G99 Gauge 时序审计（前瞻）

1. 完整目标与当前事实

基线4ee64ad/main，Owner同AI方案/执行/自复核非第三方；G98完整180s/9000系统参考与135s/254原生同代配对、出生254一致，但原span观测带250/254，age候选点254兼容仍非确切读点。首metric五轮120槽100%/2MiB或5%与全部54非启动指标不改；原G85与G98失败/阶跃/准备/尾部永久保留。当前唯一Mac b126/手机89保持，正式0/5、accepted0/54。

本批只审计一个尚未完成的前提：Gauge代表单次观察还是整个原生包内恒定值？哪些时间原语有定义、哪些只是观察相关？先查语义后决定修复/验收路线，不根据254候选点吻合来反推oracle。

2. 执行范围与真值

仅当前产品adapter→Raw→engine→snapshot/存储时间路径、固定SDK源、Registry/Canonical知识页、已封存G98小型配置与254行/9000参考结果（不重扫wire blob）。允许有界查询官方Apple/XNU原始文档与开源上游具体源文件；第三方示例只作定位线索，不能单独建立服务读取时刻。所有获取材料登记URL/版本/响应及内容摘要，缺定义写unknown，不把搜索无结果当不存在。

产品/SDK/Fixture、安装包、原五轮/容差/v3与旧证据不改；0手机服务/新Session/新launch/signal/配置写/安装/新环境/worktree/常驻服务/网站部署/记忆写入。新增输出只在g99私有独占目录，旧文件拒绝覆盖。

3. 预声明可复算检查

1. 追踪实际Raw属性顺序、process字段单位、Sysmon Start/End与主机arrival时间和Gauge frame时间；列原生时刻是否进入实际产品，严格区分counter差分区间、Gauge快照、发布tick与源age。
2. 官方系统API语义核：footprint口径、读取/返回时序、process-start单位，尽可能查procAge的原服务定义。API布局/内核实现/数据吻合不证明服务调用次序；若当前服务不可审计则明确该缺口。
3. 用与原误差相同的数学控制证明点值与整段全称比较的区别：保留阶跃/原观测全称诊断；未知读点的存在性相容不等于数值准确性；不得按结果选nearest、拟合offset/持旧或把有限参考采样当连续时间界。
4. 明确可独立检验的后续路线及停止条件。任何前瞻Gauge验收语义更正须解释何以正确、与旧误差/完整准备/固定120槽的关系；不回改旧报告、不把未知变pass、不为了过门更换分母。若仍不可判，说明缺哪个具体读取或独立边界证据，不泛称目标永远不可能。

4. 轻量、资源与闭环

主机审计/控制串行1、单次≤120s/128MiB，预期≤10s；源码小型O(S)，参考9000最多8MiB、原生254最多2MiB，不解码35MiB wire。网络至多6条精确查询/6个主源页；独立下载单页≤2MiB/10s、总≤8MiB，失败不自动重试。记录wall/CPU/RSS/读取字节，IO峰unknown；超限先停，保留failed输出。

先写本方案，再执行真实路径检查/数学反例；结果追加同页、联动goal/serial/ledger/handoff/knowledge/home/时间线、新增HTML，站点只build≤300s/3GiB，不部署。原件摘要、安装签名/源码、54项未验账本核对后窄提交，GitHub/GitLab各一次，通知一次；失败如实partial，GitLab不重试不阻断。最终公证/GPL/GUI/电学温度缺工具/其他53/A1OPEN/HybridFROZEN/G9OFF保持。

Implementation / Validation Update · 2026-10-07 · 时序谓词核验与真实旧值续点缺陷

Owner同AI方案/执行/自复核非第三方，E2仅主机真实模块、数学反例与源码审计；0新真机采集/Session/手机调用。G99真实产品路径20项主机控制通过：Gauge用host receipt且无区间平均；单次旧footprint在1/2/5/60s四个新snapshot仍candidate，断流续点缺陷已证。准确性/原四失败与正式0/5/54未验保持；下一G100先修footprint新鲜性，不造连续。

A. 真实路径（不靠重新实现的仿真）

直接导入当前RawEventEnvelope/RawMetricEngine/RealtimeMetricProjector执行20控制，未patch模块或全局。footprint按原byte字段原样输出candidate；frame时间是host receipt，MetricValue无windowStart/windowEnd。改变procAge、原生Start/End不改Gauge值/时间；改变host receipt仅改frame时间。Raw roundtrip保留原生Start/End，但optional device timestamp未自动赋值。counter rate才使用EndMachAbsTime的设备时基差分，不能把该区间率定义移植成Gauge必须在整个区间恒定。

当前产品共享依赖含procAge但不请求startAbsTime；G98辅助原生12+3列与产品11+3不是同一个请求schema。Gauge直接消费和最终产品发布snapshot分别审计，不能用254原生行自动替代真实GUI五轮。源码函数行范围/行文本与全文件SHA保留在temporal-audit-result。

B. 新的已证产品缺陷：断流后旧值仍以新candidate发布

实际projector仅consume一条20MiB源观察，之后无新process Raw：snapshot在1/2/5/60s都继续输出同20MiB/candidate，sampleSequence从1到4递增。62s仅system片段后仍candidate；明确Processes空片段才missing，新targetGeneration会清旧值。此非物理内存数字变化错、也不证明实际G98发生60s断流，而是匹配主机反例证明缺少源新鲜性时仍可伪续点。

现有snapshot的monotonicNs是发布时刻，不是内核读点；_latest只存MetricValue，无footprint来源序号/到达年龄/发布去重。不能把这条路径的候选质量与连续100%等同。下一G100须先落前瞻公式与状态：每个发布点只能引用新、身份相符且时龄有界的process观察；无新观察/过期/错误身份应null并带missing质量，保留源证据而非持旧。不改变合法raw数值、2MiB或5%容差、固定120槽或54分母；源恢复后可发布新鲜candidate。

C. 数值误差门的数学边界（旧结果不改判）

原t(v)=max(2097152,v/20)保留。20MiB→40MiB阶跃时两个允许带分别18–22MiB与38–42MiB，交集为空。准确的阶跃前20MiB单点读数也会失败于“对包内每个时刻都准确”的全称谓词，故该谓词是保守整窗相容诊断，不是Gauge瞬时误差的等价定义。

但存在一处相等参考/候选age点两侧相容同样不证明真读点准确：未知读点可能在阶跃另一侧；两次相等端点参考之间也可存在未观察的短暂变化。数学控制同时拒绝过强的整窗常量断言与过弱的存在性PASS，不选择对数据最有利的时间。G85原120/116与四失败/三空交集、G98原250/254和四失败6/35/72/123继续原样保留，age候选254/254不改accuracy PASS。

D. 官方来源与具体剩余缺口

Apple WWDC22内存说明给出proc_pid_rusage当前footprint与lifetime peak分列；XNU固定版resource实现在live task路径收集rusage，并从process统计取出生时刻；固定版TASK_VM_INFO实现读task footprint并把peak分列。它们支持当前观察与peak区别，不揭示当前iOS私有Sysmon取procAge和footprint的顺序，不以该XNU版本冒充手机firmware身份。

五条主源下载均单次：首task路径缺kern目录产生HTTPError并保留；修正真实path后的新来源成功，无原样重试。源URL/版本/响应/bytes/SHA均登记；6条有界搜索未取得服务procAge读取顺序的正式定义，只说本批未取得，不说该定义不存在。本机SDK的libsysmon.tbd另有sysmon_table_get_timestamp及XPC timestamp符号，只有导出不是时间单位/读时刻契约，也尚未证明它可经当前DTX取得。此留下明确可审路线，不泛称准确性目标永远不可实现。

E. 资源、原件与后续门

主机20控制内0.885083s/CPU0.608743s/RSS61308928B/读取895494B，外监督1.243453s/stop=null；串行1/128MiB/120s，IO峰unknown，不重读wire或调用设备。主源首次4.566414s/303935B，另正确task来源成本单列机读；版本及失败均不改。原product/SDK/core/v3/G98 seal在收尾核SHA，新文件封存；只build/不部署。

下一G100只修已证footprint旧值续点，先方案/公式入档、匹配fresh/duplicate/gap/恢复/identity/epoch/clock控制、完整回归与有界成本，再签名内部b127候选并同路径覆盖（暂不公证按Owner例外，最终公证仍开）。修复完成不等同误差门/五轮或其他53完成。之后审实际产品新源与Gauge时刻可核界，保留原准备/20与40MiB转换/尾部，正式0/5、accepted0/54。外部电学温度参考缺口、GUI/最终公证/GPL/A1OPEN/HybridFROZEN/G9OFF仍开；无新环境/worktree/常驻服务/记忆写入，GitLab一次不重试不阻断。