Jitter Metal 逐窗参考审计器实现与复核

本批补全 Jitter 参考候选的离线审计工具。手机暂不可操作，未访问设备、未安装或启动 App、未创建 attempt；正式 Jitter 仍 0/5，整体正式进度 37/66。新轮次 Metal 资格尚未测试；也没有确认当前不存在合格独立参考。

实现边界

internal/acceptance/jitter_1hz/audit_metal_reference.py 先要求封存 Session seal chain 和独立 Raw oracle 通过，再审计完整 LabP95 Fixture 六件原件。它只对 Raw oracle 提供的实际 quality=valid 发表窗口计算物理候选 Jitter，并核对窗口内所有 FrameLifetime 与 Metal presented 行的完整双向配对、同一时钟基、唯一性、原生前驱和显示/来源身份。固定端点容差为 100,000 ns，Jitter 差界为 0.400002 ms。

窗口范围内的 warmup 或断点锚点也必须配对，以证明来源事件完整；锚点自身不计入 Jitter interval。它只在某个 valid interval 确实以该帧为前驱时参与间隔重算。零哨兵、损坏位型、缺行/额外行、歧义匹配、断链或时钟/身份问题都保留为拒绝理由。工具不会改写输入，也不会确认参考缺席、物理校准或指标验收。

分离复核加固 Fixture 原件入口：run 根目录以 O_DIRECTORY|O_NOFOLLOW 固定为目录句柄，六个原件相对句柄且 no-follow 打开；读取期间核对普通文件身份与目录稳定性。报告在两个输入目录之外以 O_EXCL 新建，权限 0600，同步文件和父目录。

验证与资源

E2 离线验证：internal/acceptance/jitter_1hz 完整合成合同套件 52/52 通过，Python py_compile 与 git diff --check 通过。反例覆盖输入读取时被修改、根目录/文件符号链接、缺失/额外帧、presented 位型损坏、0 哨兵、匹配歧义、100 µs 边界内外、source epoch/display 切换、缺少/未通过时钟括号、offset声明篡改、原生UInt32 timebase边界、Raw前驱和输出文件权限。

7,210 FrameLifetime 行与 7,210 Metal 行、120 个重叠发表窗口的纯内存合成基准：wall 0.102660 s，CPU 0.100879 s，吞吐 70,231.60 行/s，进程 RSS 峰值 37,126,144 B；120 个合成窗口通过。该基准不含文件 I/O、设备采集或实际 Metal Session，不能外推为物理参考有效或真机指标可用。

Node v24.19.0 arm64 下完整 VitePress client/server/render 构建通过，知识门66项通过，归档同步769个 HTML；43条既有内容风险提示与大 chunk advisory 保留。本批知识页、开发记录、归档和索引入口均已核对到本地产物。线上网站未发布；Cloudflare 与 Webhook 配置欠项按 Owner 授权继续记为 partial。

机器结果：internal/handoff/jitter-metal-reference-auditor-validation-2026-10-22.json。详细方案与增量：Jitter 正式验收方案。知识页说明：Frame Pacing Jitter。

下一步

Owner 暂不方便操作手机期间只做离线准备。手机可操作后，先文档化全新独占 attempt；重新核对并 SHA 保全旧数据、真实枚举容量及手机通道；再使用新 run 前缀完成完整五轮。每轮先独立复算产品 Raw，再逐有效窗口判断 Metal 参考资格。正式通过或按无参考政策通过前，不进入磁盘读取率。