先保留被拒输入，再阻止不完整字节窗显示数值

文档类型devlog。同AI按方案、实现、测试、分离复核顺序执行，无子代理；Owner持续授权覆盖，不新增审批。基线64ec140e及第四轮失败。本页定稿后才改产品。历史30/66、新标记0；attempt-02永久3/5封存。

1. 已证事实与待证原因

第四轮恰1聚合窗malformedInputCount=1仍输出candidate发送/接收值；主/分离审核正确拒绝。聚合器对不合法字节会拒绝求和，但未把原字段保留下来，产品未传播该计数到质量。来源原值未知，不宣称一定是负值、系统sentinel、上游库或硬件bug，不以重采碰巧无异常当修复。

2. 产品最小修复与公式先决策

正常源公式仍为sum(noninitial bytes)/完整1秒；整机scope、1Hz、缺失不补0不变。新增明确网络输入完整性契约：聚合携带有效整数malformedInputCount，>0或非法时该完整桶所有方向数值为null、quality=invalid-window，并清除旧实时窗口引用；同桶分片任一受污染则全桶污染，后续完整干净桶恢复，不跨窗扩散或拿下一桶清除当前污染。初始化/尾窗也保留异常，不过滤在120机会之外的异常。公式/质量定义版本改为network-window-rate.v8，Registry、Python公式与知识页一致；历史Raw/Session/归档版本不改，不批量替换旧结果。

聚合器对被拒ConnectionUpdate新增独立非数值诊断事件：原始解码类型、adapter ordinal、host接收时刻、拒绝原因及完整11个来源字段的值和类型，窗口内input/malformed守恒。诊断不会作为legacy ConnectionUpdate进入字节累加，不能造成混合模式/双计；None/未知形状保留有类型的诊断，不能当结束哨兵消失。合法路径不开启全逐事件Raw，不增加常驻poll或连接。

单个被拒记录≤64KiB、单来源有界队列沿现有上限；只接受固定已知标量/有限结构做无损快照，超预算/不支持类型须显式记录omitted原因及类型/大小可得信息，并把该会话来源判不完整，不能默默截断后称完整原件。不生成超大repr或递归复制无界图。快照在入队前独立于源对象，保留真实类型（bool不当int）；未知对象不执行自定义属性/序列化方法。异常洪流须有界关闭且保留已接收证据，不以采样丢弃掩盖计数。

3. 验证与分离门

先用第四轮真实坏窗及前后原件只读复现旧候选值；软件构造negative/bool/None/缺字段/未知类，核原类型/字节不丢、无双计、污染同桶分片/末片、初始化/尾窗、实时缓存清空、下一净桶恢复、checkpoint中断恢复与Raw/SQLite/CSV/JSONL一致。分离读取器不调用产品公式，独立检查malformed→null及诊断守恒；保留原严格source gate，禁止把原失败轮改通过或临时允许malformed>0来凑五轮。

有效正常路径用现有真实Raw规模对照旧/新输出应同值，版本标签差异显式记录；100000源事件洪流/合成异常最差路径和实际消费者验证均标E2，不当新增E4。正常路径时间O(events)、常量窗口状态，异常快照O(有限字段字节)、队列≤既有4096；单记录≤64KiB、拒绝关闭≤3秒。软件控制≤60秒/128MiB，真实Raw对照≤30秒/128MiB，100000事件基准≤30秒/128MiB；实测前后耗时/CPU/RSS/I/O（无观测标unknown）及最差异常洪流，不凭理论承诺效率。

4. 包、诊断与新attempt

全量相关软件及实际44Core消费者通过后重建ARM内部Mac候选，沿已授权Apple Development内部签名/公证暂缓；严格签名、独立解包、SHA/来源、实际空闲正常退出后唯一/Applications/Perfowl.app覆盖，不安装并行版本。Lab22无改动不重装。构建沿ARM正式脚本预算，无需重测历史已验30指标。

测试前/每30分钟/批末空间≥10GiB且≥预计两倍。所有新诊断必须先当前真实集合、源SHA与保管收据、已知生命空闲及新前缀；当前预计63不是容量收据，先保全再有限rename，删除0。新诊断保存被拒字段后判断是合法系统边界/解析错误/上游真实坏源；后续变更先追加决策。诊断没有达门就不进入新五轮。若确已解决且具备真实容量，再独立新attempt完整五轮，仍119/120、gap≤2秒、正值≥5、来源违规/严重异常0、600秒冷却及首失败停；无参考合格后才NO_REFERENCE_OWNER_REVIEW，Owner最终验收。接收按原序随后，不能复用发送轮。

5. 实施记录

当前仅方案定稿与失败证据入档，产品未实现、候选未构建/未安装、新诊断及新五轮均0。后续在本页追加实际实现/偏差/控制及成本，完成时独立复核；保留所有失败及时间线，按逐指标闭环提交/推送/站点/通知，配置债允许partial。

Implementation Decision · 2026-10-20 · 新旧Raw与异常洪流边界

实施前核对：现有聚合输出队列实际16行，通用队列另有既有上限；沿用16，不扩大。被拒记录上限128条/订阅，超出时仍保留第129条明确终止记录和当前污染窗后关闭来源，原已接受队列先排空；不采样丢弃第1..128条。固定11个ConnectionUpdate字段以值/类型/存在性快照，单标量序列化≤4096B、整记录≤64KiB；未知对象不访问自定义属性。类型/预算不支持时记录explicit omitted，来源不完整。合法路径不创建异常快照。

为兼容真正历史无publicationPolicy且无malformed字段的未标记Raw，仅该历史形状沿用原行为，不声称具备新来源完整性证据；带source-closure.v1或新inputIntegrityPolicy的当前聚合必须有整数malformedInputCount。现有v7生产原件本身均带该计数，因此第四轮仍明确invalid，不能用兼容分支绕过。正常数字公式不变，当前重算版本v8；旧已保存derived的v7不改。新输入用inputIntegrityPolicy=malformed-evidence.v1显式标识，旧独立评估器暂不放宽，待新诊断合同再明确v8准入。

Implementation Update · 2026-10-20 · 产品修复与控制执行中

新增network_rejected_input.py固定11字段/类型/缺失快照，聚合器拒绝分支发非数值诊断及128条来源上限，adapter标记network.device.rejected.raw；NetworkRateWindow复用既有invalid桶状态传播污染，MetricEngine按当前计数/策略判完整性，Registry与Python定义改v8。旧未标记且无计数Raw兼容分支单列；不放宽正式source gate，不回改attempt-02。

补污染首/尾分片、checkpoint恢复、实时窗清空、下一净桶恢复、None及异常字段取证、SDK实际dataclass、异常洪流排空后关闭控制。首个控制命令相对Python路径写错exit127、未运行测试，原日志保留；修为已锁绝对解释器后新a02。当前软件/成本/分离未完成，产品候选未构建/未安装、手机动作0；不能称修复已真机可用。

Decision Update · 2026-10-20 · v8旧checkpoint迁移边界

153项相关网络控制首次有3项旧schema3迁移错误，均因v8更改全引擎公式合同摘要，不是产品数值回归。不能更新冻结旧fixture或盲接v7未完成设备桶：它没有可靠的污染状态。允许精确已知v7合同且整个设备网络从未使用的checkpoint继续恢复进程等不变指标；需核设备标量/时钟/身份为空、mode空、rate window全初始。任何已有设备网络状态的v7 checkpoint保守拒绝，沿既有recovery offline-required保留完整Raw进行独立新重算，不丢弃pending冒充可恢复。原v7已保存derived及报告不改；v8自身checkpoint继续原有精确恢复。补无设备状态兼容、含设备pending拒绝且engine不被修改、未知合同拒绝及恢复原Raw保留控制。该决定先于迁移代码修订，原a03失败保留。

Validation Update · 2026-10-20 · 软件复现、消费者与内部候选

154项相关网络控制a04通过，1.644秒guard/119521280B；追加Raw持久化控制首次a05因把已存在临时目录当独占Session目录而失败，未改产品，修正测试子目录后最终91项聚焦控制a06通过，0.802秒/90456064B。两失败原日志保留。

固定真实第一/第四轮共59826857B Raw流读：正常第一轮312个网络值完全同值，仅公式标签v7→v8；第四轮306值仅序号51的发送/接收两值由candidate变null/invalid-window，其余不变，原件未改。新旧replay分别0.192–0.200秒，峰值60.18–66.44MB；100000事件3次中位0.112–0.118秒、845584–878338事件/秒，配对新旧比1.058/0.979，字节守恒一致。未观察到明显链路退化；I/O峰unknown，非手机成本或新增E4。

实际44Core消费者重新编译33.985秒/379764736B，运行0.466秒/30801920B，152历史样本及null/合法0/invalid-window三个明确合成控制的模型、Codable、CSV空值与JSONL核同；运行时Registry两项v8已检查，不把合成例当真机。

ARM193完整构建61.368秒/1024507904B退出峰值、源pins未变；318个Mach-O均ARM依赖闭合，92个Core模块字节码与源码核同，实际probe/native decoder通过。开发签名App/DMG严格校验、选定leaf及独立只读解包12931条全树核同；DMG115430735B，SHA256=86cb5c871129cb797e763fe37c940e7f82cf2fed998f86acff98df5e4569c4a0。Gatekeeper3/公证暂缓，候选未安装，不是Developer ID分发包。

由于全引擎checkpoint合同有变，另启动完整Python回归（300秒/512MiB既有完整回归预算，区别于聚焦控制128MiB）。当前仍运行、已有失败标记，待完整终态归因，不宣称全回归通过，不安装候选或开始诊断。所有本批phoneActions=0，整体30/66、新标记0。私有批次20261020-network-malformed-repair-01。

Validation Update · 2026-10-20 · 完整回归首轮入口不完整

full-python-a01终态2754项、11失败/5错误/81跳过，122.313秒/312459264B；没有触发资源限制。其中15项失败/错误直接涉及未装载源码包外可选native扩展，另1项既有120Hz公平性测试event-limit计数26而要求0。首轮直接discover遗漏已验证native入口，不能把这些失败改成跳过。保留原件，按现有native-arm64实物通过importlib预载、确认native/directArchiveReady后，串行新完整a02，保持所有原断言与时间门，不修改公平性产品代码。时序项是否与native缺席或并发编译有关仍待复核，不先认定唯一原因。候选193未安装、新诊断0。

Separated Review Decision · 2026-10-20 · 未知字典的原eventClass

逐分支审查发现：未知dict虽保留11字段及upstreamType=dict，却未保存其原eventClass值，可能把eventClass-only未知记录错误记为payloadOmitted=false。需在字典路径增加原eventClass的有类型快照，并将其预算/类型不支持纳入omitted；SDK实际dataclass继续以真实类型识别，不执行自定义属性。补未知eventClass-only与非标量eventClass控制。193-a01候选仅为此修订前E2证据，保留不装；当前完整a02终态后修订源码、重跑受影响控制并在独占193-r2目录重建/签名/解包，不覆盖旧候选或借其pins声明最终源码已冻结。

Validation Update · 2026-10-20 · 完整回归与最终小修

正确预载native的完整a02：2754项、失败0/错误0/跳过0，122.214秒/286588928B，先前公平性断言也原样通过；首轮失败仍保留，不据此唯一归因native或并发。随后按分离决定只补未知dict原eventClass有类型快照及omitted传播；新92项聚焦a07全部通过，0.903秒/74940416B。全回归2754是该小修前证据，最终小修以覆盖原字段/类型/预算/未知对象/存储/窗口/恢复/洪流的聚焦门验证，未重复无关完整测试。当前独占193-r2重建中，193-a01候选保留未安装；真实44Core/导出与数值路径未再改变。

Implementation Update · 2026-10-20 · 最终候选与标准安装完成

193-r2完整重建40.271秒/270123008B退出峰值、源pins未变；318个Mach-O ARM闭包及92模块源码字节码再次核同。最终DMG115466655B，SHA256=f921c4f098ac2809bba1c639ecbb3205b538a02d5ac2dd422a92fec6700cecc1，严格签名、选定leaf、独立只读解包12931条核同。先只读确认标准客户端空闲，用NSRunningApplication正常退出（未强退），旧192全树核SHA保留在私有rollback后唯一路径升级193；安装文件/链接/模式/签名/leaf核同，再启动GUI并只读确认空闲，captureStarts=0、phoneTestActions=0。

MacApp/dist当前仅193内部DMG及SHA；旧192两文件115421921B核SHA后移动至私有保留目录，删除0。构建脚本复用/重建其自身缓存，未清Raw或其他项目。批末host剩115442970624B。完整软件E2/主机安装E3完成，v8真机诊断与新五轮仍0，来源原始异常字段仍待新证据定位。旧attempt-02保持3/5首失败封存、历史30/66/新标记0。最终本批结果，公开机读internal/handoff/network-malformed-source-software-review-2026-10-20.json；GitLab/网站/通知债、公证暂缓及GPL分发门保持partial。