C0-DIAG-CLOCK-END-METHOD-RECHECK · 正式执行方案

Lead AI 方案；下一执行者 Research/Test AI；仅授权 E2 离线诊断脚本与诊断产物。 审计基线 78a59be97f955c12ce3766256d803f61d3e54aeb。本批不授权修改 MacApp/、生产采集器、C0 evaluator、Gate、CoreProfile/ActivityTrace 订阅、target filter、START 公式、知识库产品口径或 C1/C2。不做新真机 E4，不改旧 Session，不补造时钟/帧归属证据。若另一个 AI 在相同工作区开发，先记录并保护现有脏文件。
必读：AGENTS.md、internal/current-ai-handoff.md、site/devlog/p4-startup-phase-c-hybrid-total-plan.md、site/devlog/p4-startup-c0-diag-clock-end-feasibility-plan.md、artifacts/c0-clock-end-feasibility-20260923-091120/diagnostic-report.md、artifacts/c0-clock-end-feasibility-20260923-091120/lead-review-20260923.md。以本方案作为分析方法复核的实施依据；此前诊断结论不因本方案自动作废。

0. 冻结基线、事实与当前 Gate

现存诊断 artifacts/c0-clock-end-feasibility-20260923-091120/ 中 11/11 已列文件的 SHA 校验匹配，原 SHA256SUMS.txt 自身 SHA-256 为 72071b8a37f2b688ad855c0efc6817aa67c36ddbeffd6cac009191209748dd68。Lead 已另存独立审计 lead-review-20260923.md，不包含在原 11 项清单中。

本次初报覆盖 25 个封存 Session，其中 13 个有双源，FrameLifetime rawPayload 共 483 条，原始字段并集无任何进程身份字段，7 个 Session 有多 surface。注意：display.frame-lifetime.raw 的外层 RawEventEnvelope.targetPID 确实存在，但生产代码 display_performance.py 用 self._target.get("pid") 主机填写，它既非 FrameLifetime 系统上报的 surface-owner PID，也不能证明 surfaceID→PID。

现行 Clock Gate：cross-source-epoch-unproven、FrameLifetime 时基来源未证；现行 END Gate：surfaceToTargetPidProven=False、foregroundVerified=False、selectedEnd=null。C0=PARTIAL/BLOCKED，C1 未启动，C2 未授权。C0-FIX-03 离线 target binding 修复维持既有 PASS；START 后续 frame-continuation 策略冻结。禁止凭 numer/denom 一样、host 收包时间相近或 envelope host PID 产生 Hybrid 毫秒值。

本批只修诊断方法，不给 C0 Gate 寻找绕过条件。结束必须回答：针对已完整检查且可访问的当前来源集合，是否存在具可核验原生 provenance 的 Clock bridge 与 END surface-owner map？范围之外的 OS/API 能力不做绝对否定断言。

1. Lead 独立发现的四项必须重验的问题

ID	已确认的方法问题	禁止误读	最小交付
M1	`analyze_clock_candidates.py` 把 `shared_identity_fields=[]`、`sameEventWitnessCandidates=0` 写死	硬编码 0 ≠ 实际穷尽搜查 0；同名字段不存在 ≠ 不同名字段绝无共同语义	按实际 raw/原生字段和协议逐候选审计；报告 `examined/unexamined/unavailable`
M2	22 个有 CP 记录的 Session 统计 `machTicksRange.min=0`，多个最大值重复约 `7.31e18`	此前“13 个区间重叠”不可作正向 clock 旁证	核实 chunk framing、gap、record 边界和时钟字段位置，剔除仅有充分理由的无效记录并记原因
M3	`analyze_end_attribution.py::_has_key` 先转小写再只按非字母数字切 token，漏判 `surfaceID/targetPID/observedPID/processID`	旧 `otherSourcesWithBoth...=[]` 不能当穷尽性否定；反过来 envelope 同现也不是设备归属	使用带 provenance 的字段路径、大小写/驼峰识别和语义白名单；验证正负样例
M4	`clock-proof-amendment-draft.md` §2.1/§2.3 误把 FL numer/denom 写成 device-reported	`FrameLifetimeDecoder` 默认 125/3，adapter `prepare()` 可用 host options 设置，输出只是 decoder echo	新版纠错草案明确 `assumed-constant/host-option/device-reported`，不得覆盖旧草案

核心原则：诊断脚本可以输出“没有已证实 witness / map”，但不得把分类器没识别、硬编码 0、未保存 DTX 原始字段误写成“设备不存在这些能力”。

2. R0 · 原始输入保护与来源清单（先执行）

确认 HEAD、分支、git status --short，尤其 MacApp/、原诊断 11 项、相关 devlog 的现有脏状态；不得清理他人修改或 git add -A。
校验原诊断 SHA256SUMS.txt 所列 11 项；同时独立计算清单 SHA，录入 input-provenance.json，原文件一字不改。扫描实际当前可读原始 Session，按真实 manifest/采集 ID 和内容 SHA去重，不仅靠前 8 位路径别名；输出 discovered/readable/sealed/CP/FL/both/reconnect/labelled-negative 各自分母和拒绝原因，不预设当前一定仍有 25 份。
建立 lineage 表：sessionAlias, eventSequence, layer(raw DTX/native payload/normalized rawPayload/host envelope/decoder output/manifest), source, selector, fieldPath, typedValueClass, eventTimeOrReceipt, clockProvenance, identityProvenance, originalChunkRef, sha256。严禁将 envelope 的 host targetPID 写作 surface owner。
如只有 normalized raw-events.jsonl、缺少原始 DTX 字节/未留存 trackPidToExecNameMapping 的响应消息，必须标 upstream-not-recorded，不得推断“系统消息不存在”。
对某 Session manifest.json 缺失、chunk SHA 失败、索引越界等如实 skipped/unsealed，不算 0 条或假阴性。

产物：input-provenance.json、source-coverage.json、field-lineage.json。

3. R1 · 修正 KDebug/Clock 解析与候选查找

R1.1 字节级不变量

core-profile-chunks.bin 是 external-blob-v1：逐条 raw-events.jsonl chunk 引用的 (offset,length,sha256) 切片验证；它不是连续裸 kd_buf。分别记录 coreProfileStreamByteOffset、sourceEpoch、reconnectGeneration、role 与 chunk 是否连续。遇到 stream gap，只报告可观察的缺口，不推断 gap 中有什么。
KDebug V3 布局必须用产品已验收 decoder 作为参考语义，再以独立、可验证字节偏移做对照；正确处理可能的 chunk-boundary 残片、流 gap、控制块与数据 record 区分。记录 KD_SIZE=64、debugID offset=48 是历史假设，不是免检许可证。
对所有 0 tick、异常大且跨 Session 重复的 tick，输出原始 chunk ref、byte offset、debugID、字段解码和是否通过原产品 decoder 的判定；不能为了获得重叠而跳过异常，也不能因“看起来不合理”静默丢记录。将有效事件 tick 区间、所有 64B 候选值区间分列。
为设备 timeConfig 的一次性 mach_absolute_time 快照与 chunk 外层重复 deviceMachTimestamp 建单次 anchor 账本；每 Session 一个相同值不能冒充多个独立时钟锚。

R1.2 Clock witness 的真实判据

分别从当前可访问的 CP 原始记录、FL 原始 signpost payload、原生 DTX envelope/config 与独立版本文档列候选标识。实际遍历并记录 candidateSourcePaths, examinedRecords, distinctIdentityValues, viableCandidates, rejectionReason，禁止常量 0 做“搜索”。
允许不同字段名但经原生协议/事件结构证明语义相同的 correlation key；拒绝仅靠名字相同、时间接近、PID 相同、相同 125/3、chunk snapshot、host receipt 时间。没有能证明的候选，明确 NO_DOCUMENTED_CORRELATION_KEY_WITHIN_EXAMINED_SOURCES，而不是 CLOCK_IMPOSSIBLE。
每条真正候选保留两个源独立原始引用、共同事件身份及唯一性证据、两侧原生 device ticks、时基 provenance、generation、反例；未拿到全部项目就不得叫 pairedWitness。真实 witness ≥3 只是现行 Gate 的必要条件之一，不代表 E2 可以授予 E4。
machTimebaseNumer/Denom 需要追溯到设备原生消息还是 adapter host options 还是 decoder 默认，来源等级在字段级。现已知 FL 输出 125/3 是默认 echo 或 host 配置，尚无本批有效设备报告证明；不要因 CoreProfile timeConfig 同值宣布同时钟。
统计 sourceEpoch/reconnectGeneration 的实际分布，不因所有可读轮都为 1/0 宣布跨代证明成立；未有 reconnect 原始样本就标 not-measured。

产物：clock-candidates-v2.json、clock-parse-audit.json、clock-proof-amendment-corrected-draft.md（只修草案，不启用）。

4. R2 · END 字段分类器与 surface-owner 来源复核

R2.1 分类器

新脚本使用原大小写字段名做 camelCase/PascalCase/缩写（如 surfaceID、targetPID）分词，兼容 snake_case、字典数组路径（例如 rawPayload.processes[pid].pid）；然后用精确语义字段白名单和源特定 schema进一步验证，不能只按模糊 scene/bundle/layer 命中判 map。
同时区分五类：native-process-identity、native-surface-identity、host-attached-target-identity、descriptive-metadata/count-only、unknown。未知字段列入人工复核队列，不强行分类。
特别核对：surfaceID、targetPID、observedPID、processID、auditToken 正例；SplitSceneCount、IOGLBundleName（仅名字不能证映射）、displayID、frameSeed、trackPidToExecNameMapping=True 请求标志以及host envelope.targetPID + rawPayload.surfaceID 伪正例。

R2.2 END 归因链

对每个能看到 process/surface 两侧的来源逐条记录 source, selector, nativeEventRef, processField, surfaceField, mappingDirection, generation, validFrom/Until, clockId, provenance。字段分别在外层 host envelope 与内层 payload 的“同一行”不构成系统级 map。
查 frozen display_performance.py 及只读当前可见的 pmd3/DTX schema：trackPidToExecNameMapping 到底只是订阅请求还是有原生 PID→exec 消息被捕获；即使有 PID→exec，它也不是 surfaceID→PID，除非有可追踪、时间有效的第二条映射边。
前台 lifecycle.observed.raw 如有 target PID 与 foreground=true，其主机观测时刻不能自动覆盖更早的 FL 呈现时刻；多 surface、overlay/system UI、A→B rebind/reconnect 无证据时必须 selectedEnd=null。
同一 Session 内 surface 可重复、多 Session 相同 surfaceID、同 displayID 上并发多个 surface 均作为负对照；无独立 label 时 falseAttributionCount 记 not-measured，不得输出“零污染已证”。

产物：end-attribution-v2.json、field-classifier-negative-tests.json、native-source-access-audit.json。

5. R3 · 最小可复现对抗性 E2 测试

至少锁定以下可独立执行的测试，测试与正式代码分离，不写入 MacApp/：

编号	输入/变异	正确输出
T1	`surfaceID / targetPID / observedPID / processID / auditToken` 的 camelCase + 蛇形 + 缩写	字段识别为候选，但 host/source provenance 必分离
T2	`SplitSceneCount` / `IOGLBundleName` / `displayID=1`	不构成 surface→PID 归属
T3	envelope 里 host `targetPID` 与 frame payload `surfaceID` 共存	不产生 surface owner map
T4	`trackPidToExecNameMapping=True` 但无对应原始回复	`requested-only`，非 mapping
T5	仅 CP/FL 相同 125/3、同 tick 区间、相近 host receipt	`sameEventWitness=0/not-established`
T6	两源不同字段名但确由构造的共享事件 id关联，附 raw provenance	合法候选被发现；mock 仍只能标 E2，不自动变真机
T7	两条不同原生事件恰巧同 timestamp	不配对
T8	重复一条 snapshot/chunk 三次	anchor/witness 只计 1
T9	`external-blob-v1` 连续/断口/短尾 + chunk SHA 不匹配	只恢复真正完整且可信的事件；其余有明确缺口/拒绝原因
T10	0 tick、跨 Session 极端重复最大值、无效控制块	进入 raw record quality census，不能污染有效事件窗口
T11	单个 foreground 快照早于/晚于候选 END + 多 surface	`foregroundVerified=false`、END `missing`
T12	伪造 `E4`、假 clock bridge 与 fake surface map 自称	诊断脚本不提级；产品 C0 evaluator 未修改且真实证据缺失

报告给出每项 ID、输入 fixture、命令、逐项 PASS/FAIL 与产生的机器输出，失败不得改写期望绕过。

6. R4 · 运行与资源预算

严格单 Session 串行按引用流式读原始 chunk，不把整份大 blob、多百万 dict 与跨 Session 全量记录同时驻留；处理复杂度 O(total raw records + total JSONL events)，内存目标 O(单个最大 chunk + 有界候选索引)。若发现需要跨源索引，按事件键增量创建有限索引，记录大小上限/溢出处理。
至少记录原方法与新方法在同一宿主/同一 25-Session 集合的 wall time、CPU 时间、peak RSS、I/O read bytes、事件/s 与错误/跳过数。原方法过慢或内存过高时不要用其结果作为正确性 oracle；新方法目标 总时长 ≤2× 原方法、峰值 RSS ≤256 MiB，不能满足则如实 partial 并给出数据规模与瓶颈。
输出 per-Session old-vs-new：CP valid-record/tick 计数、异常字段数、FL 计数、实际检查的 identity candidates、native/raw/host 分类结果、surface mapping 可证计数、原因；保持真实原始数据不可变。
不做新的真机采集；不可访问原生上游消息就列 not-recorded，不为完成指标擅自扩大配置/白名单。研究脚本性能不是生产 hot-path 的性能证明。

7. R5 · 完整交付、独立验收与终止规则

单独创建新目录：artifacts/c0-clock-end-method-recheck-20260923/（如并发重名则追加时间戳）；不得覆盖此前 artifacts/c0-clock-end-feasibility-20260923-091120/ 的 11 份诊断原件或 Lead 审计。交付至少：

text

method-recheck-report.md
input-provenance.json
source-coverage.json
field-lineage.json
clock-parse-audit.json
clock-candidates-v2.json
end-attribution-v2.json
native-source-access-audit.json
field-classifier-negative-tests.json
clock-proof-amendment-corrected-draft.md
reproduce-readonly.py（或固定命令 + 独立脚本）
SHA256SUMS.txt（另报清单自身 SHA）

在本方案 §Implementation/Validation Update 追加：实际诊断脚本修改范围、与本方案偏差、对抗性测试结果、25 Session 差异、样本缺失与假设撤销；用户看到的公开文档一律只用 Device A / Fixture A / Session alias，不暴露真实标识。原旧报告是历史事实，按 D2 保留原文并用本次报告指明其已失效的推断。

Lead 独立验收要求：

随机抽选至少 3 个含双源 Session、1 个有 gap 的 Session、1 个多 surface Session，按 immutable chunk ref + SHA 复算关键结论。
验证 T1–T12、复跑新方法并确认输出一致，重点审跨层 provenance、原生 DTX 是否真可见、原 CLOCK 零值是否由真实遍历产生。
分项裁定 Clock native timebase、Clock same epoch、END foreground temporal、END surface owner 四栏均 proven / not-proven / not-recorded，明示检查范围及负对照分母。
即使新脚本找到候选，本批只得出 E2 可行性，不宣布 E4、C0 PASS 或自动进入 C1。 找到新合法、可追踪的原生来源时，Lead 才另外制定有明确正负控的新 E4 方案。
若确认当前可访问、已穷尽记录的来源没有合法 bridge/map：C0 current-source feasibility = CLOSED / NO PROVEN PATH；保留 frozen legacy Total 和可证明的 START 阶段，冻结 Phase C Hybrid，C1/C2 不放行。其他 OS 版本/新订阅/独立数据源另立授权研究，不再反复运行相同配置的空转 E4。

本方案创建时仅为 plan / partial / E2；Research/Test AI 不能自行宣布 R5 Gate 通过或更改本节结论。

Lead AI Independent Acceptance · 2026-09-23

独立验收：PASS（method recheck）。

SHA256SUMS.txt 21/21 项匹配，清单 SHA = d11e9f0710eea8fb0c8ab1f96fa4ecd8049cddf7999b725d26d118cc65406684。
Lead 独立重跑 scripts/reproduce-readonly.py：exit 0；T1–T12 维持 12/12 PASS。
直接从 immutable raw 抽查 3 个双源 Session（bc97978a/c251a56a/e010d1ee）、gap 6c13e38e、多 surface de6cb14a，chunk SHA/CP+FL 计数/surface/gap 与交付一致。
M1–M4 修复接受；修正 Amendment A1'–A8 作为证据纪律采纳，不降低 Gate，不宣布 Clock 已证明。
四栏最终裁定：Clock native timebase = NOT PROVEN、Clock same epoch = NOT PROVEN、END foreground temporal = NOT PROVEN、END surface owner = NOT PROVEN。
最终：C0 current-source feasibility = CLOSED / NO PROVEN PATH；C0 Gate = BLOCKED / NOT PASS；Phase C Hybrid Total = FROZEN；C1 未开始；C2 未授权。
当前结论限定于已完整检查的当前来源集合，不声称 iOS 全局不可能。未来只有新 device-native surface owner / 原生 FL clock provenance / 跨源同事件关联键等新数据源经 Owner 新授权后才重开。

完整 Lead 验收：artifacts/c0-clock-end-method-recheck-20260923/lead-acceptance-20260923.md。

Implementation / Validation Update — 2026-09-23

执行角色：Research/Test AI（仅证据与诊断；不宣布 PASS、不改 C0 evaluator/Gate、不进入 C1/C2） 审计基线：78a59be97f955c12ce3766256d803f61d3e54aeb（执行前后 MacApp/ 干净、HEAD 未变） 产出目录：artifacts/c0-clock-end-method-recheck-20260923/（独立目录，未触碰原 artifacts/c0-clock-end-feasibility-20260923-091120/ 与 Lead 审计） 本批结论：plan / partial / E2；judgement = pending-lead-ai

1. 实际诊断脚本修改范围（M1–M4）

四个方法缺陷全部以「独立脚本复现旧行为 → 修正语义 → 同一语料重算差分」的方式闭合，未改动产品代码与 C0 基线。

编号	缺陷	修改范围	结果
M1	`analyze_clock_candidates.py` 硬编码 `shared_identity_fields=[]`、`sameEventWitnessCandidates=0`	新 `scripts/r1_clock_parse_audit.py` + `recheck_lib.py` 改为真实遍历 ledger	`examinedRecords=22,302,967`；`viableCandidates=0`；`sharedSemanticClasses=∅`；裁决 `NO_DOCUMENTED_CORRELATION_KEY_WITHIN_EXAMINED_SOURCES`（未写 `CLOCK_IMPOSSIBLE`）
M2	22 个 CP Session `machTicksRange.min=0`、多会话 max 重复约 `7.31e18`；旧「13 次 tick 区间重叠」被当作正向时钟证据	新脚本按 `raw-events.jsonl` 的 chunk 引用 `(offset,length,sha256)` 切片分帧，并区分控制块与数据记录	根因：`bplist00`（Apple binary property list）242B 元数据块被按 64B kdebug 记录误解析，同一块出现两次 → 假值重复；`7.31e18` 精确来自该误解析。新审计 `sessionsWithZeroTickRecords=0`、`sessionsWithHugeTickRecords=0`；旧「13 次重叠」作废，新计 4（仅诊断，不作证据）
M3	`analyze_end_attribution.py::_has_key` 先 `lower()` 再按非字母数字切分，漏判 `surfaceID/targetPID/observedPID/processID`	新 `recheck_lib.tokenize_field()` 保留原大小写做 camelCase/PascalCase/缩写分词，兼容 `snake_case` 与 dict-array 路径；`r2b_classifier_tests.py` 复现旧分类器并逐字段对照	旧分类器在 21 个测试字段中漏判 17 个（含全部 5 个具名字段）；新分类器 21/21 正确。`otherSourcesWithBothProcessAndSurfaceInSameRecord=0` 现为真实遍历结果而非空值
M4	`clock-proof-amendment-draft.md` §2.1/§2.3 称 FL numer/denom 为 "device-reported"	代码审计 + 新 `clock-proof-amendment-corrected-draft.md`（只修正、不启用、不覆盖旧稿）	FL `125/3` 来自 `FrameLifetimeDecoder.__init__(timebase_numer=125, timebase_denom=3)`（`display_performance.py:373`），唯一 `set_timebase()` 调用在 `prepare()`（`:1811`）读宿主 `self._options.get("timebase")`（`:1808-1810`），无生产调用方传入 ⇒ 判为 `decoder-default-or-host-option`，非 device-reported。CP `timeConfig` numer/denom 仍为 device-reported（DTX 设备侧给出）

2. 与本方案的偏差

R0 会话分母重跑得 26 目录（非方案预估的 25）：其中 25 个为 sealed（sessionID + rawSHA256 双唯一，去重后无重复），1 个 9be1b416 因缺 manifest 未 sealed。分母取 discovered=26 / sealed=25 / readable=24 / CP=22 / FL=14 / both=13 / reconnect=0 / labelled-negative=0。
R1 首次运行 OOM（exit 137）：曾跨 Session 累积全量有效 tick 列表；改为仅保留 valid_region_min/max/count 并在每 chunk 后 del data；峰值 RSS 降至 112 MiB。这属于实现细节调整，不改变方法语义。
R4 首次运行 OOM（exit 137）：旧 + 新方法在同一进程内跑（旧 CLOCK 单进程峰值 990 MiB）。改为 r4_measure_all.sh 逐脚本独立测量并落 /tmp/r4_measure_*.json，再由 r4_diff_and_budget.py 汇总。测量口径未放宽。
断言严格化（两个自有实现缺陷，非方案偏差）：
- 分类器优先级：TiledSceneBytes 因 scene token 曾被误判为 surface-identity；新增 DESCRIPTIVE_SUFFIX_TOKENS（bytes/count/ms/index/total…）前置于 token 组合规则。hostReceiveMonotonicNs 因 ns 后缀误判；host 前缀规则提升至位置 0。trackPidToExecNameMapping 含 pid 曾被误判；新增 REQUEST_FLAG_EXACT 白名单前置。
- T7 曾假 FAIL：set(a) & set(b) - {k} 优先级把语义写成 set(a) & (set(b)-{k})，且误接受「仅字段名相同」。重写为显式 shared_identity(a,b)，要求键相同且值相同（排除 machTicks）。
未做：未跑新真机 E4；未用宿主 targetPID 证明 surface owner；未用相同的 125/3 证明共享时钟；未宣布 C0 PASS；未启动 C1/C2。

3. 对抗性测试结果（T1–T12）

独立实现于批次目录（不写入 MacApp/），analysis/t1-t12-results.json：12/12 PASS，0 FAIL，verdict = ALL_PASS。

ID	命题	结果
T1	camelCase/snake/缩写均识别为候选，且 host/source provenance 分离	PASS（8/8 字段 class+provenance 正确）
T2	count/name/`displayID=1` 不作为 attribution	PASS
T3	envelope 宿主 `targetPID` + payload `surfaceID` → 不建立映射	PASS
T4	`trackPidToExecNameMapping=True` 无原始回执 → `requested-only`	PASS
T5	同 `125/3` + 同 tick 区间 + 宿主接收时刻接近 → `sameEventWitness=0 / not-established`	PASS
T6	两源字段名不同但构造共享事件 id → 找到合法候选（mock 仍仅 E2）	PASS
T7	两个不同原生事件时间戳巧合相同 → 不配对	PASS
T8	同一快照重复 3 次 → anchor/witness 计数仍为 1	PASS
T9	`external-blob-v1` 连续/有 gap/短尾 + chunk SHA 不匹配 → 只恢复真正完整可信事件	PASS
T10	0 tick / 极端重复 max / 非法控制块 → 原始记录质量普查	PASS
T11	单个前台快照早于/晚于候选 END + 多 surface → `foregroundVerified=false`、END `missing`	PASS
T12	伪造 E4 / 假 clock bridge / 假 surface map 自述 → 诊断脚本不提升证据等级	PASS

4. 25 Session old-vs-new 差分

同名主机、同一 25 sealed 语料（analysis/old-vs-new-diff.json）：oldTickOverlapSessions 13 → newTickOverlapSessions 4（旧计数作废）；sessionsWithOldMinTickZero 22 → sessionsWithNewMinTickNonZero 22（旧 min=0 系控制块混算产物）；sessionsWithNonKdebugBlocks 22；sessionsWithEqualFlRecordCount 25（FL 记录计数 483 总量不变，说明差分未改动原始数据）；oldWitnessCount 0（硬编码）→ newWitnessVerdict = NO_DOCUMENTED_CORRELATION_KEY_WITHIN_EXAMINED_SOURCES（真实遍历）；oldEndVerdict == newEndVerdict == END_FOREGROUND_ONLY_NO_SURFACE_PROOF；FL 内层 process 字段记录 0 == 0。

5. 资源预算（R4）

指标	旧方法	新方法	阈值	判定
总墙钟时间	62.43 s	74.23 s（R0 5.8 + R1 60.49 + R2 7.61 + R3 0.33）	≤ 2× 旧	PASS（1.189×）
峰值 RSS	989.68 MiB	112.34 MiB（R1 主导）	≤ 256 MiB	PASS

读取策略为严格单 Session 串行、按引用流式读，复杂度 O(总原始记录 + 总 JSONL 事件)；研究脚本性能不构成生产热路径证明。

6. 样本缺失与假设撤销

样本缺失：reconnect 样本 0（全部 sourceEpoch=1、reconnectGeneration=0）→ 记 not-measured；带 label 的负对照 0 → falseAttributionCount = not-measured，不得输出「零污染已证」；1 个目录未 sealed（缺 manifest）。
假设撤销：
1. 旧「13 次 tick 区间重叠」作为时钟证据 —— 撤销（M2，含 bplist 控制块混算）。
2. 旧 Amendment §2.1/§2.3「FL numer/denom 为 device-reported」—— 撤销（M4，实为 decoder-default / host-option echo）。
3. 旧 CLOCK 硬编码 0 与旧 END 分类器漏判导致的「已穷尽搜索得 0」—— 撤销（M1/M3，现由真实遍历重算）。
4. 125/3 相同、同 PID、时间接近、同 chunk 快照、宿主接收时刻 —— 均不构成共享时钟证明（T5/T7 反例）。
KD_SIZE=64、debugID offset=48 属历史编译期假设，本批以产品已验收 decoder 作参考语义并另做独立字节级对照，不视为豁免。
旧报告按 D2 保留原文；其失效推断由本批报告与 clock-proof-amendment-corrected-draft.md 指明。

7. 复算入口与产物清单

只读复算命令：<py> artifacts/c0-clock-end-method-recheck-20260923/scripts/reproduce-readonly.py → rc=0、originalIntact=true（原 11 份诊断 SHA 全部一致，manifest 自身 SHA = 72071b8a37f2b688ad855c0efc6817aa67c36ddbeffd6cac009191209748dd68）。
清单 SHA256SUMS.txt（21 项），清单自身 SHA = d11e9f0710eea8fb0c8ab1f96fa4ecd8049cddf7999b725d26d118cc65406684。
公开文档一律使用 Device A / Fixture A / Session alias，不暴露真实标识。

Research/Test AI 声明：以上仅为事实、脚本、测试与原始结果；judgement 保持 pending-lead-ai，四栏裁定（Clock native timebase、Clock same epoch、END foreground temporal、END surface owner）与 C0 current-source feasibility 由 Lead AI 独立验收后给出。本批不宣布 R5 Gate 通过。

C0-DIAG-CLOCK-END-METHOD-RECHECK · 正式执行方案 ​

0. 冻结基线、事实与当前 Gate ​

1. Lead 独立发现的四项必须重验的问题 ​

2. R0 · 原始输入保护与来源清单（先执行） ​

3. R1 · 修正 KDebug/Clock 解析与候选查找 ​

R1.1 字节级不变量 ​

R1.2 Clock witness 的真实判据 ​

4. R2 · END 字段分类器与 surface-owner 来源复核 ​

R2.1 分类器 ​

R2.2 END 归因链 ​

5. R3 · 最小可复现对抗性 E2 测试 ​

6. R4 · 运行与资源预算 ​

7. R5 · 完整交付、独立验收与终止规则 ​

Lead AI Independent Acceptance · 2026-09-23 ​

Implementation / Validation Update — 2026-09-23 ​

1. 实际诊断脚本修改范围（M1–M4） ​

2. 与本方案的偏差 ​

3. 对抗性测试结果（T1–T12） ​

4. 25 Session old-vs-new 差分 ​

5. 资源预算（R4） ​

6. 样本缺失与假设撤销 ​

7. 复算入口与产物清单 ​