整机网络接收率：独立资格与流式下载

1. Owner决定与执行范围

文档类型devlog。Owner于2026-10-20明确：发送率保留待验、不计通过，允许按原顺序推进下一指标。同一AI依次承担方案、实现、测试及分离复核，无子代理。本页为定稿执行依据，Owner持续执行授权覆盖本页最小实现。基线main 4a3938e9，仅既有未跟踪Python缓存；整体30/66、剩36。发送正式0/5留在待验台账；唯一当前项为ios.device.network.receive_rate、正式0/5。此决定替代发送方案的“未通过不得进入接收”范围锁，不授权跳过接收或重测已验进程收发。历史归档与失败不改。

2. 公式与来源合同

Registry算法network-window-rate.v7，scope=device，unit=bytes-per-second；DTX服务com.apple.instruments.server.services.networking，固定pymobiledevice3 11.3.1 NetworkMonitorService.start_monitoring和NetworkMonitor解码、自研PerfowlNetworkMonitor终态及DeviceNetworkAggregateStream聚合，RawMetricEngine闭桶。原始rx_bytes已为连接更新增量，不二次差分：

bucket = [floor(hostMonotonicNs/1e9)*1e9, bucketStart+1e9)
eligibleRx = aggregate.rxBytes - aggregate.initialSnapshotRxBytes
rate = eligibleRx / ((bucketEndNs-bucketStartNs)/1e9)

负native time初始化累计从速率排除但原件保留；只在完整1秒窗发表。metadata-only无更新为null，真实合格0字段才可为0；source/epoch/reconnect切换warmup，重复/overlap/倒退/坏字段拒绝，大整数不默默舍入，尾部不完整窗保留但不补分母。来源年龄≤1.5秒、实时TTL≤2秒；同来源完整窗不得重复充机会。保留整数到最终除法，展示取整不回写Raw。此次先核现有接收路径，不修改已验进程路径或Mac产品公式。

3. 接收独立参考 Gate R_rx

发送参考失败的scope/字节层/源时钟/覆盖缺口对接收同样必须显式审阅，不能因换方向自动清除。getifaddrs32位接口计数、当前沙盒EPERM的ifmib64、量化Sysmontap、pcapd/RVI、HTTP正文都不是已关闭的同层整机参考。停止等价源码扫描或重复采样，除非有新的可区分证据和事前合同。下载成功只证明受控工作量，不当整机真值。

先建立接收专属候选矩阵，逐项说明方向、scope、byte layer、读取时间、全覆盖、溢出/重复/丢包及独立性；全部满足后另冻结数值阈值、时钟映射与诊断合同。Gate R_rx未关闭不启动正式五轮，不造容量收据，不将业务SHA正确称E4指标通过。

4. 本批批准的最小软件实现

既有host network_lab_server.py支持有界GET/download，但Lab20仅上传。新增独立Swift下载transport，复用NET run生命周期；request增加可选direction，缺省upload保证旧配方兼容，显式download才触发。旧字段serverReadBytesPerSecond为兼容保留，下载effective-config明确其实际控制server-write上限，不宣称wire吞吐。download不得与上传loopback或ifmib probe混用。

URLSession ephemeral、无缓存/cookie/凭据/proxy、禁重定向与认证、最多4任务/串行delegate；GET带尺寸、唯一请求ID及速率。每任务先O_EXCL/O_NOFOLLOW创建独占接收文件；64KiB写块+增量SHA，无全正文内存副本。保存实际observed/written bytes、文件SHA、task/transaction计数、首响应/结束Mach ticks、HTTP/压缩/错误、fsync与close结果。合法完整要求200、精确Content-Length、无压缩/重定向、固定Q正文、task/file字节一致、1个networkLoad transaction及明确session invalidated。取消、期限、坏响应和写失败保留部分文件与真实终态，不删除、不伪称释放。下载不生成上传payload。

每阶段1/10/50MiB ×1/2/4并发、速率64KiB/s–8MiB/s；总预算≤512MiB、≤3阶段、计划≤180秒/实际210秒、单socket5秒/关闭3秒。O(total bytes)时间、每任务O(64KiB)应用写块、最多4行状态；Foundation内部缓冲另以实测RSS限制。主机软件测试≤120秒/192MiB，ARM完整构建195秒/512MiB，签名120秒/192MiB。预计真实200MiB/4并发在8MiB/s每流约6.25秒+开销，首响应≤1秒、完整≤15秒，取消≤3.5秒；host运行RSS≤64MiB、保留文件额外量≤1GiB。上传同规模前后对照CPU/RSS/I/O/耗时及首响应；若无I/O峰观测明确unknown，不能描述效率闭环已完成。

软件测试覆盖三尺寸与最大并发、短/坏hash/压缩/重定向/长度响应、取消后新请求恢复、独占碰撞/预取消/期限、engine正常/OFF/取消/恢复及封口。分离复核独立读取实际文件与server journal重算SHA/长度/终态，不只信transport.complete。新增Lab21 ARM构建/签名/独立解包，沿用内部开发签名授权和暂缓公证；本批不升级Mac产品、不操作手机。

5. 后续真机准入与完整五轮

手机上次64封口/128metadata/准备槽0仅历史。安装前另立保全合同，新鲜只读核版本/idle/活动/完整源树与逐件host SHA，核签名身份和新候选，再单址覆盖，不卸载。仅保全核同的旧run同容器保留归位，删除0；真实枚举空余容量与新名缺席，准备容量不冒充正式容量。新私有namespace 20261020-device-network-receive-attempt-01，新receive run前缀，不重放旧send队列、不拼旧轮。

Gate R_rx关闭后再四工具、OFF/ON增CPU≤2点/footprint≤20MiB、完整参考mean/P95≤1ms、新诊断，冻结五轮合同：ready+[15,135)的120机会，来源/完整≥119、普通≥114、gap≤2秒、连续普通偏离≤2、严重含尾段0、来源违规0、正参考≥5且产品正≥1。数值/层级阈值在参考资格后事前固定，五新生命/Session、每轮600秒实际冷却、首失败停。软件E2不增加30/66。

主机首次/批末/每30分钟核空间≥10GiB且≥预计新增两倍，本批预留2GiB；旧原件/失败/待分析/旧机核SHA前保留。提交/双远程一次/知识与开发记录/HTML归档/站点构建与链接/发布/通知逐项报告；已授权配置债partial延续。接收未验收不得自行进入下一项。

6. 执行指令

依本页完成下载transport、显式方向与engine接入、真实规模与错误保留验证、分离文件复核、ARM内部候选及文档联动；先软件后新真机准入。实现、偏差、失败和预算逐项追加本页或对应result。发送待验不计通过；接收仍0/5。

Implementation Update · 2026-10-20 · 下载工具与首次反控

独立download transport、显式direction、流式文件、NET engine与附件export校验已实现。host编译13.570/14.199秒，实际编译峰199950336/203915264B（测试运行预算与编译预算分列）。首次a01三尺寸/并发、取消、期限、恢复、长度/重定向均已执行；压缩反控失败保留：服务错误声明gzip却发送裸Q，Foundation在响应delegate前以-1015拒绝，故无response callback字段，不是“压缩已获准”。修订测试使用真实gzip正文及其真实长度，明确区分系统预解码拒绝与我们的header拒绝，不改变安全语义。原a01文件全部保留，新a02独立目录。补充实际engine封口/export与独占/碰撞/方向兼容控制；不启手机。

Validation Update · 2026-10-20 · 期限竞态反控修订

a02三尺寸与取消达门，期限反控因错误要求batch.cancellationReason必为deadline而失败；实际URLSession同期限先以-1001完成并关闭，batch无取消原因，部分文件保留且complete=false。修订验证允许“执行器deadline”或“任务-1001”，都要求≤3.5秒、未完整、文件关闭并核SHA，不把二者拼成同一事件。仅测试断言修订，transport不变；a02保留，a03完整新软件批。

Validation Update · 2026-10-20 · 短正文与可见字节边界

a03所有11个情景均已实际执行，最后短正文断言失败：HTTP声明1MiB、服务实际发128KiB，Foundation transaction记录131072B但task/delegate正文为0、-1005；执行器保留真实空文件及空SHA，不将底层已读字节伪填为已交付正文。修订短正文控制允许实际0..小于声明量，仍必须有错误、complete=false且文件/关闭/SHA核同。a03原件保留，a04为完整新软件资格；该知识适用于当前host Foundation，不能外推手机。

Separated Review Decision · 2026-10-20 · 准备阶段资源语义

a04十一情景及实际正文SHA核同E2；分离读代码发现下载pre-session可先创建数个文件，再因后一个独占碰撞失败。若关闭未确认，不能沿用上传的“throw即没有资源”假设。先文档决策：prepared文件全部尝试同步/关闭，任何close未确认抛resourcesNotReleased；engine保留released=false，仍保存空/部分文件。增加第二文件碰撞不覆盖且第一文件保留控制。旧Lab21 a01构建及签名保留但不安装；修后a02重新冻结构建，软件最终批重新验证。

Validation Update · 2026-10-20 · 手机准入partial

软件交付c65b63a2之后执行独立只读/退出/全源批：64活动、2826件3892697597B逐件源host SHA、post树及128 metadata分离核同；但最终进程再次存在，a03 strict确认与已终止生命不同。正常退出1次，安装/launch/run/归位/删除0，Lab21未安装。原全源执行completed=false，不生成安装可接受sourceFullSHA准入；逐文件证据保留，不盲目重读或反复终止。原因未证，先核人工操作/有限生命周期合同。接收独立参考未关、正式0/5、整体30/66。详见手机准入结果。

Decision Update · 2026-10-20 · 下载离线校验器

文档类型devlog；本增量先于实现。基线ccd845e7，手机生命周期事实仍待核，禁止重复退出或全源读取。先扩展已有network_tool_verifier的显式direction分支，旧缺省upload保持原语义；download核配置方向/固定Q协议/server-write限速、拒绝上传payload/transfer/loopback/probe混入。逐终态独立流读文件，核实际SHA、Q正文、尺寸、重复路径/ID、关闭/同步、时间顺序、业务scope与request阶段绑定；完整任务核HTTP200/精确长度/实际task bytes/唯一networkLoad非proxy事务，失败或取消保存真实部分量，不把complete布尔值当证明。OFF无任务合法，完成阶段核每阶段实际并发数；取消必须实际不完整任务。仍返回metricAccepted=false与sameLayerReferenceValidated=false。

关键路径O(events+body bytes)，最多20000行/10MiB事件、12文件/总512MiB正文、每文件50MiB、64KiB流块；固定文件上限避免无界工作。预计200MiB校验≤10秒/RSS≤64MiB、控制总≤60秒/192MiB。用已有实际engine正常/OFF/取消/恢复四run校验，不启动手机；在独占副本重封核心manifest的前提下分别篡改正文/事务/方向/阶段/计数/释放等反控，symlink拒绝。新增此校验器不表示手机执行器已就绪；旧执行器56容量/Lab19硬编码不得直接运行。实施与分离结果追加本批记录，保留所有失败。

Decision Update · 2026-10-20 · 下载四工具执行器准入

文档类型devlog，基线3fff805c；先文档后实现。复用run_device_network_lab的独占输出、source pins、持久launch/stop意图、同生命封口退出、全部原件/导出/退出后源SHA和资源关闭。新增显式direction；旧upload缺省及Lab19版本不变，download仅允许Lab21固定版本。删除56条metadata的固定假设，按输入真实custody集合（0–60、合法唯一名称、每run恰两metadata）与新连接实际集合逐项比对。下载必须提供独立准备容量收据：固定schema、completed/idle/全部封口、精确selection/signed/custody文件SHA、actualActiveRuns/activeNames、四个新名缺席、可用四槽、非正式容量及生成Unix时间0–180秒。收据不由本执行器生成；实时重新枚举/metadata/idle/空间才是操作前事实，旧失败保全不得伪装成收据。

四工具reference/OFF/cancel/recovery均显式download；保留当前1MiB与1/2并发，referenceEnabled不改变（仍为逐接口候选，不是整机参考）。下载附件上限50MiB，source copying总128MiB，四工具总5MiB请求；所有终态/取消实际量保留。server journal按方向核GET或POST；完整下载核实际服务sent与客户端落盘SHA/长度，取消不要求server与客户端部分量相等（缓冲与取消时序不同），但双方都须非完整、ID唯一、method/scope正确，额外/缺失任务拒绝。

关键路径O(old metadata×检查次数＋新文件字节)，顺序最多4新生命，服务器最多4并发/120秒，执行总120秒/192MiB、单call8秒/close3秒；现有首失败停及不重试规则不变。纯离线helper控制验证收据过期/绑定/容量/正式标记、版本/方向、缺失/额外/重复服务任务、取消实际量和错误方向，复跑既有7条意图/关闭控制；控制总≤30秒/64MiB。当前没有下载真实容量收据，不运行手机执行器；本批只完成软件准备，手机开销和完整效率仍待证，接收0/5、30/66保持。

Review Decision · 2026-10-20 · 取消双端缓冲

分离审查更正上段“双方都须非完整”：即使client取消/不完整，server也可能已把完整正文交给本机socket缓冲，因此server.complete=true本身不矛盾。保留两端实际量，client不完整时server量只核0..requested；若server声明complete，另核精确requested及固定Q完整SHA。不得把server完成推断为client完成，也不修改两端账本。此修订先于对应代码与控制。

Validation Update · 2026-10-20 · 合成控制资源失败

whole-executor控制首次测试替身漏实现create，四案例以AttributeError失败，补替身后4项通过；非手机失败。随后guard正式a01中7旧控制与11准入控制通过，whole-executor虽功能通过但峰RSS69156864B超过64MiB，整体失败保留。该合成测试用patch字符串导致加载真实SDK完整依赖，不是手机运行成本。修订仅测试隔离：对已明确替换的SDK模块用轻量模块替身，避免无用依赖加载；不提高64MiB门槛、不修改产品或SDK真实调用语义。重新独占批验证，SDK真实成本仍须另实测，不能用stub成本冒充。

Owner Decision Update · 2026-10-20 · 参考用例及无参考标记

Owner新规则覆盖旧“独立参考未关禁止开始任何正式测试”限制：能设计App参考的先完成用例；确认当前无可用独立参考后，实际异常测试通过可标记NO_REFERENCE_OWNER_REVIEW并继续，最后Owner独立验收。历史正式对照0/5及30/66不回改，尚无新增无参考测试通过。先按参考规则及网络用例完成新异常评估/诊断与独占attempt，先补发送再接收；不直接运行旧队列，不用业务字节冒充整机真值。Lab21已安装并完整旧源保全，安装结果见新批，仍须实际容量与工具/产品链路资格。