、网络0/5。

完整网络审计实施增量 · 2026-10-25：完整单轮网络审计已接入独立source_audit、封口与SQLite逻辑checkpoint、Raw→derived、Wire/Swift/CSV全行、coverage代际、双端50MiB上传SHA和持续120..145秒、真实stage直接clock及固定120槽；新audit_contract/test_workload_audit/review_round均不导入产品投影。18项控制0.001秒全通过；旧资格真实3510事件的上传合同通过（client130.707546秒/server133.338792秒），仅工具兼容性核对，不追认旧轮。完整新审计对旧资格在raw-quality-policy处按预期拒绝，耗时0.052973秒、RSS33325056B，私有new-audit-old-qualification-rejection-a01.json保留。下一补完整正向Session与篡改反控、审查新控制器/输入冻结，再新600/300温控；当前没有新手机动作或活任务，正式55/66、网络0/5。

完整正向与篡改反控增量 · 2026-10-25：新增build_software_control.py及test_full_round_audit.py，以真实产品Raw/Metric/Realtime/writer/checkpoint/seal/report生成核心，再由软件fixture构造标准消费者结构、上传事件与时钟（不是运行Swift或手机，不是E4）。首a01合成clock自身重叠被direct-host-order拒绝，原件保留；修正合成clock间距后a02完整130源/130样本/32件1719036B通过，固定首120槽、formalMetricAccepted=false。6种重新核外层保存SHA后篡改（CSV值/derived公式/core封口/clock超宽/server SHA/计划槽间隙）分别在预期深层门拒绝，恢复后再次通过。19项unittest共0.271秒0失败。独立600源/600样本规模完整审计通过，32件7586987B，审计0.058716秒/RSS102711296B；软件构造+审计0.352721秒。所有合成证据仅E2，固定窗口只用首120槽，不换相位或缩分母。git diff --check通过。下一审查新资格控制器与保全/温控工具，准备新私有资格目录及冻结输入；当前无活任务/新手机动作，正式55/66、网络0/5。

新字段资格执行准备 · 2026-10-25：新资格目录20261025-energy-network-field-qualification-02已建立，run前缀energy-network-field-20261025-a02-r1，不属于正式五轮。保全Session/Fixture/Export/温控尾部及流式审查已分别适配新目录；控制器保持224/真实58Runs/固定1Hz/225秒/一次native launch/重绑及前26秒连续clock/≤256点约束。新温控使用nonce energy-thermal-network-field-20261025-a02，先核上一生命及已释放、最新custody和全SHA，再最多一次正常退出及一次零负载observer；600秒真实观察且连续300秒nominal才准入，最长900秒。保全工具与全部当前独立审计模块先做SHA冻结，执行日志私有；不重试失败、不重放旧run、不计正式通过。

新字段资格结果与停止延迟修正 · 2026-10-25：新字段资格a02完成：温控600.056秒/连续300秒nominal通过，491件输入冻结，单次GUI Start/Stop及一次native负载启动/产品重绑。Session32件5354776B源/host SHA核同，226样本均candidate；317 Energy来源全部非负，Raw总318。Fixture/Export8件及3510事件语义核同，50MiB双端正文SHA一致，client129.437956秒/server133.335300秒；温控405行至808.056155秒的完整尾部保全（不称900秒完成）。独立完整审计dataGatePassed=true，固定120槽为样本20..139，全来源/derived/消费者/封口匹配，真实stage时钟包围209544083ns，软件资源门通过；但人工代理未及时执行GUI Stop，实际Session228.397207秒超过225秒，qualificationPassed=false，formalMetricAccepted=false。不得放宽预算、重写结果或将此轮拼进正式五轮。下一修正代理停止执行节奏：native观察150秒后每≤5秒核对原句柄，stop-ready后立即使用已验证有效的Stop控件，不再45秒等待；保持原225秒门。新资格需全新run并重新600/300准入。真实Runs59，仅余5槽，不足新资格1+正式5，先后三根全SHA终态再文档化必要可逆归位，不删失败。已追加新8件到新custody-after，55519正在执行后三根完整源/原host SHA；继续原句柄不重启。正式55/66，网络0/5。

新资格容量合同 · 2026-10-25：a02失败后真实Runs59，仅余5槽不足新资格1+正式5。新私有capacity-field-contract-private-a03.json精确选择一个已completed且workloadReleased的历史run（5件5409799B），仅可逆rename到新Retired子目录；原host/Export/所有失败与a02证据不动，删除0B。执行前必须等待55519完整三根源/原host SHA成功，再逐目录/mtime/摘要核对及一次rename，真实59→58后再次全SHA成功才可新温控。范围/字节/前后数量及每次操作意图均落私有收据，不按时间自动选删。

新资格容量保全进度 · 2026-10-25：a02后三根全SHA55519终态exit0：1999件4126795143B全部源/原host SHA及精确目录核同，真实Runs59，phone可用13669851136B，wall164.836645秒。新容量执行3460 exit0：仅一个历史已完成run的5件5409799B一次可逆rename到Retired，新custody已生成，实际59→58，删除0B，wall3.515256秒。容量后全SHA98337正在运行，继续同句柄，输出field-capacity-post-fullsha-a03。全新资格目录20261025-energy-network-field-qualification-03、run energy-network-field-20261025-a03-r1及控制器/温控/四保全审查工具已适配并AST编译，未冻结/未执行，须等待98337成功。后续停止观察在native150秒后每≤5秒核对，stop-ready立即正常Stop；仍225秒门，不复用a02。当前唯一活任务98337，标准224保持已停止采集，正式55/66、网络0/5。

新资格a03执行前合同 · 2026-10-25：仍Build224/Lab34，独占新run energy-network-field-20261025-a03-r1，网络资格不计正式五轮。沿用原185秒native观察/225秒Session及完整120固定槽；代理native150秒后每≤5秒检查原控制器句柄，stop-ready即正常Stop。新nonce energy-thermal-network-field-20261025-a03要求重新真实600/300准入；容量后完整SHA成功才启动。新四保全工具与输入冻结后执行；失败原件和尾部继续全部保留。

新资格a03预检失败记录 · 2026-10-25：新资格a03控制器预检未发GUI Start/native signal/network request：失败为observer-ended-before-admission。当前私有目录request/events/summary三件已源/host SHA核同；900.088516秒、450条原始observer记录、全程active与最后连续300秒thermalState=nominal校验通过。已达到600.991秒热准入后，iOS observer继续运行并自然完成900秒；执行资格控制器时目录已新增summary，原live-only工具只接受request/events，故拒绝进入，不构成网络负载轮或指标失败。证据thermal-final-preservation-a02与watch-result-private.json保留。

新资格a04顺序准备 · 2026-10-25：新独占前缀energy-network-field-20261025-a04-r1；使用新nonce重新真实温控900秒上界，600秒且连续300秒nominal即资格窗口，结果后自动立即运行控制器，以防handoff跨过observer自然900秒终点。控制器准备后等待唯一GUI Start；native150秒后每≤5秒检查原session，STOP READY立即CUA正常Stop；225秒门不变。新四保全工具与491项冻结在温控开始前完成。a03未Start/未产生网络负载，证据保留。

新字段资格a04独立复核 · 2026-10-25：新资格a04通过独立E4准入复核：Session32件/5120126B SHA原件/副本全同，固定120槽序号20..139全candidate，全部215个sample与303个Energy来源逐行核同，负哨兵0；50MiB上传完整，client 129.622253s / server 133.336689s，双端正文SHA一致；direct stage时钟包围209370083ns；真实Session216.753924s≤225s，resource门通过。Fixture/Export8件、357事件流语义核同，热状态尾部712.032237s前持续300秒nominal、实际观察未满900秒。Controller一次native launch/产品重绑、UI一次Start/Stop；资格通过仅表示负载和采集准入可用，formalMetricAccepted=false、referenceAccuracyValidated=false，不是五轮正式验收。当前输出watch wall 218.243833s，原A03/a04预检失败均保留。

Formal attempt freeze · 2026-10-25 · 网络能耗独占五轮 a01

资格a04只作为本attempt的单独准入证据，正式轮数仍为0/5；不把资格轮、a02超时轮或此前诊断轮拼进分母。已确认没有符合scope、公式及同窗条件的独立1Hz网络成本参考；只有本attempt五轮全部正常、无异常数据时，才按Owner政策记录NO_REFERENCE_ACCEPTED_OWNER_POLICY，并保留referenceAccuracyValidated=false。该政策不放宽来源哨兵、负值/非有限值、过期、身份、完整性、固定窗口或时限门。

本attempt使用私有独占目录20261025-energy-network-formal-attempt-01，五个新run名为energy-network-field-formal-20261025-a01-r1至energy-network-field-formal-20261025-a01-r5。前缀与资格a04的energy-network-field-20261025-a04-r1区分；启动前按设备当前目录重新核查碰撞。固定当前224内部包、1Hz、七项Energy、50MiB单次上传、服务端限速、关闭截图/启动采集、单次native launch、自然重绑、direct-device-clock包围、固定连续120槽及225秒Session上限。每轮使用全新温控nonce和Session；每轮≥600秒idle、末尾连续≥300秒nominal/active，live准入后15秒内准备负载。native观察150秒后每≤5秒检查原句柄，STOP READY后立即正常停止。五轮之间先完成该轮的独立审计、完整保全、增量custody与源/host SHA核对；任何一轮失败即停止本attempt并保留原件，不补轮、不重放、不缩分母。

本attempt对“正常轮”的额外冻结条件：整份Session中网络字段的每个有效Raw来源和每个sample都必须是有限、非负且candidate，无network source-sentinel、missing、stale、identity/reconnect错误或消费者/封口差异；固定120槽仍逐槽完整且相邻计划间隔精确1秒。Total、CPU、GPU等其它Energy项的负Total语义不用于否决新网络字段候选值，但这些字段不得被用来掩盖网络字段自身异常。资格a04已观察到215/215 candidate、303/303非负网络来源、网络负哨兵0，作为冻结配方的资格证据，不计正式轮。

准入容量与证据收据

资格a04后的全树校验field-capacity-post-fullsha-a04/result-private.json已终态成功：三根目录共2007件/4180722951B，手机Runs实际枚举为59，运行上限64，剩余恰好5个run槽；原host副本SHA一致、三根目录枚举期间保持不变，手机可用13630185472B（约12.69GiB）。分目录为Runs 470件/1877257726B、Exports 287件/799792497B、Retired 1250件/1503672728B。a03到a04资格的同范围实测增量为8件/53927808B；以该增量估算五轮约269639040B，双倍空间预算为539278080B（约0.50GiB），小于当前可用空间且满足10GiB底线。主机可用31664752KiB。新一轮开始前仍重查手机与主机空间、真实Runs、已有目录/摘要和活动Session；每轮完成后重新核数，运行上限不得超过64。

资格a04是正式采集前唯一额外run，故59+5=64恰好容纳完整attempt，不留重试槽。若目录增长、容量收据不一致、活动任务未释放或预计新增量无法满足双倍空间门，则不得启动下一轮；先保全并重新形成独立准入收据。当前正式仍0/5、整体55/66；尚未启动本attempt。

Validation Update · 2026-10-25 · attempt冻结与容量收据分离核验

补强internal/acceptance/energy_network/formal_attempt.py：五轮独立审计现在必须接收外部预先记录的attempt冻结SHA，并逐字节核对冻结文件；再按冻结 locator 安全解析资格与容量私有回执、核各自SHA和关键字段，检查59/64容量、五个唯一run名、双倍空间预算、参考缺失政策与失败即停约束。路径不得越出私有父目录。审计不再只信冻结JSON内部的数字。命令行没有外部冻结SHA时会拒绝启动。

新增3项控制覆盖有效冻结/回执组合、冻结或容量回执被改写、路径穿越。该模块共11项单测全部通过，用时0.006秒；当前私有a01冻结、a04资格复核和容量回执的SHA及收据内容核对通过（59个已占run、64上限、预留5个），未写手机、未启动Session、正式仍0/5。证据为E2（离线控制）及只读私有收据核验；不代表正式attempt完整执行或指标通过。完整round controller、每轮温控/保全调用和执行输入冻结仍待独立审查。

测试后仅清理两处可重建Python缓存：internal/acceptance/energy_network/__pycache__/与fixtures/ios/PerformanceProbeFixture/LabTests/__pycache__/，共10文件/176,968逻辑字节；Raw、失败样本、Session及custody均未触碰。工作区可用空间检查值为32,419,565,568 B（清理前）与32,419,618,816 B（清理后）。

Implementation Update · 2026-10-25 · 正式轮次顺序门

新增internal/acceptance/energy_network/round_gate.py。第n轮前必须有新鲜的三根目录全SHA/原host副本核验、实际Runs枚举、224/90.21.34安装状态、零活动Session及手机/主机空间门；核对该run名未出现、未有更后轮次，并逐轮重新运行前序完整独立审计。只有这些门全部通过，才以exclusive create创建该轮合同目录。单轮完成后review_completed_round再次核原始Session/Fixture/上传/温控与封口；失败不生成“accepted”回执，后续轮次因此不能获准。尝试接受仍保持false，五轮最终由另一个聚合器复算。

新增7项顺序、容量、名称碰撞、独占目录和前序完整复核控制。软件合成整轮证据只用于E2流程控制，不是手机轮次。网络能耗包内完整测试37项通过，耗时0.410秒；无手机操作/Session/新run，正式仍55/66、网络0/5。工具覆盖了attempt冻结和下一轮授权两段；真实手机控制器、失败/partial数据保全及逐轮custody工具尚未完成，不能开始正式attempt。

Implementation Update · 2026-10-25 · Session失败/partial保全

新增internal/acceptance/energy_network/session_preservation.py，对Stop后的Mac Session做非破坏性快照。它等待manifest进入terminal状态且文件树两次稳定后，先检查主机至少10GiB且可用空间不少于快照两倍，再逐文件SHA复制并fsync；复制后重核源与副本目录、大小、SHA及源元数据。完整、失败、取消、partial终态都可保全。遇到活动Session、符号链接、路径重叠、空间不足、输出冲突或复制中变更时不删除/改写原件，记录拒绝或部分副本并失败。原Session持续保留；快照结果把“保全完成”与“采集成功”分开，失败状态不可能被转换成指标通过。

新增4项控制：完成/partial都可保全、活动状态拒绝、符号链接不跟随、既有输出不覆盖。与来源、整轮审计及顺序门合计，网络验收工具全套41项通过（0.490秒，E2）；没有手机操作或新Session，正式仍0/5。还待真实单轮控制器、Fixture与温控尾部失败安全保全、增量custody及三根全SHA连接，尚未启动正式attempt。

Implementation Decision · 2026-10-25 · 逐轮三根目录增量 custody

正式五轮每轮结束后，按轮保存 Runs、Exports、Retired 三根目录的完整源/主机副本SHA快照。独立校验器必须核对快照文件的外部SHA、各根目录哈希前后稳定、所有旧条目逐文件不变、唯一允许新增的正式run和其Export、真实run枚举增量为一、64槽上限与双倍空间门；不得以文件数量或摘要代替内容SHA。校验器只产生该轮审计材料，不读取或改写手机数据，也不判定指标通过；完整的真机读取/复制仍须由受控采集器生成可核对快照。失败时保留已写输出与输入，不创建通过回执，不启动后续轮次。

现存私有保全结果使用按根分文件的{files, directories, topNames}格式。执行器侧快照适配器按每根原收据的外部SHA绑定输入，校验收据完整性、固定远程根路径、容量摘要与Run枚举；逐个复核每个hostCopyPath的设备文件SHA、大小、inode/mtime复制稳定性，再产生规范化快照。主机副本全部须位于本次attempt指定的私有证据根内。正式执行中的preflight和postflight都重新读取设备，不能把已通过的a04资格容量收据冒充新鲜正式轮次容量。

正式Run前的只读准入必须在同一设备连接上枚举三根目录、确认Lab/App版本、检查无活动Session与pending work、读取真实容量，并逐个流式读取全部旧文件与原host副本核SHA；对每个文件执行前后metadata比较，起止两次核目录集合，不落盘重复副本。单DTX/AFC调用≤8秒、单块≤1MiB、总准入≤300秒，顺序I/O避免并行占用USB/RemoteXPC；超时、目录漂移、空间不足或任一SHA不符即停止且不开始采集。已验证本机host副本4.18GB SHA校验的速度，手机侧完整准入耗时待实测。

Implementation Update · 2026-10-25 · 三根目录逐轮 custody 复核

新增internal/acceptance/energy_network/custody_chain.py：独立重算每份快照的Runs、Exports、Retired源清单摘要；逐文件重算原始主机副本SHA；拒绝符号链接、路径越界、重复/缺失条目、源/副本不一致、哈希期间清单变化、旧条目变化、非预期新增Run/Export、Retired变更、容量不足和Run名碰撞。仅接受固定59→64的Run序列；最后一轮正好占用第64槽。审计回执采用exclusive create；formal_attempt.review_round_bundle在每轮晋级前重算此回执，并要求capacity-after中的回执SHA和容量/新增路径字段一致。

新增6个custody反例/正例测试，并把正式轮次顺序测试升级为验证回执篡改不能授权下一轮。完整网络验收离线套件48项通过，用时1.013秒；git diff --check通过。证据等级E2，测试数据为小型合成树；尚未提供与真实约2000项/约4.1GB保全规模匹配的耗时、CPU、内存与I/O基准，因此不据此宣称效率门已关闭。没有手机操作、活动Session或新Run，网络仍正式0/5、整体55/66。

当前批次状态partial：以上只实现独立快照校验器与晋级门连接，仍缺连接真机的正式单轮执行器、三根目录全量快照生成器，以及Fixture和温控尾部失败/partial时的端到端保全和收据串联。标准Perfowl目前采集已停止、设备通道显示就绪；217张未保存预览仍在内存。控制器、Fixture失败保全、资源与真实规模效率门通过独立复核前，不启动正式attempt。

Implementation Decision · 2026-10-25 · 正式单轮控制与失败尾部保全

单轮执行采用独占、不可重放的状态账本；状态顺序固定为 preflight → round-reserved → cooldown-ready → GUI-start-observed → fixture-launched → workload-sealed → STOP-READY → GUI-stop-observed → session-terminal → all-source-preserved → independently-reviewed。每个有副作用动作先以 exclusive-create 落盘 intent，再执行一次并写 receipt；任何调用超时、回执缺失、来源漂移或阶段逆序都写入终态失败并禁止晋级，不重试、不补Run。脚本只负责读取/验证GUI状态和承载设备动作；CUA Start/Stop必须各一次，实际动作计数写入同一轮私有账本。

正式轮使用已冻结的单50MiB上传、单并发、服务端限速、15/145/15秒阶段和单次原生owned-App启动。网络服务端在GUI Start前以私有临时token启动；控制器仅在检测到本轮唯一新Session进入capturing后启动Fixture。Host单调时钟和设备mach_time_info()独立记账，launch/重绑至计划stage期间最多256次有界读取；采集到的相邻设备时钟必须直接包围真实stage ticks且宽度≤750ms，不得用wall时钟或事后选窗替代。150秒后每≤5秒检查同一owned-App生命和Fixture完成状态；预算内显示STOP-READY后立即执行唯一GUI Stop。总Session≤225秒，native/AFC单调用≤8秒，服务端≤240秒、单连接、流式64KiB、最多2400条Raw、单轮新复制≤128MiB；关键路径O(n)、单文件流式内存O(1MiB)，不并行访问同一手机。

每轮冷却观察使用新nonce及新的测试App observer生命；真机连续记录每≤3秒一次，至少600秒idle，且启动Fixture前最后连续300秒为active/nominal。观察记录持续到采集Stop后安全收尾。正常结束与异常/超时均须先停止observer一次（仅在仍存活时），保全请求、所有事件与summary/partial源树、观察原件与每个前缀；调用失败或目录不完整也生成明确partial receipt。产品Session终态后立即全树SHA快照；Fixture、Export、Session、温控四种尾部保全各自独立失败安全，成功与否不改变指标状态。失败原件不得清理，后续轮不获授权。

执行器接口先以合成设备/假时钟覆盖状态顺序、重复intent、超时未知、GUI多点/缺点、来源/会话身份变化、阶段clock缺界、Stop失败、Fixture partial、温控末尾缺失、复制中源变更与保全失败；所有正例仍formalMetricAccepted=false。合成控制只属E2。真实规模≤约4.2GB预存证据的完整准入/增量custody计时、CPU/RSS/I/O与实际手机证据核对全部通过后，才允许第一正式Run；否则只记录partial并停在准备态。

Implementation Update · 2026-10-26 · 动作账本、证据绑定与恢复边界

实现集中在网络验收工具与其测试，不改指标公式、候选规则、产品采集范围或正式五轮门槛：

• round_ledger.py升级为perfowl.energy-network-round-ledger/2：私有目录/文件权限检查、拒绝符号链接与重复JSON键/非有限常量、1MiB/512行有界、逐事件SHA链和单调时钟序。建账事件绑定不可变轮合同SHA；每次成功动作、阶段推进、观察和独立复核均需SHA收据。任何行仍将formalMetricAccepted=false。
• 补上崩溃窗口：若进程在启动动作intent fsync之后、动作结果之前退出，该启动按可能已发生处理；账本必须先对相应Fixture/UI/observer做一次有界清理并记收据，才允许进入保全。意图不能重复；未知结果不能当作未启动。
• live_preflight.py把账本纳入冻结源码SHA。round_gate.py在预留合同后创建账本，并把前序轮次授权绑定到独立复核后的账本SHA；失败复核只留失败态，无法授权下一轮。formal_attempt.py最终审计也要求独立复核状态、报告与账本SHA一致。
• 独立复核先保存稳定审计证据和本次wall/CPU/RSS，再推进账本。若报告写入中断，恢复时重算稳定内容、复用原复核证据且不重复动作或追加复核事件。注入的报告写中断控制验证了该恢复路径。

分离复核通过：完整网络离线套件 87/87（ARM64 sidecar Python 3.12，最终运行1.912秒）；覆盖并发重复intent、intent后崩溃的清理要求、链篡改、symlink/目录权限、SHA缺失、失败复核阻断晋级、报告中断恢复与源码pin。internal/acceptance/energy_network的23个Python文件AST解析通过，git diff --check通过（E2，合成/工具证据）。

本增量无手机读写、无App安装、无新Session/Run，正式仍 55/66，网络0/5。当前attempt仍未启动；外部preflight早于本次源码修改，不能复用作新轮准入。整体状态partial。下一步仍是完成真实单轮控制器以及Fixture、Session、温控尾部的失败安全保全/串联；工具与输入全部冻结后重做只读全树SHA/容量/环境准入，通过后才可启动r1。不得重放旧轮、补轮或把资格轮拼入正式五轮。

Decision Update · 2026-10-26 · Session 私有路径与保全准入

只读复核发现 Session 保全器虽拒绝最终路径为 symlink 的输入，却未检查其祖先路径；同时会自动创建输出父目录，未验证父目录权限。若证据根路径经 symlink 别名进入，或输出父目录对其他本机用户可读，Session 原件副本和保全回执可能越出私有目录边界。该风险只涉及主机端工具路径与权限，不涉及产品采集语义。

修改合同：保全器在创建输出前拒绝 source/output 的任一 symlink 路径组件；要求输出父目录已经存在、由当前用户拥有且权限严格为0700，并验证新建输出目录保持0700。不得递归创建缺失的父目录。拒绝必须在复制Session任何字节前发生，原目录与已存在内容保持不变。验收覆盖canonical路径正例、源祖先symlink、输出祖先symlink、宽权限父目录、预占目标和Session内symlink；不连接手机、不操作产品。路径检查为O(路径组件数)，只在一次保全开始时执行，对按1MiB块流式SHA/复制主体没有额外目录扫描。

Implementation Update · 2026-10-26 · Session 保全私有路径边界

已在session_preservation.py执行上述合同：source/output祖先路径逐组件lstat并拒绝symlink；输出父目录必须预先存在、属于当前用户且权限恰为0700；新输出目录同样核验0700。拒绝在Session复制前发生；不再隐式创建父目录。成功/partial Session快照算法与原件保留语义未变。

新增源路径和输出路径祖先symlink、宽权限输出父目录、缺失父目录反控；完整/partial正例也核输出目录0700和结果文件0600。ARM64 sidecar Python 3.12完整网络工具套件90/90通过（1.808秒），23个Python文件AST通过，新增及相关文档无尾随空白，git diff --check通过，证据E2。

执行三组成对样本（5MiB Session数据、50MiB压力样本，各3次交错before/after）：5MiB中位wall 17.720→15.665ms、CPU13.690→12.557ms、最大RSS24,936,448→21,872,640B；50MiB中位wall119.896→126.914ms（+5.85%）、CPU106.731→107.405ms（+0.63%）、最大RSS27,164,672→26,034,176B。两种规模全部保全成功，慢路径明显低于既定1.2×wall/CPU及8MiB RSS增量门；I/O字节路径未修改，未采集物理I/O峰值，不以合成磁盘数字冒充设备I/O。

本增量无手机读写、安装、Session或Run；指标仍55/66、网络0/5。该改动只修复本机证据路径的隐私边界，不代表真实轮次控制器或失败温控/Fixture尾部保全已完成。下一步继续完成单轮控制器与端到端失败保全串联，之后冻结全部工具并重新进行只读真实准入。

Decision Update · 2026-10-26 · 温控尾部摘要与前缀审计

复核发现正式review_thermal只接受request.json与events.jsonl，而iOS温控观察器也会在自然结束时写出summary.json。现有复核既未保全/核验该摘要，也未把admission前缀长度及SHA与admission收据交叉核对。这会漏掉可用的终态/错误信号，并让某些截短前缀仅凭startsWith通过。

修订合同：温控源目录必须保全request和完整events；summary若存在则一并保全并核schema、正常duration-limit终止、closed、样本数和事件字节数。受控停止若未产生summary，保全收据必须明确summaryPresent=false，不能伪造摘要或把它解释为900秒完成。admission前缀须同时通过字节数、SHA、记录数及全事件前缀相等核验，并与admission记录中的source目录nonce相符。每个本机副本路径必须落在本轮私有目录；不规则/未知条目仍保存可读取原件并标为失败，不得因解析失败而丢弃已经复制的数据。

离线控制使用假AFC源目录，覆盖三文件自然终态、两文件受控停止、截短/改写prefix、坏summary、未知条目、源/副本哈希不符及输出冲突；不执行手机/应用操作。遍历按条目数与字节数O(n)有界，单文件流式读取，合计限制2MiB；不改变产品采样和正式120槽/五轮门槛。

Decision Update · 2026-10-26 · 温控 observer 生命收据绑定

实现审查发现保全器只接收调用方布尔参数observer_life_ended，独立轮审计只检查结果收据中的同名布尔值；这不能证明结束的是本轮实际启动的 observer，也不能排除进程重启或在保全期间仍存活。保全不得以该布尔值作为释放证据。

新合同要求单独的私有 observer lifecycle 收据，绑定远端温控目录/nonce、唯一一次 launch 返回的完整进程生命（PID、进程名、bundle 标识、startDate）、0或1次 SIGTERM 及至少两次间隔≥250ms的最终设备进程清单。每个进程清单作为独立私有 JSON 保存并核SHA；审核从原始清单重新计算精确目标匹配，启动清单须恰好匹配一次，两个末尾清单都不得出现该 bundle 或 executable。摘要字段observerLifeEnded只由复核结果导出，不能从调用方参数复制。最终轮审再次读取生命周期收据与清单并重算。

复制器只有在本轮 observer lifecycle 收据核验通过后才读设备目录；复制期间保存每个目录的精确名称集合和目录metadata，并在结束时重新枚举/复核。合法温控目录只允许root下2–3个约定文件，意外目录/空目录或期间新增、移除、替换均保留已读原件但令完整树收据失败。admission前缀文件及lifecycle输入须为当前用户私有0600，且处于私有attempt目录内。

离线测试覆盖完整正例、目标身份漂移/重启、尾部仍存活、双缺席间隔不足、清单SHA变更、错误nonce/目录及重复信号。该合同只验证生命周期保全，不启动/停止手机进程、不计指标通过，也不调整网络指标的120槽、225秒或五轮门槛。

Implementation Update · 2026-10-26 · 温控完整树与 observer 生命复核

新增observer_lifecycle.py：只接受一条绑定本轮远端目录/nonce的启动生命；由启动进程清单复算唯一精确PID/name/bundle/startDate匹配，再核两条间隔至少250ms的最终进程清单均无同bundle或同executable。每份私有进程清单/生命周期收据核SHA、路径包含与当前用户0600权限；允许零次自然结束，或一份绑定原目标的单次SIGTERM intent/result收据。保全器不再接收调用方boolean；只在独立生命周期复核成功后读取温控目录，并在复制结束后再次核同生命周期收据。

thermal_preservation.py现保全request、events及可选summary，逐项核源/副本SHA与size、文件类型和私有路径；结束时重查所有目录名称和metadata。未知文件、目录、超限条目、目录漂移、读中断、summary错误、前缀不完整/改写、权限错误或副本后改写均保留已读部分并停止完整成功回执。完整SHA字段只有在整个约定树和所有校验成功后才为true。单文件64KiB流读取，树最多64项、深度8、总量2MiB；前缀与生命周期证据均限于私有attempt目录。formal_attempt.review_thermal独立重读生命周期清单、摘要、原始事件与admission前缀，live_preflight.PREFLIGHT_SOURCES已纳入两个新工具的源码pin。

新增温控专测23项；ARM64项目Python 3.12环境完整网络工具套件 118/118通过（2.476秒）；26个Python文件AST通过、全相关Python/方案空白检查0项，git diff --check通过（E2）。假AFC在接近2MiB上限的2,087,697B总量上保全成功，单次host-only wall 8.77ms、CPU 8.03ms、峰RSS 67,878,912B；AFC是假实现且无实体USB/物理I/O，属于容量上界smoke数据，不是before/after效率门或设备性能结论。

本增量没有手机读写、安装、Session或Run。正式55/66，网络能耗评分0/5；旧preflight源码pin仍已过期，正式attempt未启动。分离审查认为温控工具本身与最终轮审合同已可离线复核，但真实单轮控制器、Fixture失败尾部、实际 observer 生命收据生成及Fixture/Session/Export/温控与三根custody的端到端串联仍未完成；应先完成这些串联，再冻结全部输入并重新只读全SHA/容量/环境准入。

Validation Update · 2026-10-26 · 4.18 GB 主机保全规模基线

使用正式attempt现有三根目录保全收据及主机副本，按2007个文件、4,180,722,951 B运行custody_snapshot.build_snapshot，再用独立custody_chain._snapshot重新核验。第一次快照生成wall 3.041 s、CPU 2.191 s、峰值RSS 37,601,280 B；独立复核wall 2.991 s、CPU 2.087 s、峰值RSS 37,699,584 B。快照输出1,178,178 B。两步均核对同一完整文件集合和原SHA；没有复制原始大文件。

首次调用误传仅供live-preflight使用的三根目录输入pin，完整快照模块在读取原始payload前按schema拒绝；失败记录保存在私有host-scale-a01目录。随后改用正式custody-input pin完成a02；没有修改或覆盖失败记录。

此为E2主机端真实规模SHA基线：不含设备AFC源读取、手机、正式Run或复制新增数据；页面缓存状态未控制，未测物理磁盘I/O峰值，也没有变更前后实现对照，因此只关闭“4.18 GB现有host副本校验耗时/RSS基线”这一小项，不能关闭完整轮次效率门或据此声称硬件I/O性能。手机动作/安装/Session/Run均为0，正式仍55/66、网络0/5。下一步继续实现并独立复核单轮控制器与失败尾部保全串联，再冻结输入并做新鲜真机容量准入。

Implementation Update · 2026-10-26 · 单轮控制器核心离线验证

新增formal_round_controller.py，以RoundOperations回调承接平台动作和只读观察；控制器在每个动作前写入ledger intent，仅调用一次，未知结果按可能已执行处理，按Fixture→工作台→observer顺序尝试清理，随后执行来源保全。回调收据必须指向本轮私有目录中的0600文件并通过SHA核验；所有结果固定formalMetricAccepted=false。新增7项控制器专项测试，覆盖完整编排、未知Fixture启动后的失败清理、已知无效动作不误Stop、partial保全拒绝晋级、中断恢复禁止重放、symlink证据拒绝及已启动账本拒绝重跑。

验证：ARM64 sidecar Python 3.12下专项7/7通过；完整internal/acceptance/energy_network套件125/125通过（2.509秒）；28个Python文件AST解析通过，git diff --check通过（E2）。分离核对确认控制器不接受指标本身，也不会在失败时授权下一轮；本次只是带注入回调的编排内核。

当前Mac只读状态复核：标准/Applications/Perfowl.app为build224且采集按钮idle；本机243个Session全部终态，另有一个prewarm采集进程和217张未保存截图预览。未执行退出、清理、USB操作、安装、Session或Run；此状态不是正式准入。旧preflight源码pin已过期，attempt仍未启动、正式仍0/5。下一步需在本文件先冻结真实adapter合同，再接通thermal observer生命收据、标准GUI唯一Start/Stop、受控网络Fixture native launch、session终态、Fixture/Export/温控及三根custody失败保全和独立审计；完成工具/输入冻结后才重新做全树源/host SHA、容量与设备状态只读准入。不得因125项软件测试通过而认定网络指标通过。

Decision Update · 2026-10-26 · 正式单轮真实适配器合同（实现前）

此合同把离线FormalRoundController接到真实手机、标准Mac工作台和自有Fixture；不变更能耗公式、source-once质量策略、120个固定连续计划槽、225秒Session上限、完整五轮或无参考Owner政策。任何成功结论均须由底层原始文件、进程清单、Session/Run树和独立审计重算，不接受回调自报的布尔值。

单轮动作顺序

1. observer_launch：核当前selection、设备/Lab身份、无startup pending、容量/空间及目标生命；用kill_existing=false启动唯一900秒零负载thermal observer。启动intent先落盘，再核设备进程清单中的PID/name/bundle/startDate和同一新nonce目录。初始生命未知或目录碰撞即失败。
2. cooldown-admission：最多910秒、单个AFC请求在途，每次设备RPC≤8秒；增量核原始热状态events，不超过256KiB/450行。仅真实观察≥600秒、末段连续≥300秒nominal且active、相邻记录≤3秒、末点age≤3秒、observer生命未变才通过；自然900秒终止只能保全，不能启动负载。
3. gui_start：通过只读AX检查标准窗口、目标设备/App、1Hz、精确七项Energy、启动采集和截图关闭及当前idle后，唯一Press并确认UI已转capturing。预检任何一项不可证就不Start。Press结果未知时仅核UI状态一次，不重按；若状态表明正在采集，失败清理阶段可最多Press Stop一次。
4. fixture_launch：60秒内只接纳一个新本地Session，核持久化capture-plan完整匹配上项。启动一个本地受限HTTP server并用一次ProcessControl调用启动自有Lab Fixture：单次上传50MiB，server读速率上限393216 B/s，baseline/stage/recovery为15/145/15秒，Fixture≤185秒，server≤240秒。私有intent、request、native调用前后时钟、Fixture/服务端事件和token完整保留，token不得进入公开文档。
5. fixture-sealed、fixture_stop、gui_stop、session-terminal、observer_stop：≤5秒轮询原进程句柄和Session；固定窗口/覆盖留给独立审计重算。只有Fixture summary为completed且workloadReleased=true才可结束其确切生命一次；之后GUI Stop一次并确认idle；45秒内核Session durable/completed；observer使用确切生命至多一次SIGTERM，或证明确已自然结束，并保存两份间隔≥250ms的设备进程清单。
6. preserve_sources：任何失败都先按Fixture→GUI→observer顺序尽力清理，每个最多一次，然后逐项尝试Session原件快照、Fixture/Run/Export复制、温控request/events/summary与lifecycle、三根custody增量和源/host SHA。某项失败不阻止其他保全；已读/部分副本和原件均保留，完整性按partial记录，禁止重试或晋级。
7. independent_review：按当前review_round/formal_attempt合同重算Raw→derived→wire→Session/CSV、server双端50MiB SHA、stage直接设备时钟包围、固定120槽、温控连续性、lifecycle和custody/ledger SHA。任一门失败本轮拒绝；单轮与controller始终formalMetricAccepted=false，仅五轮总审可应用已批准的无参考标记政策。

资源与超时

设备RPC串行、最多一个在途请求，每次≤8秒；网络server仅一个有界监听线程，不能并行轮次。Observer准入≤910秒，Session捕获观察≤60秒，Fixture等待≤190秒，Session终态≤45秒，Stop动作≤45秒，来源保全≤300秒，独立单轮审计≤300秒。设备树处理为O(B+N)，按文件字节与条目线性流过，块≤1MiB；Session副本≤64MiB、Fixture/Export新增合计≤128MiB、热状态树≤2MiB、网络payload固定50MiB。每次新Run前设备与主机空间均≥10GiB且不少于估算新增量两倍；进程RSS≤192MiB。按批记录wall/CPU/RSS、文件字节和复制吞吐；无法测量的物理I/O峰值保持unknown。现有4.18GB主机快照约3秒只作host基线，不替代设备AFC耗时。

这只是已批准的实现合同。现有controller仍是注入回调内核；需先完成功能实现、Fake AFC/ProcessControl/AX反控、源码pin及分离复核，再冻结所有工具/输入并做新鲜只读全SHA/容量/设备准入。此节本身不授权现在启动attempt；正式Run、手机动作和指标通过数仍为0。

Decision Update · 2026-10-26 · CUA 工作台动作桥（实现前）

真实 gui_start、gui_stop 和 capture-settings 由当前执行代理通过 cua_repl 观察/操作标准 /Applications/Perfowl.app；单轮Python控制器不自行驱动GUI，也不调用AppleScript、Accessibility API或产品私有IPC。控制器在已 fsync 的 ledger intent 之后，向专用执行终端打印一条 UI_REQUEST，其中包含操作名、随机一次性nonce和本次单调时钟；代理根据新的 CUA AX 快照完成唯一指定动作，再向同一终端回送一行带nonce/操作名/AX文本的JSON。桥接器须精确匹配nonce和动作、限制输入≤256KiB、一次请求只接受一条回执，保存原AX文本至本轮私有0600证据文件并 fsync；重复、错nonce、错动作、截断、超长或过期输入一律拒绝，不再次点击。终端每个动作只有一次阻塞式有界读取，无轮询；捕获设置观察≤30秒，Start≤60秒，Stop≤45秒，与控制器合同一致。解析/写证据为O(S)，S≤256KiB，附加内存O(S)，没有设备/网络请求。

捕获设置验收从AX树独立重算：标准窗口唯一、采集按钮恰好一个且idle为“播放”、选中指标toggle集合精确等于七个Energy字段、目标App选择控件有值；正式Start后另以新Session session-plan.json 复核1Hz、七项请求、startup关闭和截图持久化关闭。Start动作的回执必须出现唯一采集按钮并变为“停止”；Stop回执必须回到“播放”。UI动作前后均保留私有AX原文和SHA，摘要布尔值只由解析器导出。若终端/界面回执超时或动作结果未知，控制器按原账本失败安全清理/保全路径处理，禁止自动重按。

离线测试使用伪终端/内存流，覆盖正确挑战响应、错nonce/错操作、重复输入、idle/recording 状态错配、超限及无输入超时；不操作手机或GUI。测试通过仅证明桥接合同，真机 Start/Stop 仍须逐轮经CUA实际观察，不代表正式轮通过。

Implementation Update · 2026-10-26 · CUA 工作台动作桥离线实现

新增manual_cua_bridge.py并将它纳入新鲜live_preflight.PREFLIGHT_SOURCES源码pin。桥接只在执行终端收发单行挑战/响应；真正的UI观察和操作仍由当前代理通过cua_repl完成。桥接构造必须接收当前目标App/设备显示标签，捕获设置的AX解析与标签精确相等；窗口、唯一Start/Stop按钮、idle/recording状态和恰好七个Energy toggle都从AX原文重新计算。每个UI动作最多一次，运行中并发请求拒绝；响应按256KiB AX、一次响应一行、准确nonce/schema/action限制。超时、无效JSON、错误nonce/action和语义错误AX均按私有0600文件保留有限原文/哈希，不再次点击。真实阻塞读使用fd readiness与单调截止时间，Start/Stop/设置观察分别比控制器上限提前5秒终止，给失败清理留出确定余量。目标标签的传递目前尚未接入冻结attempt selection，属于剩余适配工作。

新增test_manual_cua_bridge.py 12项反控，覆盖实际目标匹配、错误目标/窗口/ID、重复和多toggle、错误UI状态、错nonce/action、重复动作、并发、重复JSON键、超时/截断/超长/多行、最大AX保全与文件权限。ARM64 Python 3.12完整网络验收工具套件unittest discover 138/138通过，2.474秒；30个Python源文件AST解析及git diff --check通过（E2）。最大256KiB AX解析200次wall 0.222984秒/CPU 0.218110秒；12份最大AX私有证据合计3,150,603B，写入wall 0.014369秒/CPU 0.012299秒；进程峰值RSS 40,271,872B；无网络/手机I/O。分离复核另按本次CUA返回的控件行形状重放AX解析，窗口idle、目标选择及七toggle识别通过；该临时重放没有单独封存，不作为资格或指标证据（本机UI只读E3观察）。未Start、未Stop、未改选择。

本增量没有手机写入、App安装、Session或Run；指标仍正式55/66，网络能耗0/5。当前桥接器尚未接入正式RoundOperations，也未完成AFC/ProcessControl、Fixture server、Session/Fixture/Export/温控和三根custody的统一失败保全。标准工作台仍有prewarm采集进程和217张未保存截图预览；这些状态须按单轮合同正常退出及新鲜准入流程处理。此实现仅E2/E3工具证据，不构成资格或指标通过。下一步完成真实平台适配及正反控、端到端失败保全和独立审计，随后再冻结工具并重新执行只读设备/容量/全树SHA准入。

Implementation Update · 2026-10-26 · CUA身份绑定冻结selection

新增selection_ui_binding.py：CUA目标标签现在必须由0600私有selection、同一USB设备的Lockdown标识/ProductType/DeviceName，以及InstallationProxy返回的安装Bundle ID/显示名/Team application-identifier共同推导。selection文件读取通过逐级openat、目录与文件O_NOFOLLOW、稳定fstat、精确SHA和重复JSON键拒绝；设备、产品类型、Bundle或签名身份任何不匹配都失败关闭。ManualCUABridge不再接受任意expected_app/expected_device文本，初始化时必须完成上述绑定；CUA证据记录selection SHA、绑定SHA、设备标识SHA、产品类型、Bundle SHA和application-identifier SHA，支持独立核对身份关系且不把设备标识明文写入桥接回执。新模块已纳入fresh-preflight源码pin。

验证：新增6项selection绑定控制，桥接专项19/19、完整网络工具套件145/145通过（2.606秒）；32个Python文件AST解析通过，git diff --check通过（E2）。最大64KiB selection重复绑定200次：wall 0.025829秒、CPU 0.025797秒，进程峰值RSS 20,135,936B；这是主机合成输入的初始化开销，不含设备I/O，也不证明真实adapter已调用该桥。

独立复核确认私有selection内容由SHA固定、系统身份必须与selection逐字段相等，UI选中标签再由独立AX文本精确比较。尚未执行USB新鲜准入、CUA操作、手机写入、App安装、Session或Run；正式仍55/66、网络0/5，formalMetricAccepted=false。相对方案无边界变化；当前仍缺把桥接器接入真实RoundOperations，以及observer/Fixture/Session/Export/温控/三根custody的失败安全端到端适配。下一步完成真实单轮adapter与反控后再重新冻结工具、全SHA/容量复核和只读设备准入。

Validation Update · 2026-10-26 · USB重连后只读身份核验

重插后通过当前0600 selection执行一次Lockdown与InstallationProxy只读核验。设备ProductType与selection匹配，DeviceName可读；自有Bundle已安装，application-identifier与selection的Team+Bundle相等，CFBundleVersion和CFBundleDisplayName存在。单次连接0.085秒，Lockdown与InstallationProxy均关闭；设备写入、安装、launch、signal、Session与Run均为0。私有原始收据：/Users/qiance/Perfowl-NewHost-Recovery/20261026-energy-network-readonly-identity-a01/result-private.json，SHA-256 efe7f6a0e6dcbffd50abef72918fe4948a2c2f1b4508252be3251d78bc48ec95。

此为E3且使用旧selection：仅证明本次Lockdown/InstallationProxy连接及所读身份字段；selection只在本次读取前后核同，未绑定到新attempt冻结SHA；没有读取原生DVT/ProcessControl/AFC、核对CUA选中标签或重新枚举容量。故不作为fresh preflight/资格/正式轮证据，正式仍55/66、网络0/5。它验证了新的selection UI绑定所需字段当前可由同设备USB服务获得；下一继续实现真实thermal observer及单轮操作adapter。

Decision Update · 2026-10-26 · Thermal observer 与 Fixture 的同 App 生命周期

审查真实 Lab 启动代码时发现，热观察与网络负载不能按原顺序在同一 Lab 生命中并行：FixtureLabView.runExplicitLaunchIfPresent()收到--lab-thermal-observer-base64后建立独占 observer 并立即返回；该解析路径明确拒绝同时传入网络运行参数。网络运行参数只在下一次 App 启动时解析。两者属于同一主 App / Bundle，因此不能假设对仍运行的 observer 再调用ProcessControl.launch(kill_existing=false)会重新执行启动参数。

本轮改为把 thermal observer 当作网络负载前的独立零负载冷却门：先完整观察其请求的900秒，确认duration-limit摘要已关闭且原始事件满足≥600秒连续观察及末段≥300秒active/nominal；之后以一次observer_stop和两份间隔≥250ms的目标生命缺席进程清单封闭observer生命周期。只有 observer 生命已封闭，才执行工作台 capture-settings、唯一GUI Start，并以新 Lab 生命调用唯一 Fixture 网络启动。自然结束但 App 进程仍在时，observer_stop只对其精确生命最多发送一次SIGTERM；目标已自然退出则不发信号。未获得生命周期闭合不得进入Fixture启动。

这样保留完整900秒热状态源与原600/300门槛，同时为同Bundle Fixture取得新的启动进程。热状态只作为负载前环境门，不声称覆盖负载期间；此调整不改变120固定槽、公式、source-once质量策略、225秒Session预算、五轮或无参考政策。单轮账本需把observer_stop移动至cooldown-ready之后、gui_start之前并升版，任何observer停止失败都失败关闭；失败后仍按既定顺序清理可能已开始的Fixture/GUI动作并保全原件。

Decision Update · 2026-10-26 · 正式轮次网络服务端生命周期

审查 formal_round_controller.py 与既有 NetworkLabServer 后发现，正式单轮控制器尚无本机网络服务端动作；旧工具脚本把服务端创建藏在Fixture启动前的单体流程中，无法证明服务端已先于产品GUI Start就绪，也无法把服务端关闭/日志封口放入同一轮账本与失败保全链。现有服务端类本身已有有界240秒生命、请求/字节预算、并发限制、线程终止检查和逐请求journal，不重写传输逻辑。

正式控制器按如下唯一顺序升版，阶段账本逐步约束而不是只依赖Python调用顺序：observer_launch → cooldown-admission → observer_stop → capture-settings → network_server_start → gui_start → session-capturing → fixture_launch → fixture-sealed → fixture_stop → network_server_stop → gui_stop → session-terminal → preserve_sources → independent_review。observer必须先完全停止并由双进程快照证明生命闭合；设置复核之后启动有界服务端并确认监听线程就绪，然后才允许GUI Start。Fixture仅在Session实际capturing后启动。Fixture完成并释放负载后先停止其确切生命，再关闭网络服务端并fsync/封口journal，最后GUI Stop。服务端启动/停止各有唯一durable intent/result；任何超时或结果不明均不重试。

network_server_start只绑定冻结selection确定的本机显式单播地址和操作系统分配端口，token由执行器内存持有并只写入本轮私有0600 Fixture request，不进入控制台、公开收据或Git。服务端启动回执记录私有endpoint摘要、token摘要、配置/来源SHA、有限deadline、监听线程已存活与空journal文件；Fixture回执/请求再绑定同一server实例。network_server_stop只允许在Fixture终态后发生；关闭需在≤8秒内证明工作线程退出、所有socket已关闭、journal fsync完成，并将最终journal SHA和行数写入私有回执。独立轮审计从request、传输事件和journal重新核对应关系，不把HTTP字节量当能耗真值。

失败清理固定为fixture_stop → network_server_stop → gui_stop → observer_stop，只对账本中可能已生效的资源各尝试一次；保全继续尝试Session、Fixture/Export/Run、温控及三根custody，即使某个清理动作失败。账本schema升版，任何状态转移都要求前置动作成功；尤其GUI Start必须有server-started凭据，GUI Stop必须有server-stopped凭据，进入preserving前不得遗留可能存活的服务端。旧attempt/资格数据只读保留，不重解释。

实现范围仅限正式网络单轮控制与有界服务端适配：新增账本/控制器动作阶段、服务器启动/关闭执行器和Fake server/失败反控。每轮O(1)控制状态，服务端既有请求处理保持O(B)流式散列、固定≤64KiB块，不缓存50MiB正文；最多一个正式传输、有限线程和≤240秒生命周期。实现后使用真实规模50MiB loopback对比原服务端基线，记录wall/CPU/RSS/吞吐/写量，并验证启动首响应、最长传输及最坏关闭；该离线效率证据仅E2，不构成手机轮次或指标验收。真实USB、CUA、Fixture/Session、失败保全和新鲜容量准入仍须全部接好并独立复核后，才可开始新资格或正式五轮。

Implementation Update · 2026-10-26 · 精确自有 App 生命控制

LiveDeviceSession.launch_owned_app与signal_owned_life现已覆盖正式适配器所需的精确生命周期动作：仅接受observer/Fixture各自固定的启动参数标记；启动前保存并检查唯一进程快照，要求目标App空闲；在native launch前持久化intent；用kill_existing=false单次启动；再以PID、bundle、executable、startDate和foregroundRunning核实新生命。即使启动后的前台状态不满足门槛，只要PID/startDate已确证，也先保存该精确生命供失败清理，不会留下可被误杀的模糊目标。停止前重新读取进程表，仅对完全相同的PID/startDate最多signal一次；已自然退出时记录缺席且不发信号。原始进程表、intent和结果均写入本轮0600证据。

新增fake ProcessControl正反例，覆盖一次启动/精确停止、已有生命拒绝、错误启动角色拒绝、前台后置条件失败仍可精确清理、错误生命拒绝和已退出不发信号。实机固定依赖pymobiledevice3 11.3.1本机API签名核对通过：ProcessControl.launch(..., kill_existing, start_suspended, environment)、signal(pid, sig)、DeviceInfo.proclist/mach_time_info及AFC fseek/fread/listdir接口与适配器调用一致。

定向Session/adapter测试18/18通过（0.018秒）；完整网络工具套件169/169通过（3.238秒）；38个Python源文件AST解析及git diff --check通过，证据为E2主机测试/本机依赖签名。进程快照最多4096行，额外生命周期动作是有界的串行RPC，不增加手机负载或截图轮询；本增量没有真实USB launch/signal效率对照，也未运行单轮50MiB资源基准，完整效率门仍开放。

本批没有点击Start/Stop、没有手机写入/信号、没有App安装、新Session或Run。当前采集UI idle，保留未保存预览及prewarm状态等待统一新鲜准入流程处理；正式仍55/66，网络能耗0/5、formalMetricAccepted=false。这只关闭了Fake生命周期控制缺口，LiveRoundOperations尚未把observer、CUA、server、Session、Fixture及三根custody/失败尾部保全接到正式单轮控制器。下一步完成真实操作适配器与独立反控，再冻结工具并重新只读容量/全SHA准入。

Implementation Contract · 2026-10-26 · 温控观察器增量读取

真实单轮adapter的cooldown-admission只读同轮observer目录，以单个AFC文件句柄和fseek增量读取events.jsonl，每块最多64KiB、全文件最多256KiB；每条完整JSONL只解析一次，末尾不完整行保留到下一次读取。目录只允许request.json、events.jsonl及自然结束后的summary.json。轮询间隔前840秒固定30秒，最后60秒固定2秒，单次RPC≤8秒，总观察≤910秒；每30秒核对一次精确observer生命，不做逐帧进程列表轮询。

首个满足≥600秒观察、末尾连续≥300秒thermalStateRaw=0且active=true的完整前缀，立即独占写为0600 admission-prefix并用mach_time_info直接核最新记录年龄≤3秒；该证据不触发负载，观察继续到900秒observer自然封口。只有request、全量events、duration-limit closed summary及事件数/字节数一致、零workload、完整连续性与nominal尾门均通过后，cooldown observation才返回passed。source truncation、malformed行、生命变化、前缀/时钟不一致、缺summary或超时均失败关闭并交由round controller清理及保全；不可把live prefix当最终源SHA或完整900秒证据。

总解析复杂度O(N)，N≤451；不重复下载或全量重读活动文件，额外内存≤256KiB。轮询节奏按本机单调观察时间计算，最多64轮：前840秒每30秒一次，之后70秒每2秒一次。AFC预算为3×64 + 2×ceil(256KiB/64KiB) + 21 = 221次方法调用：每轮一次目录列举和增量读取前后两次stat；最多4个数据块各一次seek/read；固定21次包括初末目录列举、事件终态stat、请求/摘要/请求的两次小文件读取及事件文件open/close。温控观察另有最多65次进程生命快照（初次1次，每轮最多1次）及1次native clock查询；所有设备RPC单次≤8秒。该预算仅覆盖cooldown读取，不含Observer/Fixture launch-stop和三根目录全SHA保全；后者必须由新鲜基线的实际文件/目录数和字节数计算，并受单轮300秒保全总时限约束，不能套用“约100次操作”。观察预期900秒，最坏910秒。验证使用合成AFC append/truncate、跨块partial line、热尾不够、伪summary、时钟过期、进程生命变化及设备事件时间超前等正反控；这些仅为E2，不能替代真实USB/E4及保全后全树SHA。

Implementation Update · 2026-10-26 · 温控轮询预算与源时间隔离

读取器先前以最后一条设备事件的elapsedSeconds决定何时转2秒轮询；延迟读取或回填的源可能在本机刚开始观察时已经显示≥840秒，从而把最多910秒的等待变成高频轮询。现改为以time.monotonic()-started决定节奏，并在64轮后失败关闭；事件时钟仍只用于源连续性/新鲜度语义，不能驱动主机轮询频率。MAX_AFC_RPC_OPERATIONS=221从64轮、256KiB总事件上限及64KiB单次读取上限推导并锁定在反控中。cooldown_admission.py现已加入live_preflight.PREFLIGHT_SOURCES，更改后的读取器源码必须进入新鲜attempt pins。

新增两项控制：源时间已到900秒但host观察刚开始时仍先sleep30秒；固定预算恒为64轮/221次AFC方法调用。温控专项8/8、完整网络验收工具套件177/177通过，完整套件3.229秒（E2）。站点npm run build用受支持的Node v24.19.0完整通过，知识门通过；构建保留44条既有内容风险提示及chunk size提示，未发布网站。使用本机Python 3.12标准库；未创建环境。尚未完成真实adapter或真实USB温控读取；没有手机写入、launch、signal、安装、Session或Run。正式仍55/66、网络能耗0/5、formalMetricAccepted=false。下一步仍是接通真实单轮adapter与失败安全保全并做独立反控；不得据此开始正式轮。

Validation Update · 2026-10-26 · observer自然退出复核与v1兼容

为封闭v2生命周期收据的自然退出分支，在test_live_device_session.py新增端到端正例：模拟已启动observer自然消失，signal_owned_life记录0次signal；启动/预停快照、两份间隔≥250ms缺席快照、v2 witness、controller action receipt与独立review_observer_lifecycle全部绑定通过，且没有生成signal intent/result。另新增v1自然退出旧收据回归，确认既有归档仍可独立读取。定向Session/lifecycle测试14/14通过（0.567秒）；完整internal/acceptance/energy_network工具套件180/180通过（3.914秒）；git diff --check通过（E2）。没有USB动作、signal、GUI、安装、新Session或Run。

该增量只补离线生命周期分支证据；正式进度仍55/66，网络能耗仍0/5。真实RoundOperations尚未将observer/CUA/server/Session/Fixture/Export/热状态与三根custody失败保全接通；新鲜容量、源码pin、全树SHA与设备准入均未执行。下一步继续真实单轮adapter与独立正反控，不能用本次软件回归替代真机验收。

Decision Update · 2026-10-26 · 新controller收据进入独立终审

实现真实RoundOperations前的代码审查发现，formal_attempt.review_round_bundle仍依赖旧watch-result-private.json，强制signalAttempts == 1且uiActions == 0；它没有把当前round-events-private.jsonl和各controller action receipt的哈希连接到最终独立审核。该硬条件与已批准的v2 observer生命周期冲突：自然退出时必须允许0次signal，且GUI Start/Stop现在由绑定冻结selection的CUA桥完成。单纯生成旧字段会掩盖真实动作，因此禁止用合成旧watch布尔值绕过此冲突。

终审合同升为读取当前controller/receipt链：验证append-only ledger及每个动作intent/result唯一性；验证CUA settings/Start/Stop原始AX回执与冻结selection身份绑定；observer使用独立v2 lifecycle reviewer，允许且仅允许由两份间隔≥250ms的缺席快照证明的0次signal，或由精确生命signal意图/结果证明的1次signal；Fixture launch/stop同样核对精确生命并允许自然退出0次signal或一次准确SIGTERM。所有分支仍需证据文件SHA、Session/Run/Export/服务端journal/温控/三根custody一致；缺receipt、错nonce、复用动作、漂移或重复审查均拒绝。原指标公式、120固定槽、完整五轮、异常分母和无参考Owner政策不变，历史v1只读兼容不回写。

单轮controller的independent_review只产生一次ledger review事件；随后review_completed_round可以独立重算并写round-gate-review文件，但不得再次追加review事件。测试需覆盖0/1 signal两分支、CUA/launch/stop/ledger receipt篡改、自然退出缺席快照不足、旧v1兼容和review事件恰好一次。此为本机离线合同，不授权任何手机Run。

Implementation Contract · 2026-10-26 · Session负载确认收据交叉绑定

新controller路径不再要求旧native-launch-ack-private.json或watch-result-private.json来证明网络负载。Session复制仍只负责原件稳定性、完整复制和源/副本SHA；它的networkWorkloadConfirmed只能由一个私有networkWorkloadProof派生。该proof固定绑定roundIndex、runName、sessionID，以及session-capturing、session-terminal、fixture_launch、fixture-sealed、fixture_stop、network_server_start、network_server_stop七个控制器receipt的原文件SHA。proof不得自行宣告指标通过。

proof生成时逐一读取控制器已落盘的0600 receipt并核schema、round/run身份、完成态和必要结果语义；独立轮审计重新验证controller ledger与receipt后，按SHA逐项比对proof，并与Session起止ID、Fixture/Run保全的completed及workloadReleased、50MiB请求/服务端双端SHA审计相连。缺少、重复、越权、篡改、错误生命周期或身份漂移均拒绝晋级。旧attempt兼容分支仍只读使用原watch/native-launch合同，不回写历史。

反控要求覆盖完整七receipt正向绑定，以及receipt SHA单项篡改、sessionID/runName漂移、缺字段、额外标签、非完成语义与旧路径缺少旧ack；无设备操作。验证开销按固定七个≤512KiB receipt计，时间O(B)、内存O(B)，B≤3.5MiB；不增加手机RPC、Run或Session IO。该实现和合成反控仅E2；不能替代真实RoundOperations、全链路失败保全、真实规模效率基准、源码pin及新鲜容量/设备准入。

Decision Update · 2026-10-26 · 独立复核Session采集合同

新的controller路径必须从终态保全副本重新验证manifest.json、session-plan.json与capture-plan.json：schema/Session ID一致、冻结目标App、1Hz、精确七项Energy与energyUsage、startup关闭、截图采集与持久化关闭。Session的bundleID还须与controller已审核的capture-settings原始CUA回执内、来自同一冻结selection的安装Bundle SHA一致。仅在执行时验证计划或只信session-capturing布尔/Session ID不足以晋级。旧历史兼容分支不回写。

控制该合同的纯离线函数应以实际格式正反例验证：计划合法全项通过，逐一翻转采样间隔、指标集合、Bundle、startup/screenshots与CUA bundle SHA均拒绝；不能把合成输入写成手机证据。该复核不引入设备I/O或产品行为。

Implementation Contract · 2026-10-26 · Fixture Export 离线语义审计

正式轮的独立审计目前只要求 fixture-streaming-review-a01/result-private.json 存在，却没有生产该收据的独立工具；live_round_custody 只验证 Run manifest 并把 Export 留作待复核。这使产品保存的 Export 尚未与 Run 原件、网络请求及服务端journal在同一纯离线门内交叉核对。

新增内部审核器只读 fixture-preservation-a01/phone-mirror 内已保全副本：核唯一同 run Export、perfowl.lab-export/1、精确五文件成员、Run manifest 的路径/字节/SHA、Export 中五份内容与 Run 副本逐项一致、effective-config.explicitLaunchRequest 与冻结 request 完全一致；之后调用独立 audit_contract.review_workload，核实际网络阶段、50 MiB 单次上传、客户端事件与服务端journal双端SHA、完成态和负载释放。输出固定私有收据，永远 formalMetricAccepted=false。不得导入产品代码、触碰手机或改写原件。

复杂度为 O(N+B)：N 是最多20,000条事件，B 是受导出上限12 MiB约束的 Export 字节数；事件逐行解析、额外集合只保存事件与 manifest 必需的固定合同字段，禁止无界全树扫描。首响应为有界本地文件读取，最长处理一个≤12 MiB Export；失败按单轮失败保留所有副本。用合成准确格式正例及缺文件、伪 manifest、内容漂移、错 request、错 Export 与服务端SHA反例验证，记录真实文件规模耗时/RSS；该离线结果仅E2。

Implementation Update · 2026-10-26 · Fixture Export 独立语义复核

新增 fixture_export_audit.py：只读保全后的 Run/Export 副本，验证 Run 的四个核心文件、manifest 自身、唯一 Export、冻结 request、导出五个成员及内容，并将事件与服务端journal交给 audit_contract.review_workload 重算上传阶段和双端SHA。Run 内的非 manifest 附件必须由事件显式引用，逐项检查文件长度/SHA且用64KiB块流式核验；不缓存50MiB上传正文。成功收据只写 formalMetricAccepted=false。live_preflight.PREFLIGHT_SOURCES 增加该模块与其公式审计依赖的 pins；review_round.py 另行重验 Export 内容、Run manifest、附件、收据哈希和 workload 数值，避免只信生产收据。

反控覆盖 Export/manifest/附件篡改、未引用附件、request漂移、服务端正文SHA不符与损坏内容。标准全套 201/201（6.150秒）；定向全轮审计1/1、round gate 17/17、导出专项9/9通过；44个Python源AST解析及 git diff --check通过（E2）。另用合成357事件及稀疏50MiB附件测得审计wall 0.024585秒、CPU 0.024241秒；Darwin ru_maxrss为82,952,192B、过程内增量约1,163,264B，Export 36,961B。该稀疏文件的墙钟结果不代表真实物理存储吞吐，且无旧审核器可作前后对照；完整效率门保持开放。

本增量只关闭离线 Export 语义审核工具缺失，不是完整真实 RoundOperations 接线，不含 Fixture streaming时钟取得、产品生命/Session/温控与三根custody统一失败保全，也没有新的设备准入。USB重连后的旧selection只读身份查询和GUI前台观察不算attempt；本批设备写入、安装、launch、signal、Session、Run均为0。正式进度仍55/66，网络能耗0/5，formalMetricAccepted=false；下一步仍接通并反控真实RoundOperations，再刷新全部源码pins、容量、空间及设备零活动准入。不得开始网络正式五轮或进入下一指标。

Decision Update · 2026-10-26 · 中断后真实适配器恢复与保全

当前实时入口只创建新 round；控制器已有 recover_interrupted_round，但重启后的具体 LiveRoundOperationsAdapter 尚不能从已写入的 session/launch/controller 收据恢复唯一来源。若进程在真实动作后中断，直接重启会碰到旧 round ledger，而新入口既不能重放，也不能完整收尾。这是正式 attempt 开始前必须封闭的保全缺口。

新增恢复入口只能接收同一冻结 attempt、同一 round contract/ledger、同一 selection 与原始新鲜 preflight 收据；不得重新预留、创建 Run/Session、启动 observer/Fixture、重新 Start 或继续原五轮。控制器只将未完成动作标记为 unknown，并最多执行一次定义好的关闭动作，随后并行尝试保全所有可定位的 Session、Fixture/Export、热状态与三根 custody。恢复结果永远是失败轮保全记录，formalMetricAccepted=false，不能晋级/补轮/拼接。

为确定唯一新 Session，首次 adapter 构造须在任何产品/设备副作用前以0600独占写入既存Session名称基线；恢复时必须核同该文件、round身份和Session根身份，只有“当前名称减基线”恰好一个时才绑定该 Session，多个或基线缺失即保留失败并禁止猜测。observer/Fixture 仅在 controller receipt 与低层 intent/result 的双重SHA、run/round/role和完整 life 身份核同后才能恢复精准停止权限；不能重建唯一生命时禁止 signal，写清原因并继续不冲突的数据保全。服务器仅在旧PID/启动回执核同并实际证明监听端口已释放后才可记为关闭；未知监听状态保持失败。CUA仅调用原Stop，不触发Start。

该路径固定动作数为至多4个停止回调；证据读取 O(B)，B 为已有 round/controller/Session 基线文件总字节，逐文件受上限约束，无全盘扫描、无新常驻进程或设备网络负载。单次设备API继续≤8秒，清理按controller预算，保全≤300秒。离线反控须覆盖每个动作已完成/未知/无effect、receipt缺失/篡改、Session零/单/多差集、端口未释放和CUA Stop失败；验证只证明E2恢复/保全控制，不是E4指标证据。若无法证明安全关闭，必须保留round并使结果partial/失败，不能靠重新执行正式round修复。

Decision Update · 2026-10-26 · 恢复收据交叉绑定修正

专项全套复跑发现一项恢复路径测试夹具未按正式0600私有文件合同写入原始runner intent；夹具将按生产合同修正，生产读取器的权限门不放宽。对恢复实现的静态复核另发现两处需要封闭：fixture启动intent只在已有完成结果时才核request/server-start哈希，遗漏了“intent已落盘、结果未知”的中断窗口；无新Session时的恢复清单把基线ID误写成当前ID。另须覆盖首次运行时Session根目录及其直接父目录均不存在的情况。修正要求：任何已存在的fixture intent（包括pending/unknown）都核对冻结request与server-start receipt SHA；恢复清单从当时实际枚举目录生成；根目录缺失时锚定最近存在的真实目录身份及缺失路径后缀，恢复时拒绝锚点变化、符号链接及非目录组件，无法唯一归因仍失败关闭。公式、指标阈值、五轮与指标状态不变；本次仅修复E2恢复/保全编排，不授权手机动作或正式轮。

Decision Update · 2026-10-26 · 单轮独立审核输入接线

端到端静态复核发现当前真实adapter还没有生成独立审核器必需的preexecution-review-private.json、launch-clocks-private.json与product-rebind-private.json，因此即使控制器Fake端到端为绿，真实单轮也不可能通过正式独立审核；另有服务器journal事实文件network-server-journal-private.jsonl与旧软件夹具路径server-journal-private.jsonl不一致。实现要求：在唯一CUA capture-settings成功后，持久化绑定当次冻结selection及CUA证据SHA的clock策略收据；Fixture运行时对其events.jsonl做≤256KiB、64KiB块的增量读取，在真实network-stage-begin前后用单调主机时钟包围DeviceInfo.mach_time_info，固定最多128次、32秒观察预算、250ms调度目标，每条回应先私有落盘，随后封口标准时钟数组；仅真实源事件tick可作为stage锚，不用估计的15秒计划时间。最终界仍是同timebase、单调、不重叠且直接包围宽≤750ms，超过预算/缺前界或后界即失败并保全。Session封存后，从真实持久wire中选择首个sample生成product-rebind，绑定完整源SHA与Session身份，独立审核必须重算并确认sample逐字段一致。审核统一读当前canonical服务器journal路径，合成控制同步新格式并保留原始篡改反控。该增量仅补可审核性，不修改指标公式/范围/门槛，也不构成手机或指标通过。

Implementation Update · 2026-10-26 · 单轮适配器的时钟与来源收据

按上节接线要求，LiveRoundOperationsAdapter 已作为 live_round_runner 默认适配器进入 FormalRoundController 执行路径。实现范围包括：capture-settings 成功后把冻结 selection SHA、唯一 CUA 原始证据路径/SHA 与主机单调时间写入独立策略收据；Fixture 封口期间并行增量读取真实 events.jsonl，只用持久化的 network-stage-begin 事件作为时钟锚，直接采集同 timebase 的设备时钟，并在写出标准数组前逐条追加、fsync 私有样本日志；Session 保全后从原始 wire 的首个真实 sample 生成重绑收据；服务端日志统一为 network-server-journal-private.jsonl。review_round.py 独立重算 CUA/策略绑定、样本日志 SHA、事件行 SHA、直接时钟包围及宽度、wire 首样本和服务端 journal，不采信产品投影的结论。

分离复核检查了适配器与审核器的交叉绑定和失败关闭路径；补充单调时间戳相等时拒绝的负例。最终 ARM64 Python 3.12 命令 MacApp/.sidecar-build/venv-py312-arm64/bin/python -B -m unittest discover -s internal/acceptance/energy_network -p 'test_*.py' -q：231/231，7.214秒；验收工具、sidecar 源码及测试共 333 个 Python 文件 AST 解析通过；git diff --check通过（E2）。

本轮没有手机/USB/UI动作、安装、signal、新 Session 或 Run。公式、阈值和五轮合同未变，formalMetricAccepted=false，正式进度仍55/66、网络能耗0/5。实现与合成测试没有验证真实 USB 时钟质量、约4.1GB源树的代码变更前后效率或物理I/O峰值；效率门和真机门保持开启。下一步对真实适配器的中断清理、温控尾部与三根 custody 接线做最终反控；随后重算源码 pins、手机实际 Runs/容量、主机与手机空间、全树SHA及零活动设备准入，再决定是否创建全新正式attempt。旧 attempt、失败轮与资格轮仍不重放、不拼接。

Validation Update · 2026-10-26 · 网络字段质量的产品路径回归

对现有网络来源质量 WIP 增加完整定向回归：新请求标记只随网络指标启用，Raw 校验器对带 energyNetworkQualityPolicy=energy-network-field-local.v1 的 version 1 网络字段单独应用 network-field-local.candidate.v1；未标记历史回放继续使用 energy-cost-gauge.candidate.v2 和负 Total 整帧门。Realtime 一次发布/新鲜度路径、Raw 投影及 Swift Session/CSV/Export 的真实零值与缺口均由定向用例覆盖，未改变其它 Energy 分项或 Total 语义。

../.sidecar-build/venv-py312-arm64/bin/python -B -m unittest discover -s tests -p 'test_energy_network*.py' -q：36/36，4.534秒；swift test --filter SessionArtifactsTests：11/11，0.224秒。Python 定向测试运行时 transport_diagnostics.py:275 有 6 条未关闭 writer 的 ResourceWarning，不影响退出码，但仍记录为待处理测试告警；本批不改该路径。以上只证明 E2 软件合同/消费者回归，不校准真实设备精度；正式仍55/66、网络0/5。无手机/USB/UI动作、安装、signal、新 Session 或 Run。

Validation Update · 2026-10-26 · Fixture服务端日志耐久性

network_lab_server.py 的日志现在以 O_EXCL|O_NOFOLLOW 和0600权限独占创建，停止时 flush/fsync 并关闭；fsync失败会使服务端关闭动作显式失败。真实loopback的11项服务器控制（含1/10/50MiB并发上传、下载、错误写入和关闭）最终 11/11，9.066秒。第一次运行10项通过、写入失败负控1项报错，原因是旧测试桩未实现新增的 fileno() 接口；已让桩委托到底层文件描述符并重跑，原始写入失败现在被正确观察且通过。结果仅是合成主机E2，未形成手机/整机能耗对照，也不代表正式指标通过。该11项工具测试改动后主机/手机动作、新 Session 与 Run 仍为0，正式仍55/66、网络0/5。

以上新增产品定向 Python/Swift、Fixture服务端与网络工具回归后，本批知识页本地 npm run build 使用 Node v24.19.0 成功：66项 Registry/Canonical知识门PASS，构建完成；站点输出有44条既有内容风险提示和chunk大于500kB提示，均保留。本批未发布网站、未进入正式五轮。

Decision Update · 2026-10-26 · 新的独占正式 attempt 与 Run 前缀

旧工具冻结身份为 energy-network-field-formal-20261025-a01，Run 前缀为 energy-network-field-formal-20261025-a01-r。即使旧 attempt 没有启动，也不把它的冻结、Run 名或旧准入收据当作本次新 attempt。为满足“新 Run 前缀、五个独占槽、任何失败不重放/不拼接”，本次文档化的唯一新身份为 energy-network-field-formal-20261026-a01，固定 Run 前缀 energy-network-field-formal-20261026-a01-r，计划名为该前缀加 1 至 5。

实现仅更新网络验收工具的 attempt identity/prefix 校验与测试夹具，另加旧 attempt 身份必须被拒绝的负例；历史归档、私有旧冻结、Raw、失败及容量资料均不改写、不迁移、不覆盖。新 attempt 私有根目录在创建前只读检查唯一性；创建冻结之后，先用新冻结 SHA 与本轮全部来源 pins 做只读准入，核对真实 Runs 名称确实无冲突、三根旧数据完整保全、容量为真实枚举值且主机/设备空间达标。源码发生变化后必须重新计算全树SHA和资格，不复用任何此前收据。本决策不启动设备 App、Session、Run，也不改变网络指标五轮公式或正常性门槛。

Implementation Update · 2026-10-26 · 新前缀工具合同

formal_attempt.py、round_gate.py 与 custody_chain.py 的冻结身份及Run名已切换到上面的新 attempt。旧格式身份/前缀负控确认不能通过冻结审核；14个网络测试文件中的规范化夹具同步更新，旧归档和私有数据未改。全套网络工具 232/232（7.269秒），335个Python文件 AST 解析通过，git diff --check通过（E2）。

目前只完成工具合同与离线反控，尚未创建新attempt目录、冻结文件或实际容量收据，也没有新读设备或创建Run。接下来先确认私有路径唯一且旧证据全保全，再生成本次私有冻结与source pins；任何旧容量、资格、预检、Attempt Freeze 或 Run 名均不得沿用为新鲜准入。之后重新运行只读完整AFC枚举/全树SHA与主机副本核对，记录手机/主机空间、实际Runs数和单调时间/CPU/RSS；真实I/O峰值仍需单独测量。任何门失败都停留在准备态。

Decision Update · 2026-10-26 · 最新保全容量与五槽可用性重核

新 attempt 建立前重新核对现有证据发现：旧 attempt-freeze-private.json 固定 59 个 Runs、五个正式槽；最新已保全 20261025-energy-network-cadence-diagnostic-02/custody-after 记录 62 个 Runs，两个数字来自不同快照。独立离线复算该最新 custody 的三个 host root：共 1,983 个文件、4,018,939,471 B；逐文件 SHA 与保全行一致，三根 source/host manifest 分别相同。该动作仅读取主机副本，耗时 3.023 秒、CPU 2.159 秒、峰 RSS 39,960,576 B；没有重新读取手机，故不能证明当前设备树仍等于此快照。

据此旧的 59/5 容量合同与 10月25日 preflight 不得用于新 attempt。开始五轮前必须基于同一轮完整三根源/host SHA 收据重新核对手机现况、Run 数、温控/活动 Session、安装版本和双端空间。若手机仍为 62 个 Runs，则只剩两个命名容量，不能启动五轮；须先从当前精确枚举中识别至少三个 completed 且 workloadReleased=true 的历史 Run，逐项确认其完整 host 副本和 Export 关联已保全，并把可逆 rename 精确写入新容量合同。失败、partial、活动或语义未明的 Run 不得归档；任何步骤只允许一次 rename、删除 0 B，并在迁移前后重新做全三根 SHA。若无法形成至少五个真实空槽，停止在准备态。

为避免复用绑定旧59槽的冻结器，下一实现先增加容量准备专用只读核验：它以当前 selection 与最新 host custody 为输入，使用 USB/DVT/AFC 串行、限时读取，核对当前三根目录全树文件集合/字节/mtime/SHA 与 host 原件、真实 Runs 名单与空闲量、设备生命及本机活动 Session；不安装、launch、signal、Start、Stop、rename 或创建 Session/Run。输出仅为新的私有只读收据；不把它当正式 attempt 冻结或新鲜五轮准入。随后才依据真实容量决定精确归档对象，并在容量达标、custody 更新及重新复核后生成新正式冻结和新 source pins。该增量为新机E3核验工具方案，不改变公式、五轮门槛或验收状态。

Implementation Update · 2026-10-26 · 只读容量重核工具离线复核

新增 capacity_reconciliation.py 与六个针对性反控，并将模块加入后续 fresh-preflight 源码 pin。工具先以逐文件 SHA 重算最新已保全的三根 host copies，再通过一个串行、每次最多8秒的 USB/DVT/AFC 调用通道读取设备；三根目录采用“全量枚举 → 1 MiB 流式逐文件哈希 → 再枚举”，同时核对文件集合、字节、mtime、源哈希、host manifest、Run 名单、进程生命、待启动负载、本机活动 Session 和双端空间。全程不调用产品 Start/Stop，不安装、launch、signal、创建 Session/Run、rename 或删除。扫描上限300秒、单个文件不缓存进内存；物理I/O峰值保持unknown。收据即使读完也固定 admissionReady=false、formalMetricAccepted=false，只用于为容量决策准备新鲜证据。

实现前先独立重算最新私有 custody 的 host copies：1,983文件、4,018,939,471 B；三根 source/host manifest 逐根一致，历史收据Runs为62。该次主机读取 wall 3.023秒、CPU 2.159秒、峰 RSS 39,960,576 B；仅为host副本读取，不代表手机AFC吞吐或物理磁盘I/O峰值。读取设备选择文件的SHA与最近一次只读身份收据相符，文件为当前用户0600。新工具与测试仍为未提交 WIP；尚未运行该工具连接手机，故62仅是最新host custody快照值，不是本轮真实设备枚举结论。

离线验证：容量重核专项 6/6；网络验收工具完整套件 238/238（7.218秒）；335个Python文件AST解析通过，git diff --check通过。修复全套测试首次发现的源码pin期望清单未同步问题后重跑全套通过。E2仅证明工具的host输入校验、设备树比较和漂移拒绝；无新鲜手机容量、温控或运行环境证明。正式仍55/66，网络能耗仍0/5。下一步在新的私有attempt准备目录执行一次真实只读重核；如果实际为62 Runs，需要先审查并保全至少三个明确完成且已释放的Run，再文档化精确可逆容量迁移，不能直接Start五轮。

Validation Update · 2026-10-26 · 容量只读核验 a01 进程列表形状失败

实际执行新准备身份下的 capacity-reconciliation-a01。selection SHA与上一只读身份收据相符，Lockdown、InstallationProxy、native route、HouseArrest/AFC、DVT、DeviceInfo与ProcessControl均成功连接；当前安装Build/签名身份检查通过。首个零写入设备进程列表读取在 LiveDeviceSession.process_snapshot_with_rows 的容器/元素类型门失败，尚未进入容量树枚举或文件SHA。七个已打开设备服务均正常关闭；手机写入、安装、launch、signal、Session、Run、rename和delete全为0。耗时5.816秒、CPU2.452秒、峰RSS96,600,000B。原a01私有失败与关闭收据保留，不重跑或覆盖。

错误路径目前只记录通用 live-device-process-list-shape，没有保存原始进程数据；从既有收据无法判明是容器类型、元素类型还是元素数量触发。方案是增加不含进程名/PID/Bundle/设备身份的私有shape-only诊断收据（仅容器类型、行数、元素类型计数、字典有效行数），在严格身份失败前fsync落盘，并对不支持结构继续失败关闭。修复后使用全新 capacity-reconciliation-a02，不复用a01输出；若仍不能证明结构符合合同，停在只读准备态，不进入正式轮。该失败不改变历史 Run、指标公式、五轮正常性定义或正式计数。

Implementation Update · 2026-10-26 · 设备进程形状私有诊断收据

按上述决策，LiveDeviceSession.process_snapshot_with_rows 在进程列表不满足既有严格合同前新增0600 shape-only失败收据：只记录容器类型、总行数、最多前4096行的元素类型计数与dict行数，不存任何进程原文或字段名；错误信息绑定收据相对文件名与SHA。超限仍按原规则拒绝，不自动转换为合格进程记录，也不降低身份门。测试覆盖4097行上限及混合容器/元素类型，验证失败文件仅包含形状元数据。

定向test_live_device_session.py 15/15、容量重核专项 6/6、网络验收工具完整套件 239/239（7.270秒）通过；335个Python文件AST解析与git diff --check通过（E2）。此实现尚无新的手机读取；失败a01保持原样。下一步仅在全新capacity-reconciliation-a02目录进行单次只读重核，先取得受限shape诊断，再由同一执行确认是否可继续全树读取；任何结构异常仍失败关闭。正式55/66，网络0/5。

Decision Update · 2026-10-26 · DTX Mutable Array 合法列表子类

a02 shape-only收据确认设备 DeviceInfo.proclist() 的返回容器类型为 NSMutableArray；pymobiledevice3 11.3.1 锁定源码中该类型定义为 class NSMutableArray(list[Any])，而 DeviceInfo.proclist 明确断言其返回 list。因此失败来自适配器误用 type(rows) is list，不是设备返回非列表或进程行语义异常。将容器和dict行的校验改为 isinstance，并将每行浅复制为内建dict供私有JSON封存；其他非列表容器、非dict行及超过4096项仍拒绝。此修复只对齐既有pymobiledevice3响应类型合同，不放宽Bundle/PID/启动时间身份判定或活动App门。a01/a02失败证据继续保留；新设备核验用唯一 capacity-reconciliation-a03 输出，避免覆盖。

Implementation Update · 2026-10-26 · DTX 列表子类兼容修正

LiveDeviceSession.process_snapshot_with_rows 现按 isinstance(rows, list) 接收 pymobiledevice3 的 NSMutableArray 列表子类，并把通过验证的每个dict行复制成内建dict后再做私有JSON封存；仍限制4096行，任一非dict行继续失败并产生仅形状收据。新增回归直接使用锁定依赖的 pymobiledevice3.dtx.ns_types.NSMutableArray，验证容器能通过且归一化产物类型为内建list/dict。

定向 Session 工具测试 16/16，容量重核专项 6/6，网络验收工具完整套件 240/240（7.198秒）通过；335个Python文件AST与 git diff --check通过（E2）。这次代码改动尚未重新连接手机；a01/a02输出保持原样。下一步只运行文档化的独占 capacity-reconciliation-a03，若通过则开始fresh全树核对；否则保留新shape证据并停下，不启动正式attempt。

Decision Update · 2026-10-26 · a03 实际目录不匹配的失败关闭诊断

新鲜只读容量检查 a03 已连接并完成设备身份/服务准备、两份进程快照及空间读取，但在 PerfowlLabRuns 的设备目录枚举与最新主机 custody 比较处失败；因此没有读取设备三根目录全树内容或开始逐文件哈希。主机 custody 是 1,983 个文件、4,018,939,471 B，且其既存三根源/host SHA一致；这只是保全副本，不证明手机当前目录。旧 custody 记录的 62 个 Run 不能沿用为手机现况。

a03 两份进程快照各含556行且目标测试 App 生命相同；本机活动 Session 数0、设备 pending Fixture workload 为 false。手机空间读数13,585,633,280 B，主机空间30,998,056,960 B。设备写入、安装、launch、signal、新 Session/Run、rename、delete 均0；七个设备服务均正常关闭。检查在6.333秒内以 device-root-inventory-mismatch-PerfowlLabRuns 失败，CPU 2.570秒、峰 RSS 92,733,440 B。失败收据只记录通用错误，没有保存设备实际 Run 清单或目录/文件数量；故目前不能判断真实 Run 数、五槽是否充足，也不能开始正式 attempt。

修复只扩展私有失败诊断：在首次发现全树枚举不匹配时，先独占写入0600收据，记录根名、实际/预期顶层名称集合（受界完整或给出明确截断与集合摘要）、文件数、目录数、集合差异数量/摘要及有界样本；不得写设备名、UDID、PID、Bundle、进程原文或文件内容。随后仍按原错误失败关闭，不继续哈希、不把不匹配目录转换成通过。主容量收据引用诊断路径与SHA。使用新的 capacity-reconciliation-a04 运行一次只读检查；a03 原件保持不变。此改动不触发 App 退出、启动、Session/Run、rename、删除，也不构成容量准入或指标验收。

Validation Update · 2026-10-26 · a04 实际 Run 枚举与自有测试 App 释放

a04 私有0600诊断收据完整记录设备 PerfowlLabRuns 59个顶层 Run、470个文件、59个目录；旧host custody对应62个Run、479个文件、62个目录。集合差异为6个旧host Run 当前不在设备目录、3个设备 Run 未出现在旧host custody中。精确清单与差异仅在 20261026-energy-network-formal-attempt-01/capacity-reconciliation-a04/device-root-inventory-mismatch-private.json（SHA-256以同目录主收据所引为准）。本轮仅枚举Run根；Exports/Retired和所有文件内容尚未读取。故59只是真实Run名称计数，按64上限有5个名称槽，但不是全树容量准入；不能忽略3个设备侧新增Run，也不能把6个host-only Run从旧保全删除。

a04两份USB进程快照与a03的同一自有测试App生命完全一致，pending Fixture workload=false，本机活动Session=0。CUA确认iPhone镜像当前显示系统版本不兼容提示，不能控制手机界面；USB进程控制可用。Owner此前已授权AI自行退出自有测试App；在再次匹配冻结selection与a04两份进程快照、确认App生命未变化且无活动Session/待处理负载后，仅对该精确生命发送一次SIGTERM。独占私有目录 owned-app-exit-a04 记录0600意图、系统服务关闭、信号结果及两份连续缺席快照；独立核验确认signalAttempts=1、两次进程快照均无该App、7/7服务关闭。前序本机脚本导入失败留在 owned-app-exit-a03，设备连接和信号均0；该失败没有复用或覆盖。

下一实现 custody_rebase.py 只读枚举三根当前设备目录，按1MiB块、串行≤8秒RPC逐文件读取并重哈希；对与旧host路径/大小/mtime/SHA完全一致的文件复用已重核旧副本，只将设备新增或内容改变的文件流式复制到新的私有host目录。若同metadata文件内容SHA改变，则保留旧副本并为新内容建立新副本。新旧custody、失败Run、host-only文件全部原位保留，手机不rename/delete/write。扫描前后复枚举并绑定活动App缺席、pending=false、Session=0与空间；任何漂移、资源关闭失败或300秒超时都失败关闭并保留已写副本。新快照只代表当前设备三根源树，不把旧host-only Run混入设备现况。运行后必须独立重算新host custody和旧host-only完整性；容量准入须以这一轮全树SHA结果为准。该动作不生成正式attempt freeze，不启动网络轮或计指标通过。

Implementation and Validation Update · 2026-10-26 · custody rebase a01

实现复核修正了两项证据缺陷：设备服务close返回失败时，最终收据不再被覆盖成“全部已关闭”；deviceReadCallSeconds仅累计AFC内容读取调用时间，host副本回读时间单列为hostVerificationSeconds，避免把本机SHA回读混入设备读取速度。输出父路径还会拒绝symlink别名。新增关闭失败的端到端反控后，test_custody_rebase.py 6/6通过；ARM64 sidecar Python 3.12完整网络工具套件 246/246（7.439秒），验收与Sidecar共340个Python文件AST解析通过，git diff --check通过（E2）。

只读设备重基线 custody-rebase-a01 完成：按Runs / Exports / Retired实际读取59个Run、470 / 287 / 1,250个文件，共2,007文件、4,180,722,951 B。旧host custody有62个Run；其6个仅host保存的Run对应30个文件完整保留。当前设备多出3个Run、54个文件，54件共167,737,604 B逐块复制并逐件核SHA；其余1,953件复用此前重哈希的host副本。旧、新host custody分别独立重哈希，旧custody前后内容与收据SHA不变；另一套custody_chain._snapshot重新核对全部2,007件及三个根manifest。私有独立复核收据：20261026-energy-network-formal-attempt-01/custody-rebase-a01/independent-custody-review-a01-private.json，0600。

本次USB/AFC读入4,180,722,951 B；device fread调用累计130.338秒，整个枚举/复制/校验wall 179.494秒、CPU 34.743秒、峰RSS 144,703,488 B；新增host副本写入167,737,604 B，host回读验证0.163秒。手机可用空间13,587,247,104 B、主机33,179,009,024 B，均高于10 GiB底线；7/7设备服务关闭。手机写入、安装、launch、signal、Session、Run、rename、delete均为0。容量数字59/64、五个名称槽仅是这份新鲜全树 custody 的事实，不是正式轮准入：admissionReady=false、formalMetricAccepted=false，正式网络仍0/5、整体55/66。

此前独立E4资格a04的审核摘要再次由当前独立审核合同校验通过：固定120槽、215个candidate样本、303条非负网络来源、50 MiB上传双端SHA相同、Session 216.754秒；它仍只作为准入资格，不计正式轮。新attempt尚未冻结、正式preflight尚未执行。下一步使用本次新custody与既有通过资格写入新attempt freeze / baseline input pins，做新鲜只读preflight并核Run名无冲突、来源pins、零活动和空间；只有该preflight通过后才可授权r1。当前没有新的资格轮、正式Run或指标通过。

Decision Update · 2026-10-26 · Preflight选择身份绑定缺项

正式 attempt a01 的全树只读 preflight a03 完成：设备 Runs 59/64、2,007文件/4,180,722,951 B，三根目录全SHA与host副本一致且扫描期间稳定，活动Session 0，Build 224 / Lab 90.21.34；四项设备服务关闭成功。设备写入、安装、launch、signal、rename、delete及新Run均0。wall 161.576秒、CPU 24.816秒、峰RSS 144,162,816 B。独立轮门复核拒绝授权，原因是 preflight 结果缺少 selectionSHA256，而冻结授权器要求它；没有创建 round-01 合同、没有正式Run，指标仍55/66、网络能耗0/5。

失败的只读收据保持原样。修复将让 preflight 结果显式写入已由冻结 attempt 校验过的 selection SHA；轮授权器再要求该值与 freeze 完全一致，并增加成功及错绑拒绝回归。源码变更会使 a01 的源码 pins 失效，因此该 attempt 与其所有准入收据仅作失败审计保留；修复后使用全新 attempt ID、Run 前缀、freeze 和来源 pins，重新做新鲜完整 preflight。此修复不改指标公式、负载配方、五轮门槛或 Owner 的无参考验收政策。

Implementation and Validation Update · 2026-10-26 · Preflight 身份绑定闭环

修复已实现：live_preflight.py把已由冻结selection验证的SHA写入E3结果，并在连接设备前要求执行源码SHA映射与freeze一致；formal_attempt.py验证selection/source pin格式；round_gate.py要求结果中的selection SHA、source SHA分别与freeze精确相等；live_round_runner.py在打开设备前再次拒绝selection或源码pin错绑。固定attempt身份及Run前缀已前移为新的 energy-network-field-formal-20261026-a02 / energy-network-field-formal-20261026-a02-r，a01冻结和收据保持原样，不复用。

验证：preflight专项6/6、轮门19/19、真实执行器Runner 9/9；ARM64 sidecar Python 3.12网络验收工具全套 251/251（7.155秒），471个验收/设备网络/Sidecar Python文件AST通过，git diff --check通过（E2）。新增正控覆盖freeze身份/source pins和selection SHA完整传递；反控分别验证源码pin漂移、selection错绑在设备动作前失败。当前尚未创建a02私有freeze或新正式Run，正式仍55/66、网络能耗0/5。

效率基线取自a01 preflight a03的真实4,180,722,951 B/2,007文件：wall 161.576秒、CPU 24.816秒、峰RSS 144,162,816 B，约25.9 MB/s；设备调用19,141次，物理I/O峰值未知。修复只增加固定长度哈希字段和常数次字典比较，不增加逐文件工作或USB调用；新的a02 fresh preflight需在同规模记录实测总耗时、首响应、吞吐、CPU、RSS和最差调用时长后再关效率门。下一步用新源码pins创建独占a02 attempt与外部freeze pin，再做新鲜只读全树准入；任何门失败仍不启动r1。

Decision Update · 2026-10-26 · a02预留隔离与a03身份重置

实际检查发现，a02的只读全树preflight已完成：59个Run、2,007文件、4,180,722,951 B，活动Session为0，扫描期间来源稳定；设备写入、安装、launch、signal、rename、delete和新Run计数均为0。之后出现一次不应单独调用的reserve_round_contract：私有round-01/round-contract-private.json已创建，round-events-private.jsonl只有reserved阶段事件，没有动作名；没有runner intent或runner execution收据。因此a02没有启动设备轮或产生Run，但它的合同已占用round-01，不能通过正常runner复用。a02目录、合同、账本、preflight、custody及所有旧失败证据全部原位保留，不删除、不改写、不重放、不拼接。

决策：当前活动attempt改为全新独占身份energy-network-field-formal-20261026-a03，固定Run前缀energy-network-field-formal-20261026-a03-r。仅更新验收工具/反控中的活动身份常量；增加旧a02冻结在a03执行入口前被拒绝的负控。完成ARM64依赖环境下全套回归、AST和diff检查后，再建立a03私有freeze、外部SHA pin及preflight baseline pins；随后做新鲜只读设备/空间/三根目录全SHA准入。准入成功后只能从live_round_runner.py正常入口一次性执行r1，让runner内部创建合同；禁止再次手动单独预留。新的attempt不沿用a02的容量/源码准入收据，且任何准入/工具检查仍不等于指标通过。

本机界面刚经USB重新发现设备并选择了Device A和Target App A：Foundation显示就绪、DVT服务可用、目标App已校验且处于前台，采集按钮仍为idle。USB枚举到1台设备。现有215条内存样本与217张未保存截图预览仍在；它们不是a03 Run，本次未点击Start、未安装、未launch或signal、未创建Session/Run。继续保留预览并以a03的新鲜preflight为准；正式网络仍0/5、整体55/66。

Implementation and Validation Update · 2026-10-26 · a03工具身份冻结

formal_attempt.py、round_gate.py、custody_chain.py及相关验收夹具/反控统一切换到a03 ID和Run前缀。尝试冻结或执行隔离a02旧ID时会在准入前拒绝；test_formal_attempt.py同时覆盖旧a01与已预留a02身份和prefix拒绝。没有修改产品公式、负载、质量策略或门槛。

ARM64 Python 3.12全套 internal/acceptance/energy_network 251/251（8.311秒）通过；468个验收、设备网络和Sidecar Python文件AST通过，git diff --check通过（E2）。首次误用系统Python时，236个已收集测试中有1个导入错误，原因是该解释器没有锁定的pymobiledevice3；改用仓库配套环境后全套通过，原环境错误不作为产品失败隐藏。全套工具测试没有设备动作、新Session或Run。当前应用只完成设备/App选择与通道就绪检查，Start仍idle；没有测试采集。

a03新私有根目前尚未创建；a02旧根与已预留合同仍封存。下一步为a03独占创建freeze、外部freeze SHA pin及基线pins，验证全部引用与当前源码hash，再执行a03新鲜只读全树/身份/空间/零活动preflight。只有preflight和效率/来源门均满足后才从正常runner入口启动r1。网络能耗仍0/5、整体55/66。

Validation Update · 2026-10-26 · a03独占冻结、全树准入与生命恢复

冻结与当前容量准入

活动attempt现为 energy-network-field-formal-20261026-a03，Run前缀 energy-network-field-formal-20261026-a03-r。Freeze、外部pin、selection与baseline input pins均由当前审核代码重新核对；26项preflight源码SHA与工作树完全一致。私有 attempt-03 中仍没有 round-01、正式Run或Session。旧a01/a02及a02误单独预留的合同继续保留，不复用、不覆盖、不重放。

新鲜只读正式r1 preflight（E3）通过：设备实际Runs 59/64；PerfowlLabRuns、Exports、Retired三根共2,007个文件、4,180,722,951 B，全部设备源与既有host副本逐文件SHA一致，前后目录与文件元数据稳定。活动Mac Session为0；标准Mac Build 224、测试Lab Build 90.21.34。手机空间13,598,216,192→13,604,696,064 B，主机空间34,215,227,392→34,222,366,720 B。设备写入、安装、launch、signal、rename、delete、新Run均0，四项设备服务全部关闭。该结果已超过轮门要求的180秒新鲜期，不能直接用于r1启动；实际启动前重跑同一只读准入。

真实规模读取wall 166.868秒、CPU 27.956秒、峰RSS 143,196,160 B；19,141次设备调用累计160.577秒，p50 1.534 ms、p95 31.039 ms、最大1,061.882 ms，吞吐25.054 MB/s。相对上次同规模基线，wall/CPU/RSS比分别1.033/1.127/0.993。该次没有同步记录系统级磁盘I/O峰值，因此此项保持unknown；AFC设备读取吞吐不作为磁盘I/O结论。

目标生命清理与复核

只读设备UI显示目标App A仍在前台，因此新建私有恢复证据目录并按冻结selection核实设备、安装身份和当前进程。两个初始进程快照得到同一精确应用生命；信号前再次核对仍相同后，仅发送一次SIGTERM 15。后续两次进程快照都确认该生命缺席，所有设备服务正常关闭。身份、意图、signal receipt、snapshot及close receipt由独立脚本分离复核通过（E3）。这只清理旧测试App生命，不创建正式Session或Run。

工作台目前仍保留215个内存样本及217张未保存截图预览，Start按钮处于idle。刷新后界面仍展示旧的“Foreground”状态，与刚才设备进程快照不符；r1必须以runner新建的实时进程快照和launch postcondition作为应用生命事实，不引用此缓存字段。旧截图预览尚未删除。

软件复核和下一门

ARM64仓库Python 3.12环境下，internal/acceptance/energy_network 全套251/251（7.977秒），Sidecar网络质量36/36（4.499秒）通过（E2）；Sidecar套件仍产生6条transport_diagnostics.py:275未关闭writer ResourceWarning，如实保留。工具与回归通过不构成指标验收。

当前仍55/66，网络能耗正式0/5；没有正式轮、产品数值验收或精度结论。下一步需按CUA动作时确认规则，在点击Start前明确处理当前217张未保存预览；确认后复查磁盘/空间、重新执行不超过180秒的新鲜只读preflight，再且仅能经live_round_runner.py正常入口启动r1。新Start会清除当前预览及旧内存测试状态，历史已保存Session、失败和私有原始证据保留。若preflight漂移、CUA绑定失败、实际应用身份或资源门失败则停止并保全，不预留合同、不重放或拼接。真实系统磁盘I/O峰值仍为未测项。

Decision Update · 2026-10-26 · 外置 attempt 的相对收据路径

在 a03 新鲜只读 preflight 通过后，经唯一正常入口启动 r1 Runner。Runner 在轮合同预留之前以 preflight-result-outside-attempt 安全拒绝；核实 a03 的 round-01 不存在，设备写入、安装、启动、信号、Run、重命名和删除均为0。失败只说明轮门没有解析本 attempt 的相对收据路径，不构成指标或设备失败。

原因已定位：live_round_runner 把经过 SHA 验证的 preflight 文件转换为相对 attempt 根的路径交给 round_gate；round_gate._attempt_file 却对相对值调用 Path.absolute()，按当前工作区目录解析。私有 attempt 位于工作区之外时，合法收据因此被误判为越界。

修复方案：_attempt_file 遇到相对值时以传入的 attempt_root 为基准解析；绝对路径仍必须最终落在该根内。保留现有组件逐段 symlink 拒绝、最终路径归属、常规文件/0600权限及内容 SHA 检查，并拒绝逃逸路径。增加与工作区无关的外置 attempt 回归：相对 preflight 与快照路径正常解析；绝对根内路径保持兼容；路径越界、symlink 与内容错绑继续失败关闭。只有这些反控和完整网络套件通过后才创建新源码冻结与 attempt；a03、全部 preflight 和失败输出仅审计保留，不能绕过冻结复用。

不改变指标公式、负载、五轮正常性定义或无参考政策；当前仍55/66、网络能耗正式0/5。实现及验证记录待按 C7 追加到本批方案记录。

Implementation and Validation Update · 2026-10-26 · 外置 attempt 路径修复

已在 round_gate._attempt_file 修复相对路径解析：相对证明与快照路径现从各自 attempt 根解析；绝对路径仍须最终位于该根中；.. 越界、符号链接及外部绝对路径失败关闭。证明内容相等、来源 pins、新鲜度、0600 私有收据及 SHA 校验语义不变。此处是 Runner 的确定性单次归属检查，不增加逐文件扫描、设备调用或数据复制。

验证：新增外置 attempt 相对 preflight/快照正例，以及相对越界、外部绝对路径和符号链接反例；真实 a03 外置目录的相对结果与快照路径也由独立小检查成功解析。专项 test_round_gate.py 21/21（3.092秒），网络验收工具完整套件 253/253（8.246秒），git diff --check通过（E2）。

失败复核：a03 的新鲜只读 preflight 本身通过，Runner 随后在预留前报 preflight-result-outside-attempt；round-01不存在且无设备写入、安装、启动、信号、新Run、重命名或删除。因修复改变了冻结源码 pin，a03及其各份 preflight/Runner 驱动证据只保留审计，不得重新使用。

真实规模准入观测（E3，只读，非指标结果）：2,007文件 / 4,180,722,951 B；wall 164.893秒、CPU 27.846秒、峰RSS 143,179,776 B；设备可用空间13,590,196,224 B、主机可用空间34,127,040,512 B。扫描期间 iostat 收到166个定时样本，系统设备聚合峰值1,614.25 MB/s；此值含同一时间的其他系统I/O，不能归因于Perfowl或单作读写拆分。相较上次同规模preflight（wall 166.868秒 / CPU 27.956秒 / RSS 143,196,160 B），三者比例约0.988 / 0.996 / 1.000；这比较的是完整只读扫描，单独路径修复为常数次运算，不据此宣称产品指标通过。

当前正式仍55/66、网络能耗0/5。下一步基于修订后源码pin建立新的独占正式attempt与实际容量基线，再做新鲜只读preflight，随后由正常 Runner 入口启动r1；旧a03不重放。工作台的217张未保存截图预览仍在，GUI Start前按CUA即时确认规则处理。

Decision Update · 2026-10-26 · a04新独占身份

Runner在合同预留前因相对收据路径解析错误而安全拒绝，a03没有round合同、Run、Session或设备写入。该路径缺陷已按上节修复并通过E2反控，但修复改变了源码pins，因此a03 freeze、preflight和Runner输出全部只用于审计，不能复用或覆盖。

下一正式attempt固定为 energy-network-field-formal-20261026-a04，Run前缀固定为 energy-network-field-formal-20261026-a04-r，私有根使用 20261026-energy-network-formal-attempt-04。先确认新根及前缀未被占用，再从修订后源码生成全新freeze/source pins和selection副本；对现存三根数据重算实际枚举、容量与SHA基线，不把a03的容量/preflight收据作为新基线。正式执行前仍须重跑不超过180秒的新鲜只读全树准入，并仅经live_round_runner正常入口启动r1。

不改变Network Energy公式、1Hz/120槽、50MiB上传、产品正常性门、五轮与失败即停政策或Owner的无参考验收标记。所有新增工具/文档验证均仅是E2/E3准备证据，正式指标仍55/66、网络0/5；五轮和最终custody独立审计通过前不得验收，也不得进入定位能耗。

Implementation and Validation Update · 2026-10-26 · a04身份隔离

验收入口、轮合同、custody根快照逻辑及对应离线夹具已切换到全新 a04 attempt ID / Run prefix；正式freeze校验同时继续明确拒绝a03身份，避免路径修复后的源码被旧attempt pin重新授权。指标公式、产品采集代码、轮负载、固定槽、误差门与Owner验收政策均未变。

使用仓库锁定的ARM64 Python 3.12环境执行 internal/acceptance/energy_network 全套 253/253（7.165秒）通过，git diff --check通过（E2）。本次只有静态代码与合成回归，无设备调用、工作台动作、安装、launch、signal、新Session、新Run或删除。GitHub main与本地HEAD一致；现有WIP保留。

a04私有根、freeze、selection副本与新baseline尚未创建；a03旧preflight与失败输出保持审计隔离。下一步先确认a04输出路径未占用，保全并重新核对三根真实Run集合/容量及手机和主机空间，生成新selection/source/baseline pins，然后做新鲜只读全SHA preflight。只有通过后才由正常Runner创建r1合同并启动一轮；当前正式55/66、网络能耗0/5。

Validation Update · 2026-10-26 · a04私有根与设备生命清理

已排他创建私有a04根，目录0700；在其中建立独立0600 selection副本，并用当前Lockdown、InstallationProxy与DVT绑定复核（E3）。只读设备进程快照发现自有测试App仍在运行；按Owner先前授权，对三份连续身份一致的同一生命仅发一次SIGTERM，随后两份独立进程快照均确认缺席，七项设备服务全部正常关闭。没有安装、launch、Session、Run、文件改名或删除。

第一次执行汇总的顶层signals字段误保留为0，但嵌套原始信号回执为1。原汇总未覆盖；单独进程的独立复核收据以原始意图/结果和前后进程快照核定实际1次，并明确记录该字段不一致。该私有日志差异不进入指标结果，也不作为a04正式轮证据。

当前仍保留215个内存样本与217张未保存预览；此过程没有清理它们。下一步使用a04 selection和先前完整host custody作为只读来源，重新枚举并SHA核验当前三根数据，生成全新capacity/baseline收据；之后创建a04 freeze与source pins，再做正式r1的新鲜全SHA准入。正式仍55/66、网络0/5。

Validation Update · 2026-10-26 · a04容量、源码与冻结输入

重新枚举设备三根目录并与保留host custody逐文件核SHA通过（E3）：Run 59/64，2,007个文件、4,180,722,951 B；三根SHA及元数据稳定，旧host副本2,007/2,007复用，新增host复制0 B，设备写入/安装/launch/signal/Session/Run/rename/delete均0。手机剩余13,598,339,072 B，主机34,818,088,960 B；每轮预估53,927,808 B，五轮预估269,639,040 B，按五轮预估两倍保留空间后仍过10 GiB底线。读取wall 181.261秒、CPU34.064秒、峰RSS152,518,656 B；实读源4,180,722,951 B，设备读取调用累计130.077秒，区间吞吐32.14 MB/s。另一个独立进程全量重算host副本wall2.755秒、CPU1.948秒、峰RSS34,406,400 B，与Run/文件/字节数一致。新rebase没有获取可归因的物理磁盘I/O峰值。

已根据该新收据创建a04私有freeze、独立SHA pin、preflight baseline pins及selection副本，均为owner-only权限；当前26项preflight源码pin与工作树哈希一致，正式attempt验证器及baseline pin loader通过。Build224冻结source pins中，当前网络能耗Adapter/Engine/Realtime/Freshness源码哈希全部匹配；Build224独立解包安装记录显示标准App树匹配（E2/E3），无需换包。实际手机Build仍90.21.34。来源限定资格收据仍是独立qualification，仅作为准入，不计正式轮。

下一步立即执行a04全树只读新鲜preflight，重核设备Run集合、三根SHA、来源pins、空间、Build/Lab、活动Session及设备服务关闭。若成功且不超过180秒，立刻只经normal live_round_runner入口开始a04-r1；preflight本身、软件验证及资格均不计指标通过。此时仍为55/66、网络0/5。

Decision Update · 2026-10-26 · a04-r1 前置进程冲突与新 attempt 门禁修复

a04-r1 已由正式 Runner 预留合同，因此它永久作为失败轮审计，不重放、不拼接。失败证据显示：Runner 的 observer 启动前进程快照中已有一个与冻结目标 App 匹配的进程；launch_owned_app 在调用 ProcessControl 前拒绝启动。该轮设备会话收据记载 launches=0、signals=0、installs=0、sessionsCreated=0、runsCreated=0，stage clock 样本数为0；设备 Run/Export 没有新建。GUI Start、Fixture 启动及网络负载均未发生。进程出现的来源未证实，不归因于用户操作、系统自动重启或硬件故障。

Runner 将预启动失败归为通用 action-result-unknown，随后尝试对没有由本轮启动的 observer 做清理；失败账本没有成功动作收据，控制器因此缺少 aborted → preserving 阶段证据，保全汇总 allSourcesPreserved=false。完整的失败日志和阶段证据保留在私有 a04 根。另在 a04 失败后的新 custody 中，独立 custody_chain._snapshot 重新核验轮前/轮后快照：两侧均为59个Run、2,007文件、4,180,722,951 B；Runs、Exports、Retired三根均无新增、删除或修改，源文件与host副本SHA复算通过；活动Session为0。这个复核证明旧树未变，不把a04-r1计作一轮，也不使指标通过。

下一独占 attempt 前按本方案先完成以下修复与反控：

1. 只读全树准入在扫描前后使用当前绑定的 DVT DeviceInfo.proclist() 检查目标 App 生命；任一快照发现目标进程、返回形状异常、连接超时或扫描期间状态变化，准入失败并且不得生成正式 Round 合同。私有收据保存原始进程快照及 SHA，公开记录只写状态和计数，不写设备/App身份、PID或进程名。
2. Runner 独立验证两份新鲜进程快照、目标选择身份摘要与“无目标生命”结论后，才允许预留合同。实际 launch 保留第二道即时进程检查；若竞态中目标进程出现，明确记为“启动前失败、无本轮副作用”，不对该进程发送 signal，也不重试。
3. 控制器将有证据的启动前失败记为 failed 而非未知副作用，跳过不必要的 observer Stop，并以失败动作收据或账本头作为保全阶段凭据。对于真正结果未知的启动仍保留原保守清理路径；不得把未知结果改判为无副作用。
4. 离线正反控覆盖进程缺席/存在/歧义/形状错误/超时、两快照漂移、伪造或过期进程证据、失败后不创建合同、竞态启动失败不发 signal，以及已有未知启动仍须执行一次清理。完成以 E2 工具/控制器证据为限；随后需新源码冻结、新独占 attempt、新鲜真实容量和全树准入。

效率预算：每个 DVT 调用仍不超过8秒，全流程保留原180秒新鲜性门；进程检查流式写私有快照，不复制现有Run树、不扫描无关目录、不创建常驻进程。实机真实规模重新测量端到端 wall、CPU、RSS及调用分布；未比较的新变化不能描述为效率门通过。

正式进度保持55/66；网络能耗正式0/5。a04的容量/preflight和失败轮均只供审计；修复通过后必须使用新的 attempt 身份与五个新 Run 名。

Implementation and Validation Update · 2026-10-26 · 前置进程冲突失败关闭修复

按本节 Decision Update 完成新的进程守卫与失败保全路径。live_preflight.py 在全树扫描前后保存独立的私有 DVT 进程快照；新鲜 Runner gate 重新读取并核 SHA 两份快照、校验行数/形状/目标匹配数，并要求守卫绑定冻结的 selection SHA。发现目标 App、快照缺失/篡改或身份摘要不一致时，在预留下一轮合同前拒绝。实际启动仍保留即时进程检查以覆盖扫描后的竞态。

控制器现把带有 effect_not_applied=true 且带可核验快照文件的启动前失败写为 failed，生成绑定快照 SHA 的不完整动作回执并将其 SHA 写入追加式账本；后续以该回执或经重算的账本头进入保全阶段，不对未由本轮启动的生命发 Stop/Signal。只有明确提供并验证无副作用证据才使用此路径；异常/超时/回执缺失继续按 unknown 执行既有保守清理。五轮、负载、公式及指标通过条件未变。

新增进程守卫 selection 绑定/目标进程快照反例，以及真实 LiveDeviceSessionError 到 Controller 失败账本和保全的控制用例；修正 preflight 早退路径的资源关闭断言。ARM64 Python 3.12 下完整 internal/acceptance/energy_network 257/257 通过（7.587秒）；定向回归 77/77 通过；52个 Python 源 AST 解析成功，git diff --check通过（E2）。这一批没有手机/USB/CUA动作、安装、launch、signal、Session或Run。

a04-r1 仍永久失败且不可重放；失败前 observer 快照发现目标 App 已存在，本轮在 ProcessControl 前停止，GUI Start、Fixture 和网络负载均未发生。a04 失败后独立 custody 复算确认旧三根仍为59 Runs、2,007文件、4,180,722,951 B，原件与 host 副本 SHA 一致；此结果只证明旧证据未变，不计正式轮。以上工具改动使 a04 的源码 pin 失效，容量与预检也不能作为下一轮新鲜准入。

下一步建立新的独占 a05 attempt 与全新 Run 前缀；重新保全/枚举实际三根容量、核对手机和主机空间、重冻来源及工具 pins，并在新根执行不超过180秒的真实全树只读准入。只有准入成功且目标 App 在前后快照均缺席，才能由正常 Runner 启动 a05-r1。新增双进程检查的真实规模耗时、CPU、RSS和RPC分布尚未重测，因此效率门仍开。当前仍为55/66，网络能耗正式0/5。

Decision Update · 2026-10-26 · 新建 a05 独占正式 attempt

a04-r1 已预留并失败，且本次修复改变了preflight/controller/ledger源码；a04的身份、源码pins、容量与准入收据全部仅作审计。下一attempt固定为 energy-network-field-formal-20261026-a05，五个新Run名为 energy-network-field-formal-20261026-a05-r1 至 energy-network-field-formal-20261026-a05-r5，独占私有根 /Users/qiance/Perfowl-NewHost-Recovery/20261026-energy-network-formal-attempt-05。该路径在建立前须核实不存在，根0700，selection/receipt文件0600。

a05只从失败后保全收据读取旧host custody作为对账输入；新容量必须重新在设备上枚举三根目录并对每个现存源重算SHA，与原host副本逐项核对，再记录Run数量、真实手机/主机空间及预估空间。随后从当前工具和产品源码生成完整source pins、attempt freeze与selection副本，并在a05根内重新执行≤180秒新鲜全树只读preflight。任何集合漂移、SHA差异、空间不足、目标App在扫描前/后存在、设备服务关闭失败或超时均停止，不创建正式round合同；不得启动a04或重放旧队列。

只有a05的容量、freeze、来源pins、前后进程守卫和全树preflight全部通过，才允许正常Runner预留a05-r1。指标仍55/66、网络能耗0/5；E2工具测试与E3准入均不计指标通过。

Decision Update · 2026-10-26 · 保留 selection 解析失败细码

a05 的 custody-rebase-a01、a02 与 a04 均在第一次设备 RPC 前以通用 live-device-selection-binding 失败；旧回执没有保留底层 SelectionBindingError 细码，不能据此判断文件、SHA或设备身份的具体问题。独立用 a05 清单中的同一 selection 路径与SHA运行 LiveDeviceSession.prepare() 曾完整通过，说明当前USB身份与selection绑定可用，但不追认旧rebase失败原因。带临时诊断的全新 a03 通过selection解析和全量源/host SHA复核，随后因最后进程快照发现目标App再次出现而失败；其启动来源未证。所有a01–a04目录保持原样。

决策：在 LiveDeviceSession.prepare() 的异常回执中新增可选 selectionErrorCode，仅在捕获内部 SelectionBindingError 时记录其稳定错误码；继续保留兼容字段 errorCode=live-device-selection-binding，不写异常文本、selection内容或身份值。为 selection SHA 漂移反控增加细码断言。该字段只在失败分支生成，时间/空间开销为常数且不增加设备调用、文件扫描或数据复制。此修复仅改验收诊断，不改产品、公式、负载、五轮门槛或Owner无参考政策；通过离线反控后，下一次任何准入都必须使用新的私有输出目录和当前源码，不复用旧收据。

Implementation and Validation Update · 2026-10-26 · selection 失败细码

已为 LiveDeviceSession.prepare() 的 selection 绑定异常回执增加安全字符集校验后的 selectionErrorCode，原通用 errorCode 不变；SHA漂移回归现要求底层码为 selection-sha-mismatch。定向 test_live_device_session.py 16/16（0.562秒）通过；完整 internal/acceptance/energy_network 257/257（7.819秒）、该目录52个Python源AST解析与 git diff --check 均通过（E2）。实现期间没有设备/USB/CUA动作、安装、launch、signal、Session或Run；a01–a04失败输出继续原位保留，正式仍55/66、网络0/5。诊断字段只在失败异常分支创建，不增加成功路径设备调用或全树扫描；真实a05 rebase/preflight仍须按真实规模记录耗时与资源，效率门未关闭。

Validation Update · 2026-10-26 · a06独立复核与a05冻结准入输入

在a05既有根内保留a01–a05全部旧输出后，custody-rebase-a06完成新的只读三根容量重核。Run为59/64、2,007个文件/4,180,722,951 B；Runs、Exports、Retired三个根的原host副本2,007/2,007逐文件SHA复算一致，目录源/host manifest与capacity/environment收据相互绑定，正式槽5，新增复制/删除/改名/Run均0。独立主机端重哈希耗时由本次复核计时；原设备读取wall169.312秒、CPU28.967秒、峰RSS153,157,632 B、设备读取调用区间33.68 MB/s。物理磁盘I/O峰值未测得，且全树重读距180秒门限仅约10.7秒，故效率门须以本次正式preflight实测再判断。

Build224原冻结源pin收据中，adapters.py、metric_engine.py、realtime.py及energy_network_freshness.py与当前工作树SHA逐项相同。手机重插后的E3只读检查重新完成selection/设备/安装元数据绑定、两份目标App生命快照、活动Session与pending workload检查；目标App A两次均缺席，Mac活动Session=0、手机pending workload=false，手机可用13,592,240,128 B，7/7设备服务关闭，写入/安装/launch/signal/Session/Run均0，wall3.577秒。该检查没有启动采集或修改设备。

由a06容量收据、现有资格复核和无可用同定义参考决定生成新的a05独占冻结文件与preflight baseline pins；正式Run仍为0/5，正式指标仍55/66。冻结验证、26项准入源码pin及baseline pin loader通过。冻结SHA和原始selection/设备身份仅保存在私有attempt；不在公开记录写入设备名、序列号、进程身份或证书标识。下一步是按冻结输入执行不超过180秒的新鲜全树preflight；通过后才可由正常Runner启动a05-r1。软件工具与a06容量重核均不计指标通过。

Validation Update · 2026-10-26 · a05 preflight-a01失败与目标进程恢复

a05 preflight-a01 在扫描三根Run树前，设备进程列表557行中发现1个与冻结selection匹配的自有目标App生命，按门禁停止；该目录只保留失败结果和原始进程快照，没有全树SHA/容量结论。preflight自身wall 1.014秒，外层含I/O采样wall 4.370秒，5/5已打开设备服务正常关闭。设备写入、安装、launch、signal、rename、delete、新Session、Run均0；a05没有预留round合同。同步iostat只收集到本次短失败期间的7条非空输出行，不能代表完整扫描的I/O峰值，物理I/O仍未知。失败输出与采样原件均留在私有a05目录；不将这次准入失败计为指标轮次，也不复用其输出。

按Project Owner此前授权，对自有测试App进行有界恢复：新LiveDeviceSession.prepare()重新匹配selection/安装身份；Mac活动Session=0、手机pending Fixture workload=false；两份连续DVT进程快照解析为同一精确生命后，仅发送一次SIGTERM。随后两份进程快照均无目标App匹配，七项设备服务全部关闭。intent/result摘要与SHA绑定经独立脚本重算一致。该恢复未安装、launch、创建Session/Run或修改设备文件；它只恢复下一次只读准入前置条件，不改变a05 preflight-a01 的失败结论。

a05的freeze、selection、26项源码pins与59/64 Runs容量基线仍保持原SHA/身份；进程退出没有设备Run数据写入。当前仍55/66、网络能耗正式0/5。下一步在全新输出目录运行a05 preflight-a02（不读取/覆盖preflight-a01），全新检查前后进程缺席、三根Run树/host SHA稳定、容量/空间、Build/Lab与服务关闭。只有完整通过≤180秒preflight，才由正常live_round_runner.py入口启动a05-r1；a05尚无正式round合同，不存在补轮或拼接。

a05 preflight-a02 经全新输出目录完成（E3，只读）：外层wall165.931秒，preflight wall162.731秒、CPU22.766秒、峰RSS144,146,432 B；Run 59/64、2,007文件/4,180,722,951 B，手机可用13,586,321,408 B、主机可用34,712,698,880 B。扫描前后设备进程清单分别556/557行，目标App匹配均0；Mac活动Session=0、pending Fixture workload=false、Build224/Lab90.21.34，三根源树/host manifest与原件SHA全部稳定核同。capacity、environment、snapshot、custody input pins及anchor SHA经独立复核匹配；6/6本次打开服务正常关闭，设备写入/安装/launch/signal/rename/delete/new Run均0。同步macOS iostat -d -w 1收到166个有效样本，系统盘观测峰值1,451.27 MB/s；样本包含并发系统I/O、不可归因给Perfowl，不能拆成产品单独读写。完整树扫描实际在180秒门内完成，但余量17.269秒；后续仅记录此次实测，不能外推更慢主机/设备。

此preflight只证明E3环境准入与证据保全，不代表Network Energy指标通过，也不产生正式round。a05仍0/5、正式仍55/66。下一唯一动作是按既定正常入口启动a05-r1，完成观察者/冷却、Energy-only UI合同、50MiB受控网络Fixture、Session/Export/温控/三根custody保存及独立总审；若任何阶段失败，保留原件并停止a05，不补轮、不拼接，也不进入Location Energy。

Validation Update · 2026-10-26 · a05-r1永久失败与证据恢复

a05-r1 已由唯一正常 live_round_runner.py 入口预留并启动，随后永久失败；禁止重放、拼接或把其任何部分计入五轮。温控观察与冷却阶段完成约610秒，观察器启动及停止动作各一次；之后 capture-settings 的 Apple 测试指令通道请求在25秒期限内未返回，Runner失败关闭。没有请求工作台GUI Start，没有启动受控网络服务或Fixture负载，也没有创建产品Session或设备Run。控制器结果为 completed=false / formalMetricAccepted=false，其失败后custody汇总为 preservation-incomplete；这份失败回执保持原样，不描述为完整保全审计通过。

失败后只读 custody-rebase-a07 已在原a05私有根内重新枚举并核对三根设备数据：59/64 Runs、2,007文件/4,180,722,951 B，三根manifest一致，2,007/2,007既有host副本SHA匹配；新增复制、改名、删除、写入、安装、launch、signal、Session与Run均为0，设备服务全部关闭。独立host snapshot再次重哈希全部副本，用时2.857秒、CPU2.077秒、峰RSS40,714,240 B，与生成快照逐字段一致。手机/主机空间分别13,598,896,128 B与34,646,675,456 B；本次没有可归属到Perfowl的物理磁盘I/O峰值。a07是失败后恢复的E3保全/容量证据，不会追认a05-r1，也不等于新鲜preflight或指标通过。

Decision Update · 2026-10-26 · a06全新独占正式attempt

a05因r1已预留且失败而永久封存；a05 freeze、Runner输出、失败账本和部分保全回执只供审计。下一attempt固定为 energy-network-field-formal-20261026-a06，五个全新Run名为 energy-network-field-formal-20261026-a06-r1 至 -r5，私有根为 /Users/qiance/Perfowl-NewHost-Recovery/20261026-energy-network-formal-attempt-06。a06与a05完全隔离，先核实新路径及Run前缀未占用，再基于a07当前custody建立selection副本、source pins、freeze和容量绑定；任何旧attempt合同或preflight均不得复用。指标仍55/66，Network Energy仍0/5。

下一步按顺序：先将验收工具的活动attempt身份及所有测试夹具从a05更新为a06，保留对a01–a05旧身份的拒绝测试；补全a05失败/恢复记录后完成独立复核、工具回归与效率记录；再建立a06私有attempt和当前a07容量的pins，执行不超过180秒的新鲜全树preflight并记录端到端wall/CPU/RSS/调用分布及系统I/O观测。通过后只从正常Runner入口启动a06-r1。为避免错过延迟UI挑战，在约575秒开始以不超过1秒间隔轮询同一Runner PTY，及时把新鲜CUA挑战交给 cua_repl；任何通道超时或其他阶段失败仍永久停止a06并完整保全，不重试该轮、不拼接，也不进入定位能耗。五轮全部正常且最终三根custody独立复核通过之前，正式指标不得验收。

Implementation and Validation Update · 2026-10-26 · a06活动attempt身份

按本节Decision Update，formal_attempt.py、custody_chain.py及round_gate.py的活动attempt ID/Run prefix已切换到a06；正式五轮回归夹具同步使用a06，并将a05加入旧attempt拒绝反控。a05私有根、冻结和失败收据均未修改。完整internal/acceptance/energy_network套件 257/257（7.737秒）通过；验收与Sidecar共 340个Python源AST解析通过，git diff --check通过（E2）。a07收据重核时，a06私有根尚不存在，设备当前59个Run名与a06五个计划名无冲突；没有手机动作、GUI操作、安装、launch、signal、Session或Run。

本次只更换验收工具的活动身份和测试夹具，不改变Network Energy产品公式、source-once/quality合同、负载、频率、窗口、五轮门槛或Owner无参考政策。a06 freeze、selection副本、baseline pins与新鲜preflight仍未建立；下一步在独占目录创建这些输入并独立验证，再立即执行≤180秒只读全树准入。指标仍55/66、网络能耗0/5。

Validation Update · 2026-10-26 · a06-r1输入通道失败与归因澄清

a06-r1已预留且永久失败，正式仍55/66、网络0/5。观察器保全记录observedSeconds=898.0192420833046；610秒温控准入前缀不代表整个观察器结束。capture-settings请求以主机桥接错误ui-response-eof终止，尚未GUI Start、网络负载、Session或新Run。活时文件描述符检查确认Runner继承heredoc普通文件作为stdin，无法接收终端回执；这是启动器输入错误，不是手机或Apple通道故障。控制器preservation-incomplete原件保留，不追认为完整轮保全。a06失败后custody-rebase-a01终态成功：59/64 Runs、2,007文件/4,180,722,951 B，全部既有副本核同，无复制、写入、launch、signal、Session或Run；wall175.397秒、CPU29.214秒、峰RSS149,454,848 B，设备服务全部关闭。该结果仍需独立host快照复算。

对a05历史归因追加更正：其原始传输回执为ManualCUABridge的ui-response-timeout、responseBytes=0，不能称为Apple测试指令通道故障；没有a05活时stdin证据，不推定与a06相同。历史原件与数字保留。

Decision Update · 2026-10-26 · Runner终端前置门

正式入口在预留合同及任何设备动作前要求stdin为有效TTY；普通文件、EOF流和无fileno流立即失败。仅在本进程上下文关闭终端ICANON和ECHO，设置VMIN=1、VTIME=0，并在正常或异常退出时恢复原属性，避免默认canonical行上限截断大型AX JSON。使用直接脚本或python -c启动，不以heredoc为Runner输入。关键路径为常数次终端系统调用、O(1)空间，无设备调用、扫描或常驻环境；以真实PTY验证8KiB/64KiB/256KiB消息完整、超时边界、属性恢复及非TTY在run_live_round前拒绝，并记录wall/CPU/RSS与旧canonical截断对照。此修复不改变产品、公式、负载或验收门槛。

a06永久封存；修复和反控通过后再文档化全新a07身份、冻结、容量与新鲜准入，不复用旧轮。观察器完整关闭可能接近900秒，后续按实际工具能力在约840秒起每次不超过5秒轮询同一PTY，及时响应25秒CUA挑战；不放宽任何指标门槛。

Implementation and Validation Update · 2026-10-26 · 终端前置门已验证

live_round_runner.py新增interactive_input上下文，main在run_live_round前验证TTY并临时关闭ICANON/ECHO，finally恢复配置。新增真实PTY正反控：普通文件/无fileno/已关闭流拒绝，main拒绝时live函数不调用，8KiB/64KiB/256KiB JSON逐字节完整，空输入按期限失败，正常与异常退出恢复配置。Darwin在重新进入canonical时自动置PENDIN内核重处理标志；首次严格全字段相等测试因此失败，保留该发现，最终测试只排除此内核瞬态位，其他配置逐字段检查。全网络验收工具套件260/260（7.355秒）、git diff --check通过（E2）。

同一真实PTY的8,208字节回执对照：旧canonical模式2.010160秒超时、收到0字节，CPU0.000399秒、进程峰RSS34,357,248 B；新模式逐字节收到8,208字节，wall0.001409秒、CPU0.001625秒、进程累计峰RSS34,684,928 B。后者RSS为同进程累计高水位，不能解释为独立增量；无物理I/O或设备调用，本结果不替代真实规模准入及指标E4。a06失败后独立host snapshot已全部核同（除时间与性能字段）：wall3.131623秒、CPU2.166216秒、峰RSS45,285,376 B。正式仍55/66、网络0/5；下一步建立全新a07身份与当前源码冻结，不复用a06轮次或准入。

Decision Update · 2026-10-26 · a07独占身份与冻结

a06-r1永久失败且入口源码已变，下一批固定energy-network-field-formal-20261026-a07，Run前缀energy-network-field-formal-20261026-a07-r，五轮r1至r5，私有根/Users/qiance/Perfowl-NewHost-Recovery/20261026-energy-network-formal-attempt-07。先排他建立0700根，独立0600 selection；采用已完成且独立host复算核同的a06/custody-rebase-a01作为容量对账输入，重新记录当前源码pins与新freeze。保留a01–a06旧身份拒绝反控。新鲜preflight必须重新枚举设备真实容量、核全部源/host SHA、前后目标进程缺席及空间，≤180秒并在有效期内由真实TTY直接启动正常Runner；旧容量输入不替代该准入。固定五轮、120槽及225秒Session等门限不变；失败停止整个attempt，保留全部原件，不补轮或拼接。

Implementation and Validation Update · 2026-10-26 · a07冻结、全树准入与r1启动

a07身份及夹具切换完成，保留a01–a06拒绝反控；完整工具260/260（7.397秒）通过。新0700独占根、0600 selection、26项当前源码pins和freeze已建立且独立validate_frozen_attempt通过，五个新Run名与当前树无冲突。新preflight-a01终态通过（E3）：59/64 Runs、2,007文件/4,180,722,951 B；wall165.586919秒、CPU24.999215秒、峰RSS145,326,080 B；手机扫描前13,597,839,360 B、后13,594,271,744 B，活动Session=0，三根SHA及host副本核同，写入/安装/launch/signal/rename/delete/新Run均0。物理I/O峰值本次未取得，不能用历史系统I/O代替。

准入终态后，以python -c exec直接脚本、真实PTY启动唯一Runner，未使用heredoc stdin。r1合同已预留、观察器生命确认成功并进入温控观察；尚未请求GUI Start，当前工具句柄69960。观察器完整关闭前持续轮询同一句柄，不创建重复Runner；约840秒起≤5秒观察CUA挑战，需25秒内真实AX响应。该启动不计轮次通过，正式仍55/66、网络0/5。源码pins活动期间不改，全部失败/尾部原件继续保留。

Validation Update · 2026-10-26 · a07活动终端与文档构建

活动Runner fd0经只读检查确认为字符终端；新freeze、preflight结果、round合同及当前26项源码SHA独立核同，审计收据独占保存于a07根。r1仍在温控观察，未启动网络负载，正式0/5。网站先因非指定Node版本拒绝（24.13.0；另一次路径未命中实际使用25.9.0），随后使用项目固定24.19.0完整client/server/render通过，27.413秒；知识门66项通过，44条既有内容风险与chunk提示保留。构建日志私有封存，尚未发布。Webhook配置按Owner本次指示恢复到钥匙串，小时汇报任务已启用并收到HTTP200/errcode0测试回执；不复述地址密钥，不将历史交付失败追认成功。

Validation Update · 2026-10-26 · a07-r1主机回执超时

a07-r1永久失败，禁止重放。温控准入306条、末610.0069626667537秒、全部nominal、305条active，随后等待完整观察器退出；capture-settings请求已被轮询观察到，但完整AX文本经模型转抄未在25秒内送达，原始回执ui-response-timeout、responseBytes=0。Runner终态exit1，设备服务关闭；未GUI Start、网络负载、产品Session或新Run。控制器仍preservation-incomplete，stage-clock/session/product-rebind/custody/fixture-export失败源原样保留。当前正式仍55/66、网络0/5。这不是手机或Apple RPC故障，也不否定TTY修复；剩余缺口是模型转抄完整AX消息的耗时。

Decision Update · 2026-10-26 · 无损AX回执传输

后续只调整操作端传输：事先将一次真实CUA完整AX作为私有基线，核对逐行内容与完整性；每次新鲜CUA观察以基线行索引和新增原文行编码完整新AX，操作端确定性还原，发送原有schema/action/nonce/axState四字段。保留完整新AX与原协议校验，不过滤AX、不伪造UI、不延长25秒超时，也不改变225秒Session或任何指标门槛。标准JS对真实观察结果做无损行字典编码，O(n)存储、朴素行查找O(n*m)，当前不超过数百行，避免模型重复转抄数千字。实现前先在纯主机夹具及真实CUA空闲观察中验证还原逐字节一致、大消息边界和端到端回执耗时，再建立新a08身份；a07失败后先全树只读custody保全。

Implementation and Validation Update · 2026-10-26 · 操作端AX编码与a07失败后保全

新增内部操作说明ax-line-relay.md，不改产品或冻结执行工具。真实新鲜空闲AX与私有基线44行/2,871 UTF16码元一致；完整行字典编码JSON仅123字节，解码后长度及FNV逐UTF16码元校验匹配。基线、空串、状态变更、首尾增行、256KiB原文、倒序六组无损roundtrip及六组非法行引用拒绝共12控制通过（约4ms、E2）。FNV仅检错，不是安全摘要；私有基线文件另存SHA，原桥接器最终仍保存完整AX及SHA。真实带nonce挑战的端到端时限尚未验证，因此尚不能启动a08正式轮。

a07失败后custody-rebase-a01终态通过（E3）：59/64 Runs、2,007文件/4,180,722,951 B，2,007件既有host副本复用且全部源SHA核同，无新增源/改动/host复制/设备写入/launch/signal/Session/Run/改名/删除，服务全部关闭。wall177.973855秒、CPU33.415571秒、峰RSS144,392,192 B，手机可用13,597,966,336 B、主机34,553,524,224 B。物理I/O峰值未知；该177.97秒为保全实测，不作为下次180秒准入保证。独立host快照复算正在执行，不追认a07失败轮。

独立host复算终态通过：三根完整快照除时间与性能字段外逐字段一致，2,007文件/4,180,722,951 B全部SHA再次核同，wall2.939196秒、CPU2.101507秒、峰RSS42,680,320 B。没有活动Runner，下一先运行不启动设备/工作台采集的真实PTY与CUA回执传输资格；在25秒真实挑战通过前，不建立正式新轮。指标仍55/66、网络0/5。

Decision Update · 2026-10-26 · 以实测决定主机交互期限

纯主机真实PTY挑战a01也在25.009605秒以ui-response-timeout失败、0字节响应；没有手机/GUI动作。无损行引用虽减少模型输出，仍不能保证两次工具往返在25秒内完成。此前“保持25秒”的假设被该执行证据否定，不再耗费十五分钟温控来重复同一主机缺口。先在新主机挑战a02使用桥接器原已允许的60秒交换上限测量完整链路，暂不改正式执行入口。此为操作回执期限资格，不能延长实际Session≤225秒、固定120槽、负载/温控/五轮或任何指标数值门槛。若实测可行，再文档化正式主机回执预算与控制器包络、补反控并刷新源码冻结；若停止UI实际过晚，仍按真实Session超限失败，不回填或移动窗口。

Decision Update · 2026-10-26 · 同一次CUA观察保存完整回执

主机60秒挑战a02仍超时，0字节输入；不据此修改正式超时，也不允许等待回执挤占225秒实际Session。原生Terminal UI访问被工具安全限制拒绝，未尝试绕过该应用限制。下一采用非UI文件产物传输：CUA仍是唯一GUI观察/操作接口，在同次调用把真实完整AX及真实nonce/action用标准文件I/O保存为私有0600独占回执文件。该文件I/O只保存观察产物，不调用系统UI或终端应用。一次性主机转发器持有其自行创建的PTY，将相应nonce私有文件内容直接送到子Runner stdin；不操作GUI、不解析/伪造控件、不增加设备通道，不创建常驻环境。若CUA运行环境不支持标准文件产物保存，则如实停止该方向，不绕过工具安全限制。

转发器绑定新私有根、单一子进程、随机nonce/action及固定四字段；防路径逃逸/符号链接、限字节、0600同owner、稳定读取、独占nonce、每请求最多发送一次，失败不重放。轮询仅在已有活动请求时读取该固定文件，间隔0.1秒且随请求期限停止；其余时间用select等待PTY输出，不全盘扫描。关键路径O(AX字节数)、内存≤协议上限，单消息转发预计<100ms，无物理设备I/O；以真实PTY、真实桥接挑战测量响应耗时，再考虑正式a08。保持既有25/55/40秒桥接预算和全部指标门槛；纯主机/空闲CUA资格不计指标通过。

Implementation and Validation Update · 2026-10-26 · 文件产物到PTY正式传输资格

terminal_relay.py已实现单子进程PTY转发：只接收该子进程真实UI_REQUEST，固定动作/32位hex nonce/原请求绝对期限；私有根防symlink、0700与owner校验，响应通过固定目录fd+O_NOFOLLOW读取0600稳定文件，严格四字段/nonce/action/大小/单行校验，每nonce最多发送一次。CUA同次真实观察以0600独占.pending文件写完并关闭，再用排他hardlink原子发布，避免读取半写文件。转发器只等待PTY及当前固定路径，不遍历磁盘；0.1秒等待仅在活动请求期间，非请求期select等待。保留完整响应与逐条SHA/耗时日志，逾期文件不发送，临时转发器随子Runner退出，无常驻环境。

初版六项反控包含身份/额外字段/重复键、符号链接/目录权限、nonce逃逸/NaN/超限时间、超大回执、固定目录fd读取及真实子PTY完整转发；旧测试首次因macOS临时目录父路径为symlink而拒绝，夹具改用真实resolve路径，正式安全检查未放宽。新工具加入preflight完整源码pins，源码清单回归同步后全网络工具266/266（8.201秒）、git diff --check通过（E2）。

真实CUA空闲观察+原桥接器25秒挑战a03通过14.407360秒；最终带目录fd/审计日志版本a04通过14.584155秒，3,682字节完整回执及原桥接AX证据SHA一致。转发器wall14.667613秒、CPU0.023072秒、峰RSS25,477,120 B，含等待CUA；无手机调用、GUI状态变更或新Session/Run。相对原转抄25秒与60秒超时（0字节）的同工作台基线，完整回执已实际送达；物理I/O峰值未隔离。该资格只证明主机传输，不证明真机指标，Session225秒与原25/55/40秒桥接期限均未修改。

Decision Update · 2026-10-26 · a08全新独占attempt

a07永久失败封存；下一固定energy-network-field-formal-20261026-a08，Run前缀energy-network-field-formal-20261026-a08-r，r1至r5，私有根/Users/qiance/Perfowl-NewHost-Recovery/20261026-energy-network-formal-attempt-08。使用a07失败后完整custody-rebase-a01及独立host重算作为容量对账输入，重新建立selection、27项源码pins和freeze，拒绝a01–a07旧身份。新鲜全树preflight必须在≤180秒内通过且所有前后目标进程/容量/源host SHA/空间门槛满足，再立即以一次性PTY转发器启动正常Runner；转发器仅传输，核心合同/账本/审计仍由原入口执行。约840秒起≤5秒轮询同一活动句柄。每次CUA挑战在同一CUA调用中观察/必要点击并原子发布完整AX回执，不再经模型转抄。任何失败停止整个a08，不补轮、不拼接，网络关闭前不进入定位能耗。

Implementation and Validation Update · 2026-10-26 · a08首次准入拒绝与精确退出

a08新0700私有根、0600 selection、27项源码pins与freeze建立并通过验证，五个新Run名未占用；旧身份反控和完整工具266/266（7.949秒）通过。另补转发器8/64/256KiB真实子PTY完整消息反控，专项7/7（0.599秒）通过（E2）；正式源码未变，不影响a08冻结。

a08 preflight-a01在扫描全树前发现目标自有App进程，按门禁终止，wall1.105758秒、CPU0.254060秒、峰RSS95,043,584 B。所有设备写入/安装/launch/signal/改名/删除/新Run均0，无round合同，不算正式失败轮；旧输出保持原样。不能将此现象直接归因自动重启或人工操作。

按Owner既有授权，以新owned-app-exit-a01重新绑定selection/安装身份，确认Mac活动Session=0、startup pending=false；两份快照确认完全相同的自有App生命，再于发送前再次匹配，仅SIGTERM一次。后续两份快照均缺席，7/7服务关闭；独立审查前两快照SHA、精确生命、signal intent/result绑定及后两缺席/关闭均通过。没有安装、launch、Session或Run。本次不改Run数据，原容量基线只作对账输入。下一全新preflight-a02已由同一准备入口启动，只有新鲜全树准入通过才自动进入一次性PTY转发器与正常r1；当前句柄65624，禁止重启或重复Runner。

Validation Update · 2026-10-26 · a08新鲜全树准入通过与r1活动

a08 preflight-a02终态通过（E3）：59/64 Runs、2,007文件/4,180,722,951 B全源及既有host SHA核同，活动Session0；手机空间扫描前13,605,883,904 B、后13,599,928,320 B。wall165.514988秒、CPU26.462551秒、峰RSS145,276,928 B，设备写入/安装/launch/signal/改名/删除/新Run均0。同期iostat排除首次开机累计行后167个系统样本，聚合观测峰1,480.31 MB/s，含其他系统I/O、不隔离Perfowl、不拆分读写。27项冻结源码、preflight结果与r1合同SHA经独立审计核同，私有审计收据独占保存。

准入后同一准备入口立即exec一次性PTY转发器，正常Runner已预留a08-r1、确认观察器生命并进入cooldown-running。唯一工具句柄65624仍活动，不启动第二Runner、不改冻结源码。后续操作端只通过同次CUA真实观察/必要操作保存完整私有回执，由本轮PTY转发；原25/55/40秒桥接预算保持不变。软件/准入不计指标通过，正式仍55/66、网络0/5。

Validation Update · 2026-10-26 · 在负载前发现逐轮容量绑定矛盾并停止a08

只读审查发现live_preflight._load_inputs将每轮capacityReceipt都要求与初始freeze固定路径/SHA一致，同时要求Run数为59+roundIndex-1。纯主机E2实际输入反控已复现：r2使用冻结初始pins报baseline-run-count；使用本批较新真实全树收据报attempt-capacity-pin-mismatch。该矛盾导致r2–r5无法接续，不是设备容量或手机硬件故障；此前266项工具测试未覆盖真实逐轮输入组合，其通过不能证明完整五轮可执行。

发现时a08-r1仍在cooldown-running且无CUA请求、GUI Start、网络负载、Session或新Run。先独占写入停止意图与上述主机反控SHA，核对本批自己的转发器进程身份后，仅向其发送一次SIGINT，由转发器将中断传给自己的Runner。原控制器执行失败清理/保全并关闭7/7设备服务，Runner终态KeyboardInterrupt，失败/中断/部分温控及尾部原件均保留，a08永久停止、不重放。控制器仍preservation-incomplete（包含尚未形成的Session/Fixture及中断温控源），不能追认为完整轮审计。

失败后a08 custody-rebase-a01只读终态通过（E3）：59/64 Runs、2,007文件/4,180,722,951 B，全部源与既有host副本核同，新增复制/设备写入/launch/signal/Session/Run/改名/删除均0，服务全部关闭；wall176.701713秒、CPU33.490221秒、峰RSS148,488,192 B，手机可用13,602,598,912 B、主机33,395,130,368 B。该保全不代表新鲜准入，尚需独立host快照复算。网站最新完整构建Node24.19.0通过27.655秒，保留既有提示，未发布。正式仍55/66、网络0/5。

Decision Update · 2026-10-26 · 逐轮baseline绑定修复（先文档后代码）

初始freeze永不改写，r1继续严格使用初始容量路径/SHA；r2–r5只接受紧邻前一轮canonical postflight-custody-a01快照中已引用的五项baseline pins（Runs/Exports/Retired、custodySummary、capacityReceipt），禁止任意新收据替换。前轮必须有同attempt、同freeze的合同、reviewed且未失败的ledger、绑定该ledger SHA的accepted gate及完整controller审计；快照路径必须在前轮固定私有目录内且无symlink，快照完整文件SHA必须与accepted gate的bundle.custodyAfterSHA256一致。输入evidenceRoot及五pins逐项与快照sourceReceiptPins完全相同，容量/Run名为初始59加已完成正式Run、无未来Run冲突；当前全源/host SHA仍重新扫描。新鲜Runner现有authorize_next_round继续独立重算全部前轮语义、custody、ledger，不以存储accepted字段代替最终门禁。

实现只改验收工具输入链，不改产品、指标口径、窗口、负载或五轮标准。复用既有私有稳定JSON/ledger/controller审计及当前host全哈希，避免在preflight额外重复重读4GiB：前轮快照只读小型文件SHA/JSON和其pins，实际每个host字节仍由既有root receipt验证读取一次；不新增设备调用。关键链为O(快照/ledger元数据+当前host字节数)，单次CPU增量目标<1秒、RSS增量<8MiB，物理I/O归属仍按实测，CLI输入校验耗时与设备全树扫描耗时分别记录，不能把输入成本隐藏成设备扫描通过。

必须补覆盖r1及r2–r5的真实_load_inputs路径和逐轮pins构造，不再只mock掉_load_inputs；反控包括旧pins、错误前轮/未来轮、未reviewed或失败ledger、伪accepted gate、漂移的snapshot/capacity/root/summary pins、同数不同Run、symlink/路径逃逸、来源/evidenceRoot错绑。建立纯主机连续五轮输入与实际postflight产物形状的集成用例，保证59→60→61→62→63每轮可准入且最终64已满；这些只是E2，不消耗真实槽，也不计指标通过。修复/全回归/真实规模host效率复核及独立审查通过后再建立新a09身份与freeze/真实容量/新鲜准入；不得复用a08部分观察器或正式轮。

Owner Scope Update · 2026-10-26 · 暂停网络及其他剩余指标

Owner暂停剩余11项（含网络能耗与动态GPU Counter），正式55/66不变。a08永久停止、0/5保持；逐轮baseline修复已开始但尚未完成验证，所有工具仅作暂停开发保全，不进入a09。产品源码与build224冻结来源核同，本批仅软件回归/打包供Owner本机试用，见交付方案。旧失败、原始数据和独立复算全部保留；恢复须Owner新指示。

Owner Resume Update · 2026-10-26 · 11项验收恢复

Owner已明确覆盖前述暂停范围，恢复剩余11项逐项验收，目标正式66/66；历史55项不重测，当前网络能耗仍0/5。此前暂停状态与原始数字保留为当时快照。

新机只读检查显示Mac标准内部包已从旧Build224更新到Build227，Xcode可见设备A。live_preflight.py 与 live_round_custody.py 仍把标准Mac App版本写死224；本次完整离线工具套件267项中264通过，3项只因当前227触发standard-app-build。旧Build224私有来源pin与四个网络采集Sidecar源码文件的SHA仍逐项相同；新正式attempt必须显式冻结227及其完整源码/工具pins，不能仅修改版本常量绕过版本来源门。

a08在负载前暴露的逐轮baseline问题仍待关闭。当前 _require_round_baseline 有初步实现，但测试没有经真实_load_inputs验证r1–r5连续容量；本计划已要求填入真实postflight文件形状的完整合成序列与路径/错绑反控。工具全回归、源码冻结、性能对照和独立复核完成后，才重新读取当前Run容量与三根目录全SHA、空间、设备身份/进程和服务状态，再以全新a09前缀启动。a01–a08均不复用。设备Xcode枚举可用不等于新鲜准入；本条未启动手机采集或新Session/Run，指标正式0/5。

后续定位、显示、Overhead、电池、热状态和动态GPU Counter按恢复11项总方案顺序推进。未发现可用独立参考不自动阻止验收，但只在有效数据完整且异常/质量复核通过后，才适用NO_REFERENCE_ACCEPTED_OWNER_POLICY并保留精度未校准标记；无数据、缺值或未解释异常不得通过。

2026-10-27 Validation Update · r29容量更新与q21过期绑定拒绝

正式总数仍55/66，网络能耗ios.process.energy.network_cost仍0/5。r29的候选物料化、schema负控、路径闭合、controller预审、288项回归、冻结、prepare、prestart与startgate均已生成成功的准备收据；这些是E2/E3准备证据，不是网络资格或指标通过。

新鲜私有保全 custody-rebase-a09-r29-live-a04 完成三根目录全量重读：58/64 Runs，2,007文件/4,180,722,951 B；设备源与既有host副本逐件SHA一致，独立host复核2,007/2,007文件、4,180,722,951/4,180,722,951 B通过。手机可用13,681,508,352 B、主机可用30,411,337,728 B；目标进程前后不存在，活动Session=0、pending workload=false，服务关闭，设备写入/安装/launch/signal/Run/Session/改名/删除均0。保全墙钟177.185秒、CPU35.405秒、峰RSS239,353,856 B；物理I/O峰值未归因。所有容量检查通过，但formalMetricAccepted=false。

独占r29/q21准备链仍引用此前 custody-rebase-a09-post-rename-a08 容量回执SHA fd915d27…e8c09257，而a04最新容量收据SHA为cc4c2974…d5c569fc。因此不启动q21、不把旧容量收据当作新鲜准入，也不改写其已通过收据；该绑定属于软件/流程阻塞，不是硬件失败。其启动意图、900秒零负载观察、资格Session与正式Run均不存在。

新恢复门： 使用全新 qualification-05/r30/、资格ID energy-network-field-formal-20261027-a09-qual-22、nonce energy-network-field-a09-cooldown-20261027-36，碰撞检查已完成。固定当前方案/handoff源快照，并从a04收据作为唯一最新容量输入重新材料化12候选；完整重跑schema、路径、controller、288项回归、producer-consumer、prereview、freeze、最终review、prepare、prestart、startgate及SHA分离复核。所有准备门通过后，才启动新的900秒零负载观察并独立核源端/host SHA、连续性与nominal尾段；随后做独立字段资格。资格通过后才从冻结合同读取正式Run前缀并开始完整五轮，失败attempt不复用，旧55项不重测。

2026-10-27 Validation Update · r30路径闭合失败与r31恢复门

r30/q22在独占输出下完成12候选材料化和schema负控9/9；静态路径闭合检查发现138项引用中有1项缺失：freeze_prethermal_inputs_a09_q05_r09_r30.py仍引用旧的review_capacity_rebase_a08.py，a04实际审核工具路径为review_capacity_rebase_r29_live_a04.py。失败回执qualification-05/r30/audit/path-review-failure-r30-a01-private.json SHA-256=bb88fdb82f1eba6b0688a040c53a643510357203ab897e3833efaa655e091434。候选脚本未执行；回归、freeze、prepare/prestart/startgate、意图、观察、Session、Run及手机/设备动作均为0。r30停止并保留，不修补或续用；正式仍55/66，网络仍0/5。

唯一下一步： 使用独占qualification-05/r31/、资格IDenergy-network-field-formal-20261027-a09-qual-23、nonceenergy-network-field-a09-cooldown-20261027-37和新的Canonical源快照。材料化前将a04审核工具实际路径写入候选模板，并对所有引用做缺失路径dry-run；通过后从零运行schema、path、controller、288回归、producer-consumer、prereview、freeze、final-review、prepare、prestart、startgate和分离SHA复核。所有主机门通过后才进行新的900秒零负载观察、独立源端/host SHA与nominal尾段复核、字段资格和完整五轮。全部容量输入使用a04最新收据；正式Run前缀只能从新冻结合同读取。

2026-10-27 Validation Update · r31最终链审查拒绝与r32恢复门

r31/q23从当前全新快照材料化12候选并通过真实schema负控、138项Python路径闭合、controller预审、27条producer-consumer字段路径、288/288离线回归及12/12 prereview。host-only freeze固定185项pin；独立复算185/185 SHA、a04容量与主机安装签名绑定通过。此证据只属准备，formalMetricAccepted=false。

最终chain reviewer的唯一拒绝项a06_prethermal_freeze_preserved_but_stale已独立分解：a06历史155项pin及其freeze receipt、当时plan/handoff快照均能SHA闭合；其中被后续Canonically更新的本方案旧SHA被错误要求继续匹配当前文件。实际只有该历史Canonical网络方案SHA已变化，另外154项pin仍匹配。失败receiptqualification-05/r31/audit/preparation-chain-review-failure-r31-private.json SHA-256=280fdb7dc9cee06d6dbb8a8f684d6acb5c4a86b2bec8b6395065ac1996c50799，并绑定r31 freeze/pins SHA；没有chain成功receipt、prepare/prestart/startgate、热观察意图/结果、资格Session、正式Run或设备动作。r31完整保留并停止，不修改、不续用。该阻碍是历史文档pin stale分类逻辑，不是硬件或网络数据问题。

r32唯一下一步： 更新Canonical方案/handoff后固定新源快照，建立独占qualification-05/r32/、资格IDenergy-network-field-formal-20261027-a09-qual-24和nonceenergy-network-field-a09-cooldown-20261027-38。材料化前校验r31父失败SHA与inventory；修正历史pin reviewer，要求a06旧freeze receipt绑定其155项pins和当时plan/handoff snapshot，分别复核历史快照及其非文档输入，允许Canonical网络方案的当前SHA与历史pin不同并标记stale。r31最新a04容量reviewer则仍须与当前SHA精确匹配，不可套用stale豁免。r32全新执行schema/path/controller/producer-consumer/288回归/prereview/freeze/final review/prepare/prestart/startgate及独立SHA复核；任一失败封存r32并转新attempt，不在本轮修补。准备门全部通过后才刷新设备空闲/容量/空间并做900秒零负载观察、独立字段资格和完整五轮。当前正式55/66，网络能耗0/5，历史55项不重测，其他10项保持Registry顺序。

2026-10-27 Validation Update · r32-r04最终链拒绝与r33恢复门

r32-r04是隔离主机演练，12候选材料化、schema负控（17项顶层缺键、72项行缺键、12项额外行键）、138项路径闭合、controller预审、27条producer-consumer字段路径、288/288离线回归、13项prereview及186项host-only freeze均通过。容量输入仍绑定a04：58/64 Runs、2,007文件/4,180,722,951 B。以上均为准备证据，formalMetricAccepted=false。

最终链reviewer仅因候选脚本仍把材料化回执的父attempt写作qualification-05/r26而拒绝；r32材料化回执正确写作qualification-05/r31，来源与目标脚本SHA均匹配。失败回执qualification-05/r32-rehearsal-r04/audit/final-chain-failure-r04-private.json SHA-256=27113a1658e381ee19363f405626825bc77f3ba3a69db423ee34e93decba2f89，绑定材料回执SHA及186项冻结pin SHA。未生成成功最终链回执、prepare/prestart/startgate或设备阶段输出；手机/设备动作、观察、Session和Run均为0。该门是审核器父attempt合同缺陷，不是硬件或网络问题。r32-r01至r04完整保留，不修补、不续用。

r33唯一恢复门： 固定本更新后的Canonical方案/handoff为新r12快照，独占qualification-05/r33/、资格IDenergy-network-field-formal-20261027-a09-qual-25和nonceenergy-network-field-a09-cooldown-20261027-39。候选链审核必须显式要求材料化receipt父attempt为r31，并绑定r31失败回执、inventory、候选源/目标双SHA和历史a06 stale证据。全新r33 rehearsal重跑12候选schema、138项路径闭合、controller、27项producer-consumer、288回归、prereview、freeze和最终review；任一门失败即保全并新建attempt。只有独立SHA闭包通过后才在r33正式根执行其余主机门。其后刷新a04来源的现场容量/保全、空间、Build 227签名及设备空闲；通过后依次做900秒零负载观察、独立字段资格和完整五轮网络能耗测试。正式仍55/66、网络0/5，其他10项按Registry顺序等待。

2026-10-27 Validation Update · r33-r01快照版本拒绝与r34恢复门

r33-r01全新rehearsal从r31材料化12候选，schema负控顶层缺键17/17、逐行缺键72/72、额外行键12/12均拒绝；138项Python路径闭合、controller预审、27条producer-consumer字段路径与288/288离线回归通过，均为E2准备证据。prereview只因脚本仍将snapshotVersion写死r11而拒绝；新快照manifest为r12，plan/handoff文件字节、源/current SHA和快照路径均核同。失败回执qualification-05/r33-rehearsal-r01/audit/r33-prereview-failure-private.json SHA-256=e6e1511b195e2fe8ff75073b7434b910b3773573aa1a0f3364e2312a5c1f846b。没有freeze、prepare/prestart/startgate、设备观察、资格Session或正式Run，phoneActions=0、deviceActions=0；formalMetricAccepted=false。该问题是reviewer版本映射，不是硬件故障。r33-r01保留并停止。

r34恢复门： 建立独占qualification-05/r34/、资格IDenergy-network-field-formal-20261027-a09-qual-26、nonceenergy-network-field-a09-cooldown-20261027-40及Canonical r13快照。prereview必须验证manifest版本与审查器预期版本相等，且r13绑定正确；其余候选父attempt严格为r31，禁止混用r26。新演练从材料化开始完整重跑schema、路径、controller、producer-consumer、288回归、prereview、freeze、final review和独立SHA。准备门全部通过后才在正式根重放host-only闭包；随后以a04当前容量为准刷新现场空间、签名、Session和设备服务准入，再依次完成900秒观察、字段资格与网络能耗五轮。正式仍55/66、网络0/5，其他10项按Registry顺序等待。

2026-10-27 Validation Update · r34-r01最终链拒绝与r35恢复门

r34-r01完整主机演练材料化12候选；schema负控17项顶层缺键、72项逐行缺键、12项额外行键全拒绝；138项路径闭合、controller预审、27条producer-consumer、288/288离线回归、13项prereview通过。主机freeze固定186项，容量绑定a04：58/64 Runs、2,007文件/4,180,722,951 B。E2/E3准备证据均不计正式验收。

最终chain reviewer只因恢复总方案缺少精确字符串qualification-05/r34/而拒绝Canonical快照检查；manifest、plan/handoff源路径、字节数和当前SHA均核同。失败收据qualification-05/r34-rehearsal-r01/audit/final-chain-failure-r34-private.json SHA-256=9c0de13eeafcab595dc284eae2f508d93dc82160cbd62257d65fa5660af95ad8，绑定186项freeze pins及reviewer SHA。未产生成功chain receipt、prepare/prestart/startgate或设备阶段输出；观察、Session、Run与phone/device actions均为0。问题是总方案漏记attempt锚点，不是硬件或网络数据故障。r34-r01完整保留并停止。

r35恢复门： 将r34失败记录同时追加到网络专项方案、恢复11项总方案及handoff。独占qualification-05/r35/、资格IDenergy-network-field-formal-20261027-a09-qual-27、nonceenergy-network-field-a09-cooldown-20261027-41及r14源快照。从r31历史失败与inventory重材料化，最终链review前明确校验当前网络方案、总方案、handoff三份Canonical文档均包含精确r35锚点及其SHA。新r35 rehearsal从schema/path/controller/producer-consumer/288回归/prereview/freeze/final review/独立SHA重跑；任何失败均保全并转新attempt。主机门闭合后才执行正式根准备、刷新现场容量/空间/签名/设备空闲，再依次900秒观察、字段资格和完整五轮。正式仍55/66，网络能耗0/5，余下10项按Registry顺序等待。

2026-10-27 Validation Update · r35启动器合同失败与r36恢复门

r35独占rehearsal的schema、路径、控制器预审、producer/consumer闭合、288项离线回归、13项prereview、186项freeze、最终链、prepare/prestart/startgate及独立SHA复核全部通过；它们只属于E2/E3准备阶段。启动热观察前，启动器的本地断言检测到controller SHA来源不一致：准备回执绑定材料化控制器 network_field_qualification_control_a09_q27.py，SHA-256=479b0d495ad440389fc86feee3af750b55beecf54dd19093f12da7d0e350d531；啟动器却校验并拟写入intent的是旧源 network_field_qualification_control_a09_q05.py。断言发生在连接手机、创建intent和启动观察目录之前；无设备动作、Session或Run。该失败是软件合同错误，不是硬件故障。r35完整保留，不修补或续用，正式仍55/66、网络能耗0/5。

r36唯一恢复门： 固定更新后的三份Canonical文档为r15快照；在全新独占 qualification-05/r36/、资格ID energy-network-field-formal-20261027-a09-qual-28、nonce energy-network-field-a09-cooldown-20261027-42 下，从r31父链重新材料化并重跑全套主机门。修复并独立检查控制器source/consumer闭包，要求controller reviewer、prepare、prestart、startgate、start wrapper和最终intent都使用同一个r36材料化q28候选路径及SHA；负控应拒绝错路径和错SHA。新r36需完成schema、138项路径、controller、27项producer/consumer、288回归、prereview、freeze、最终chain、prepare/prestart/startgate及独立SHA复核。全门通过后刷新现场容量/custody、磁盘空间、签名、Session与设备服务状态；之后才做新的900秒零负载观察、独立字段资格和完整五轮网络能耗测试。准备和资格不计正式验收；只有五轮和独立复核闭合后网络能耗才计为通过，其余10项按Registry顺序推进。

2026-10-27 Validation Update · r37临时预检身份/路径合同失败，转r38

r37仅在临时预检目录从r31父链材料化12个候选，语法、全局符号解析和候选SHA/字节数核验通过；独立候选合同预检因活动候选nonce42、而快照与材料化收据声明nonce43而失败。prestart中实际有3处controller SHA引用，检查器只要求2处。路径闭合检查还将根目录reviewer计入候选集，并发现11个指向尚未提供的audit/支持脚本引用。以上仅为临时预检失败；没有创建正式r37目录、freeze、prepare、设备意图/观察、资格Session或正式Run，手机/设备动作均为0，formalMetricAccepted=false。临时材料保留供审计；未发现硬件阻碍。

r38唯一恢复门： 固定此次更新后的三份Canonical文档为r17快照，使用独占qualification-05/r38/、资格IDenergy-network-field-formal-20261027-a09-qual-30、nonceenergy-network-field-a09-cooldown-20261027-44。在新临时预检目录从r31不可变inventory重新生成12个候选，并按材料化receipt精确限定候选集；把候选引用的schema、prereview、prepare-chain支持审计器按各自SHA纳入检查，不将reviewer误计为候选。身份断言同时绑定快照、receipt、controller、wrapper、freeze、资格ID与nonce44；prestart consumer SHA引用数固定为3，其余consumer逐项列举。语法/符号、138项路径闭合、候选SHA、producer/consumer、288回归及错nonce、错路径、错SHA、缺依赖、未定义符号负控全部通过后，才在独占正式r38重跑完整host-only链。全链闭合并分离复核成功后重新刷新设备容量、空间、签名与空闲状态，再进入900秒零负载观察、限定资格和正式五轮；当前正式仍55/66、网络0/5，后10项按Registry顺序等待。

2026-10-27 Validation Update · r36控制器消费者未定义变量与r37恢复门

r36完成从r31父链材料化12个候选及r15 Canonical快照绑定。冻结前的独立静态检查发现启动器与prestart reviewer引用未定义全局R36；候选模块实际定义的attempt-root符号为R35。失败收据qualification-05/r36/audit/controller-source-contract-precheck-r36-private.json SHA-256=75126ac42f75fb6b493e48a5101a520ab41ebdcbc2d20e961897ab1e165b1056。该门未通过；r36没有freeze、prepare/prestart/startgate、意图、900秒观察、资格Session、正式Run或手机/设备动作，formalMetricAccepted=false。完整保留r36，不在同一attempt修补；这是候选生成脚本错误，不是硬件阻碍。

r37唯一恢复门： 采用r16 Canonical快照、独占qualification-05/r37/、资格IDenergy-network-field-formal-20261027-a09-qual-29、nonceenergy-network-field-a09-cooldown-20261027-43。从r31父链重材料化；先在不属于attempt的临时目录修复生成器，针对启动器、prestart及全部controller consumers运行AST/符号表与路径解析；正控必须使所有消费者绑定同一q29候选路径与SHA，错路径/错SHA/未定义变量负控必须失败。独立reviewer与收据纳入freeze pins后才运行新attempt的schema、138项路径、controller、27项producer/consumer、288回归、prereview、freeze、最终chain、prepare/prestart/startgate与分离SHA。全主机门通过后再刷新真实容量/custody、空间、签名与设备空闲状态，随后才执行900秒观察、字段资格与完整网络五轮。五轮未独立通过前网络0/5、正式总数55/66，其他10项继续受Registry顺序门约束。

2026-10-27 Validation Update · r38隔离host-only预检全通过，转r39

r38仅在隔离临时目录演练，未创建正式qualification-05/r38/。从r31 inventory重新材料化12个候选及3个支持审核器；138条Python路径闭合/0错误，schema负控17项顶层缺键、72项行缺键及12项额外行键全部拒绝，controller 10/10，producer/consumer 27条路径/32个生产检查键/缺失0，ARM64 Python 3.12.10离线回归288/288（9.182秒），prereview 13项、host-only freeze 186项SHA pins、final-chain 32/32、prepare、prestart 25/25、startgate 17/17均通过。冻结所用58/64 Runs、2,007文件/4,180,722,951 B来自a04旧容量收据，并非本轮新鲜设备容量。formalMetricAccepted=false，手机/设备动作0；无热观察、资格Session或正式Run，正式总数仍55/66、网络能耗0/5。以上只证明E2/E3准备链完整。

下一正式attempt： r17已绑定预检前文档，不再复用。三份Canonical文档已写入下一锚点；创建新r18快照及独占qualification-05/r39/，资格IDenergy-network-field-formal-20261027-a09-qual-31，nonceenergy-network-field-a09-cooldown-20261027-45。从r31不可变inventory重新材料化并完整重跑全部host-only门；任何失败只保全，不在同一attempt修补。host-only门通过后必须刷新真实容量、空间、Build 227签名、设备/Session/服务状态，之后才进行900秒零负载观察、限定字段资格和完整五轮。首项未正式通过前，不开始后10项；目标仍为正式66/66，无已确认硬件阻碍，设备准入待新鲜核对。