Estado da validação

Sobre as tolerâncias. "Validado" abaixo significa que um teste de calibração afirma que a estatística simulada coincide com a relação de referência dentro de um limite imposto (gate), atualmente de 20–25% de erro relativo (média sobre seeds) para as relações de Allan/orçamento de ruído. A concordância mediana observada costuma ser muito mais estreita (alguns por cento), mas o limite garantido é o gate, não a mediana. Onde um número como "~2%" aparece, é uma observação típica, não a tolerância imposta. Veja Alegações versus realidade.

A regra de promoção#

Uma linha da matriz de verificação verificada por máquina (src/verification.rs) é VALIDATED somente quando uma referência independente do Kshana concorda com a implementação dentro de uma tolerância declarada antes de a comparação ser executada, em um teste que roda no gate. Esta seção é o único lugar em que a regra é escrita; a matriz, a prosa de cada linha e as notas de versão remetem a ela.

Os tipos de referência independente aceitos#

Duas outras regras decidem os casos limítrofes. Ambas são adotadas para a versão 0,30.

• P1, um valor resolvido publicado. Um valor resolvido publicado, calculado a partir da mesma forma fechada que a linha implementa, conta como vetor de referência publicado quando a publicação é independente do Kshana e a comparação fixa uma tolerância declarada. O valor deve estar impresso como número na publicação (um valor lido de um gráfico só conta se a incerteza de leitura estiver dentro da tolerância declarada), e o teste deve fazer o Kshana calculá-lo a partir das entradas da publicação; comparar uma constante com o documento de que foi copiada é uma verificação de transcrição, não P1.
• P2, uma biblioteca numérica independente. Uma biblioteca numérica independente, como numpy ou LAPACK (Linear Algebra PACKage), recalculando uma grandeza de álgebra linear univocamente definida sobre entradas declaradas conta como biblioteca independente. A biblioteca deve realizar a decomposição, a inversa, a resolução ou o passo de mínimos quadrados por seu próprio algoritmo, sobre entradas registradas junto com a fixture; a afirmação validada é então a álgebra linear sobre essas entradas, não as magnitudes físicas de um cenário representativo. Um script que reavalia uma forma fechada escalar com aritmética numpy é uma segunda implementação nossa, não P2.

Condições que se aplicam a todo tipo: a referência independente não é escrita, executada nem publicada por este projeto (a série de artigos do próprio repositório, portanto, não é independente dele); a tolerância está no teste e foi fixada antes da primeira comparação; um teste condicionado a dados que é ignorado quando seus dados públicos estão ausentes informa isso quando é ignorado.

O que não conta#

• Nossa própria segunda implementação: um segundo caminho de código neste crate (ReferenceImpl), ou um script neste repositório que reavalia a mesma forma fechada.
• Concordância com nossa própria saída anterior: goldens, pins de regressão, snapshots ou uma tabela dos artigos do próprio projeto.
• Uma transcrição das constantes de uma citação: conferir um coeficiente, predefinição, valor de datasheet ou folha de parâmetros contra o documento do qual foi copiado.
• Uma escolha de projeto: uma alocação, ponderação, limiar, limite de alerta ou cenário representativo. Não há verdade externa para uma escolha.
• Uma identidade interna: uma integral numérica contra sua própria forma analítica, uma ida e volta, uma inversão, um teste de propriedade ou de monotonicidade.
• Uma execução de integração contra um host real (IntegrationRun): carregar um plugin em um servidor Signal K real ou no OpenCPN, ou alimentar a saída de um gate real a um consumidor TCP, e verificar que o host aceita a entrada e mostra o estado esperado. Isso mostra que a infraestrutura funciona. O host não é uma referência independente para nenhum valor que a integração carrega, portanto não há nada externo contra o que comparar, e uma linha assim (a linha de integrações marítimas) é MODELLED, não VALIDATED. IntegrationRun é um tipo próprio de referência independente, permitido somente em linhas MODELLED: integration_run_only_on_modelled_rows em src/verification.rs falha se uma linha VALIDATED o carrega, e validated_rows_require_an_external_oracle já exige que toda linha VALIDATED seja ExternalDataset.
• Plausibilidade em entradas reais: dados reais usados apenas como entrada, com asserções de escala em vez de uma comparação com um valor externo.
• Uma tolerância escolhida depois de ver a comparação.

Como a regra é imposta#

Toda linha VALIDATED declara, em validated_oracle_basis() em src/verification.rs, em qual tipo ela se apoia (Measured, Library, Reference, P1 ou P2), a fonte independente (citada do próprio texto da referência independente da linha) e o único teste que carrega a comparação. Os testes unitários ao lado da tabela falham quando uma linha VALIDATED não é declarada ou é declarada duas vezes, quando uma declaração nomeia uma linha que não é VALIDATED, quando a fonte declarada não é a que o texto da referência independente da linha nomeia ou é o próprio Kshana, quando o teste declarado não é um que a linha cita, ou quando uma linha P2 não nomeia nenhuma biblioteca numérica independente. tests/verification_rows_declare_an_oracle_basis.rs então exige que o teste declarado exista em disco como um #[test] real que não esteja ignorado. O que a máquina não consegue verificar é se o teste nomeado compara contra a fonte declarada; isso continua sendo uma leitura humana. As contagens por tipo não são digitadas aqui: a tabela é a fonte.

Linhas VALIDATED existentes reexaminadas sob a regra#

A regra foi aplicada às linhas existentes, além de às futuras promoções.

• Linhas P1 nomeadas pelo estudo de validação 0,30, cada uma apoiada: Orçamento de enlace unidirecional (a tabela de controle de projeto X-band do Galileo da JPL Pub 82-76, remontada a partir de seus itens de linha até 4.6e-3 dB de perda no espaço livre); Formas fechadas de banda limitada para qualquer sinal de medição de distância (90,3 por cento da potência do lóbulo principal e o jitter coerente early-late publicado); Doppler máximo de um satélite de navegação em órbita terrestre baixa (os valores publicados do Xona Pulsar X1 e do Iridium); Doppler máximo que um usuário estático vê de uma órbita LEO ou MEO (Tabela 1 do artigo do Pulsar, 20 valores); Doppler que um receptor em solo deve tratar de um satélite de navegação LEO (os mesmos valores publicados de uma órbita voada). Cada publicação é independente do Kshana, imprime seus números, e o teste declara sua tolerância.
• Outras linhas que se apoiam em P1, encontradas no reexame, cada uma apoiada: Compromisso de projeto de código de medição de distância (a correlação cruzada Gold de −23,9 dB publicada); Tempo coordenado lunar (Ashby e Patla 2024, cuja verificação cruzada da velocidade da Lua contra a DE440 é uma verificação de biblioteca); Densidades espectrais de potência de sinal de banda L em forma fechada (valores Q de Kaplan e Hegarty); Atraso ionosférico de primeira ordem por banda (a razão de atraso de grupo da IS-GPS-200); Pesos de erro de alcance do sinal no espaço médios globais (a tabela de Montenbruck, Steigenberger e Hauschild 2018).
• Linhas P2 nomeadas pelo estudo, cada uma apoiada: Informação de Fisher e observabilidade de Cramér–Rao (numpy eigh/inv); Identificabilidade do datum lunar; Gauge acoplado de referencial e escala de tempo lunares; Pipeline autônomo de observabilidade de falhas em rede livre (SVD de numpy/SciPy, decomposição em valores singulares). Cada uma recalcula uma grandeza de álgebra linear univocamente definida sobre entradas registradas por um algoritmo diferente do solucionador de autovalores de Jacobi do Kshana.
• Outras linhas que se apoiam em P2, encontradas no reexame, cada uma apoiada: Derivação de prioridades MCDA (análise de decisão multicritério) (o autovetor do AHP, processo analítico hierárquico, pelo SciPy/LAPACK; a tabela de Random Index que ele também reproduz é uma transcrição e não é contada); Variância de deriva do holdover de relógio (expm do SciPy da matriz aumentada de Van Loan); Realização do referencial lunar (uma solução de Umeyama por SVD do numpy); Beamforming de CRPA (antena de padrão de recepção controlado) (resolução complexa do LAPACK); Núcleo de nível de proteção ARAIM lunar (a inversa LU do RTKLIB com quantis do SciPy); Consistência de referencial/dinâmica lunar entre provedores (um ajuste de mínimos quadrados por SVD do numpy de três efemérides publicadas).
• Sinalizadas na primeira passagem, reapoiadas na rodada 2 da execução 0,30. Três linhas foram sinalizadas como não apoiadas pela regra escrita. Cada uma agora se apoia em uma comparação pré-registrada antes de sua fixture ser obtida, de modo que nenhuma linha é sinalizada; um teste unitário ao lado de validated_oracle_basis() fixa a lista (agora vazia).
  • Integridade (RAIM/ARAIM/SBAS). Os testes citados costumavam afirmar apenas plausibilidade sobre geometria real do IGS (International GNSS Service). A linha agora se apoia em três referências independentes de biblioteca: a separação de solução de múltiplas hipóteses do ARAIM do Airborne Design Document v4.2 contra o Stanford MAAST para o ARAIM 2 (270 casos reais, pior diferença de VPL 2.2e-3 m contra 0,05 m); a detecção e exclusão de RAIM de snapshot contra o RTKLIB raim_fde (2016 de 2016 decisões idênticas) com o nível de proteção de inclinação; e os níveis de proteção L1 do SBAS DO-229E contra o Stanford MAAST em transmissões WAAS reais (2868 pares dentro de 1.6e-5 m). A linha diz claramente que as funções de sigma uniforme raim::araim_raim e raim::araim_dual_raim não são aderentes à norma do ADD e que a comparação de SBAS L5 de dupla frequência é uma constatação.
  • Posições de planetas pelo sistema solar a partir dos elementos keplerianos de Standish do JPL. O limiar post-hoc de duas vezes o erro nominal é substituído por um limiar pré-registrado: RMS no máximo igual ao valor da Tabela 8.10.1 do Explanatory Supplement por planeta e componente, contra o JPL Horizons DE441, com a divisão da Terra e a rotação ICRF cobertas.
  • Tempo-luz entre corpos do sistema solar. O solucionador de tempo-luz agora é comparado com os tempos-luz do Horizons dentro de 1e-6 s em posições DE441, um limiar pré-registrado que não herda o limiar de posição.
• Linhas MODELLED que as duas políticas tornam promovíveis (somente pela execução linha a linha 0,30, nunca por este texto): sob P1, o limite de geolocalização de emissor por TDOA/FDOA (diferença de tempo e de frequência de chegada), o acoplamento da taxa de relógio relativística ao referencial, as máscaras de sincronização da ITU-T (Setor de Normalização das Telecomunicações) (somente para valores de máscara que as Recomendações imprimem como números; os pontos de quebra transcritos conferidos contra si mesmos não contam) e o limite de posicionamento 5G por rede não terrestre (somente se um valor resolvido publicado for encontrado); sob P2, a cegueira de integridade em modo comum, o nível de proteção de temporização MHSS (separação de solução de múltiplas hipóteses) escalar e o branqueamento GLS (mínimos quadrados generalizados). As duas linhas de benchmark de integridade de temporização (o classificador de diagrama de integridade de Stanford e o pontuador de cobertura de integridade) são classificação baseada em regras, não álgebra linear, de modo que P2 não as alcança; elas precisam de uma ferramenta independente, e a única encontrada (gLAB) tem licença não comercial.
• Coerência com recusas anteriores. A verificação de Vallado da linha da janela de lançamento agora se qualificaria sob P1 se seu teste calcular o exemplo resolvido impresso; o plano 0,30 a promove pelo Orekit. A tabela de cruzamento de tempo lunar por classe de relógio permanece MODELLED: a tabela que ela reproduz vem do artigo do próprio projeto, que não é independente.

Status: FM branca e FM de passeio aleatório validadas; envelhecimento modelado e calibrado e removido; FM de flicker modelada e validada (desativada por padrão nos cenários citados).

Maturidade: os valores do relógio óptico são a meta orientada ao espaço em hardware de solo -- nenhum relógio óptico de estrôncio voou. Relógios de Sr de laboratório chegam a 4.8e-17 (Oelker et al. 2019, Nature Photonics). Os valores do CSAC vêm de uma peça comercial em uso.

Relações: Riley, NIST SP 1065, Eq. 67 -- FM branca sigma_y^2(tau)=h0/(2 tau); FM de passeio aleatório sigma_y^2(tau)=(2 pi^2/3) h_-2 tau, equivalentemente q_rw*tau/3 para um processo de Wiener de frequência de difusão q_rw.

Pacote 2 — navegação por estima inercial (unidade de medição inercial quântica)#

Enquadramento honesto: a vantagem do átomo frio é a estabilidade de viés de longo prazo (~2600x menor), que domina uma longa interrupção de GNSS por meio de 0,5bT^2. O ruído de curto prazo é comparável (quântico ~22 contra clássico ~20 ug/sqrtHz) — o sensor quântico vence a maratona, não a corrida de velocidade. Maturidade: os acelerômetros de átomos frios estão em estágio de laboratório/inicial (JRC122785), o quartzo de grau de navegação já é empregado.

Pacote 3 — transferência de tempo (óptica contra radiofrequência (RF), enlace óptico entre satélites)#

Enquadramento honesto: o valor óptico é uma meta de sincronização em órbita em nível de picossegundo (não voada). O piso do laboratório óptico terrestre é ~1 fs (muito melhor); um enlace de micro-ondas bem projetado (o enlace de micro-ondas (MWL) do ACES (Atomic Clock Ensemble in Space), ~0,3 ps) pode rivalizar com o óptico, de modo que a linha de base "RF = 0,5 ns" é especificamente o TWSTFT comum. A conversão para distância é unidirecional (distância = cdt); bidirecional/ida e volta a divide por dois (distância = cdt/2).

Pacote 4 — fusão híbrida (capstone)#

Compõe o Pacote 1 (relógio), o Pacote 2 (inercial) e o Pacote 3 (transferência de tempo) em uma única suíte PNT (posicionamento, navegação e temporização). A suíte deve manter TANTO a temporização (< especificação de temporização) QUANTO a posição (< especificação de posição) dentro dos limites; pnt_holdover_s é o tempo até que qualquer uma delas seja violada. A transferência de tempo por enlace óptico entre satélites (ISL) opcional ressincroniza o relógio durante a interrupção (apenas auxílio de tempo — a posição não é ressincronizada, pois a transferência de tempo fornece tempo, não posição).

Resultado: a suíte totalmente quântica mantém o PNT completo ao longo de uma interrupção de 1,8 h; a suíte totalmente clássica é limitada pela posição (a IMU de grau de navegação viola primeiro). A transferência de tempo óptica ISL mantém travado até o relógio clássico, isolando o sensor inercial como o elo fraco da suíte clássica — o argumento central a favor de inércia quântica + temporização óptica em conjunto.

Geometria — disponibilidade de GNSS a partir de órbitas#

Enquadramento honesto: esta é uma camada geométrica determinística (órbitas circulares, Terra esférica de raio médio 6371 km, linha de visada pura). Ela estabelece a disponibilidade e a exatidão de posição geométrica (diluição de precisão × um orçamento de erro de distância representativo) a partir da geometria real, não uma solução de navegação com efemérides precisas. A referência orbit-gnss-challenged.toml coloca uma espaçonave dentro da camada GNSS: ela mantém uma posição apenas em ~59% do dia, o relógio quântico mantém uma solução de temporização de 5 ns em todas as lacunas (disponibilidade 1,0) enquanto o relógio em escala de chip mantém ~0,73.

Propagador numérico (Cowell) e modelo de forças#

O propagador numérico (src/propagator.rs) integra um modelo de forças hierárquico (src/forces.rs) com os integradores adaptativos (src/integrator.rs). Cada termo abaixo é validado contra a verdade analítica ou uma forma fechada derivada à mão; as perturbações ficam desligadas por padrão, de modo que os goldens publicados permanecem intactos. O modelo composto também é verificado de forma cruzada contra outra ferramenta: tests/numerical_cowell_propagator_reference.rs executa 11 casos LEO e GTO (órbita de transferência geoestacionária), 275 épocas horárias, contra o propagador DormandPrince853 do Orekit 12,2, e os níveis conservativos (dois corpos → J2–J6 → Sol/Lua → SRP de bola de canhão) concordam até um pior caso de 0,08 m ao longo de 24 h (VALIDATED na matriz); o nível de arrasto é apenas caracterizado (333 m) e permanece MODELLED.

Escopo honesto: os padrões ForceModel publicados integram o campo zonal. O campo tesseral EGM2008 de alto grau (src/gravity_sh.rs, grau/ordem 70), as marés sólida/oceânica/atmosférica (src/tides.rs) e o termo de arrasto de referencial de Lense–Thirring agora estão implementados e compostos no modelo de forças preciso de ajuste de efemérides (src/precise_od.rs — veja abaixo). O campo tesseral também é um termo opcional do ForceModel de Cowell (propagator::Geopotential, desligado por padrão), validado contra o HolmesFeatherstoneAttractionModel do Orekit 12,2 até grau/ordem 70 (6 casos ao longo de 24 h, pior |Δr| 0,036 m; tests/cowell_tesseral_orekit_oracle.rs). Existem dois avaliadores de campo: o histórico acceleration (derivadas parciais esféricas; válido até o grau ~180 longe dos polos; saídas fixadas) e acceleration_hf (coluna progressiva modificada de Holmes–Featherstone 2002, gradiente sem 1/cos φ; válido até o grau 2190 em todas as latitudes). O EGM2008 até 2190 é carregado em tempo de execução (from_gfc_file, scripts/fetch_egm2008.sh, não incluído). acceleration_hf concorda com o Orekit 12,2 até 7.3e-17 m/s² em oito pontos até o grau 2190; permanece MODELLED porque o pyshtools não atingiu o limiar perto dos polos fixado antecipadamente (uma verificação com mpmath situa o erro no pyshtools; xval/high-degree-gravity/). Uma órbita 200×200 de 24 h concorda com o Orekit até 0,13 m, mas seu controle de sensibilidade de grau 70 fixado antecipadamente não foi atingido (0,73 m < 1 m), de modo que os graus 71–200 são caracterizados, não validados, em órbita (xval/cowell-tesseral-200-orekit/). A densidade termosférica NRLMSISE-00 (NRLMSISE: modelo de atmosfera estendida do Naval Research Laboratory com espectrômetro de massa e radar de espalhamento incoerente) está portada (src/nrlmsise00.rs: idêntica bit a bit à porta em C de domínio público em 720 pontos, dentro de 1.9e-6 relativo do pymsis, com os 17 casos de teste publicados reproduzidos; tests/nrlmsise00_reference.rs) e é um nível opcional de densidade de arrasto (forces::DensityModel, ForceModel::drag_density; o padrão continua sendo o modelo estático de Vallado). Isso valida a porta, não a exatidão do modelo contra a densidade medida. O Sol e a Lua DE440 (DE: efemérides de desenvolvimento) são um nível opcional de efemérides (ForceModel::with_ephemeris). A sombra de SRP da Terra oblata WGS-84 é opcional (ForceModel::srp_shadow), concordando com a razão de iluminação do Orekit 12,2 dentro de 7.4e-9 em 2400 geometrias (tests/srp_oblate_shadow_orekit_oracle.rs); sua variante com escurecimento de limbo não tem referência independente externa (MODELLED). O nível de arrasto NRLMSISE-00 concorda com o próprio arrasto NRLMSISE-00 do Orekit 12,2 ao longo de 24 h até 0,03 m contra até 142 km de deslocamento por arrasto (tests/drag_tier_orekit_oracle.rs, VALIDATED sob as convenções compartilhadas). Uma verificação cruzada com o GMAT (General Mission Analysis Tool) continua sendo um passo seguinte.

Marés no geopotencial (src/tides.rs)#

Correções variáveis no tempo ΔC̄_nm, ΔS̄_nm aos coeficientes de Stokes (IERS Conventions 2010, Capítulo 6), validadas contra os próprios números publicados das convenções — não contra outra ferramenta.

Manobras e projeto de trajetória (src/maneuver.rs)#

Escopo honesto: sem otimizador de trajetória, sem ramos de Lambert de múltiplas revoluções e com um modelo heliocêntrico sintético coplanar-circular (sem efemérides planetárias DE, de modo que uma verificação cruzada de C3 Terra–Marte com o GMAT não foi executada).

Determinação de órbita (OD) (src/orbit_determination.rs, src/batch_ls.rs)#

| OD em lote com taxa de variação da distância / az-el e máscara de elevação | modelled (comparação externa, um limiar fixado antecipadamente não atingido) | tests/od_tracking_measurements_reference.rs: 8 cenários contra os mínimos quadrados em lote do Orekit 12,2 com medições geométricas instantâneas personalizadas; conjuntos visíveis idênticos, valores de medição dentro de 5.8e-8 m / 6.3e-10 m/s / 1.4e-13 rad, matriz de transição de estado dentro de 1.2e-14, estados ruidosos dentro de 1,74 cm e RMS por tipo dentro de 2.7e-4; o limiar sem ruído ≤ 1 cm de estado, fixado antecipadamente, não é atingido em 2 de 4 cenários (1,46 e 1,74 cm; a própria estimativa do Orekit fica tão longe da sua verdade simulada, a do kshana dentro de 1e-8 m). Veja xval/od-measurements-orekit/RESULTS.md. |

Escopo honesto: a OD didática usa estações inerciais fixas, um referencial topocêntrico de Terra esférica e medições geométricas instantâneas (sem tempo de luz, aberração, refração ou rotação da Terra); a matriz de transição de estado do caminho de taxa de variação da distância/ângulos é variacional (integrada por RK4 com derivadas parciais analíticas de dois corpos + J2), não de forma fechada; não há filtro sequencial para taxa de variação da distância ou ângulos. O caminho somente de distância mantém seu jacobiano por diferenças finitas. (O motor completo de ajuste de efemérides com todas as forças, abaixo, traz sua própria matriz de transição de estado variacional.)

Validação do modelo de forças por ajuste de efemérides (src/precise_od.rs)#

Um estimador de mínimos quadrados em lote de observação de posição, preciso e com todas as forças: o geopotencial tesseral EGM2008 (avaliado no referencial fixo à Terra por meio da redução CIO) composto com o terceiro corpo Sol/Lua, SRP, arrasto, GR (relatividade geral) de Schwarzschild/Lense–Thirring e as marés acima, ajustado a uma trilha de posições inerciais com um jacobiano de matriz de transição de estado variacional. Validado em dados sintéticos, em que a verdade é o próprio integrador do Kshana, de modo que cada resíduo é do estimador e não da dinâmica.

Escopo honesto: a onda sintética usa parâmetros nominais de orientação da Terra (EOP: UT1 (Universal Time 1, tempo de rotação da Terra) ≈ TT (Tempo Terrestre), sem movimento polar) — exato para a autorrecuperação, pois o mesmo modelo gera e ajusta o arco. As validações com conjuntos de dados de agências sobrepõem EOP reais finals2000A e verdade SP3/SPK (SPK: kernel de efemérides planetárias) a este motor por meio da cadeia de referenciais CIO (src/eop.rs, tests/agency_galileo.rs, tests/agency_swarm.rs, tests/agency_lro.rs).

Órbitas precisas reais de agências (tests/agency_galileo.rs, tests/agency_swarm.rs, tests/agency_lro.rs)#

Navegação por mapa gravitacional / alt-PNT (src/gravimeter.rs, src/mapmatch.rs, src/particle_filter.rs, src/altpnt/terrain.rs)#

Escopo honesto: o campo gravitacional é de grau baixo + mascons sintéticos, não o conjunto completo de coeficientes EGM2008/EIGEN (EIGEN: European Improved Gravity model of the Earth by New techniques); o canal magnético se apoia no campo principal suave IGRF mais mascons de anomalia crustal sintéticos (um mapa crustal real de alta frequência é um passo seguinte); o campo de terreno da CI para os benchmarks de correção de navegação é o DEM sintético autocontido, enquanto o leitor .hgt em si agora é validado na CI contra uma tile real SRTM v3 versionada (acima); as tiles reais de resolução total continuam condicionadas por #[ignore]. Um Monte Carlo do erro de representação do mapa continua sendo um passo seguinte. Os três navegadores agora estão ligados ao motor de cenários por kind= (gravity-map, terrain-nav, combined-altpnt).

Modelo de erro de INS / IMU — validação referenciada a folhas de dados (src/inertial/)#

O modelo de erro estocástico da IMU é validado contra especificações publicadas de folhas de dados / conjuntos de dados de fabricantes — nunca contra um valor produzido pelo próprio Kshana. A ponte entre uma especificação em unidades de campo e o modelo de ruído em SI (Sistema Internacional de Unidades) é a identificação padrão por desvio de Allan (Riley, NIST SP 1065 §5; IEEE (Institute of Electrical and Electronics Engineers) Std 952): o coeficiente de passeio aleatório N é o ADEV sobreposto lido em τ = 1 s na inclinação τ⁻¹ᐟ², e o coeficiente de instabilidade de viés é o patamar plano de Allan (tests/imu_allan_spec.rs, hermético — sem download).

Escopo honesto: isto valida o modelo de erro estocástico contra coeficientes de Allan de folhas de dados. O conjunto de dados de veículo KF-GINS do i2Nav-WHU (WHU: Universidade de Wuhan) é usado como uma verificação separada, condicionada aos dados: o EKF de estado de erro em malha fechada, fracamente acoplado, com o modelo de braço de alavanca GNSS, é uma linha VALIDATED da matriz de verificação (EKF GNSS/INS fracamente acoplado com braço de alavanca no conjunto de dados KF-GINS), comparada com a trajetória de referência em C++ do KF-GINS sob limiares registrados antes da execução. Ele só é executado onde o conjunto de dados é fornecido (KSHANA_KFGINS_DIR); sem ele, são executados o carregador sintético e os testes de braço de alavanca. As variantes fortemente acopladas e de fase da portadora não são cobertas por essa linha (a linha GNSS/INS fortemente acoplada com fase da portadora é MODELLED).

PNT de espaço profundo e de Marte — fundação D0 (src/body.rs, src/mars_frame.rs, src/ephem_provider.rs, src/radiometric.rs, src/timescales.rs)#

O primeiro marco do motor de navegação de espaço profundo: generalizar o núcleo fixado na Terra para um corpo central arbitrário, acrescentar a dinâmica de Marte, uma junção de provedor de efemérides, tempo submicrossegundo e as primitivas de tempo de luz / atraso relativístico. Todo cenário terrestre existente é idêntico byte a byte — os goldens de reprodutibilidade multiplataforma (tests/cross_platform_golden.rs, tests/golden.rs) passam sem alterações e sem regeneração, verificado a cada commit.

Observáveis radiométricos de espaço profundo e Tracking Data Message do CCSDS — D1 (src/radiometric.rs, src/ccsds_tdm.rs)#

O segundo marco do motor de navegação de espaço profundo: o modelo de observáveis que transforma o núcleo de tempo de luz/atraso relativístico D0 nas grandezas reais que uma passagem de rastreamento da Deep Space Network (DSN) ou da ESTRACK (rede europeia de rastreamento espacial) informa — distância, Doppler de uma/duas/três vias, retorno coerente do transponder, medição de distância regenerativa/PN (PN: pseudo-ruído), Δ-DOR (DOR: medição diferencial de distância em uma via) e os meios de propagação — além da entrada/saída da Tracking Data Message (TDM) CCSDS (Consultative Committee for Space Data Systems) 503.0-B, que ingere/emite um arquivo de rastreamento padrão de agência. Escopo honesto: são modelos geométricos exatos que seguem as convenções de Moyer / CCSDS; o ruído de medição é o sigma por observação fornecido pelo chamador, não embutido no modelo. Reproduzir uma passagem de rastreamento real específica exige dados TDM reais mais o solucionador de determinação de órbita de espaço profundo — isso é D2, não D1. Tudo abaixo é aditivo (os goldens de reprodutibilidade permanecem inalterados; mesmo SHA, sem regeneração).

OD de espaço profundo de dinâmica reduzida — D2 (src/deepspace_od.rs, src/clock_state.rs, src/mars_atmos.rs)#

O terceiro marco do motor de navegação de espaço profundo: o estimador que transforma os observáveis radiométricos D1 em uma trajetória recuperada — um Square-Root Information Filter (SRIF) numericamente robusto com acelerações empíricas de dinâmica reduzida, um relógio de bordo de três estados, um modelo de arrasto de Marte e as derivadas parciais da medição radiométrica que ligam distância/Doppler ao estado do filtro, fechado de ponta a ponta por uma recuperação sintética de determinação de órbita em órbita baixa de Marte (LMO). Escopo honesto: a recuperação é um circuito fechado sintético (a verdade e o filtro compartilham o mesmo propagador de Marte, e as observações são o mesmo modelo de observáveis geométricos que o filtro inverte, mais ruído gaussiano injetado) — ela valida a maquinaria do estimador, não a fidelidade absoluta do modelo de forças de Marte; a verificação cruzada externa de nível DE é o crate xval/anise-mars-od condicionado a kernel (D0.8b). Tudo abaixo é aditivo (os goldens de reprodutibilidade permanecem inalterados; mesmo SHA, sem regeneração).

Cenário PNT de espaço profundo e fusão de uma via + duas vias — D3 (src/mars_pnt.rs, src/deepspace_od.rs)#

O quarto marco do motor de navegação de espaço profundo: um cenário de produto Mars-PNT executável que reúne o corpo / referencial de Marte D0, os observáveis radiométricos D1 e a OD de dinâmica reduzida D2 em um único tipo de cenário mars-pnt. Ele modela uma pequena constelação de retransmissão ao estilo MARCONI que transmite um sinal no espaço de uma via (acoplado ao relógio) e retransmite um enlace de duas vias (coerente, livre de relógio) para uma estação de espaço profundo, e navega três usuários de referência (transferência para Marte, orbitador em Órbita Baixa de Marte, ponto fixo na superfície) pelo estimador de fusão conjunta de uma via + duas vias D3.1 — um SRIF de doze estados que amplia o bloco de órbita/empírico de dinâmica reduzida do D2 com um relógio de bordo de três estados. Escopo honesto: toda figura de mérito é o limite de covariância formal do estimador (posição 1σ / 3σ por época) e o RMS alcançado contra uma verdade de circuito fechado sintético (a verdade e o filtro compartilham a mesma dinâmica de Marte e o mesmo modelo de observáveis geométricos, mais ruído gaussiano injetado) — uma FoM de navegação simulada, NÃO um nível de proteção certificado para aviação, e NÃO uma afirmação de voo (sem modelo de falhas certificado, sem monitor de integridade, sem dados de rastreamento reais). Tudo abaixo é aditivo (os goldens de reprodutibilidade permanecem inalterados; mesmo SHA, sem regeneração).

Tempo coordenado lunar — taxa relativística do relógio Terra-Lua (src/lunar_time.rs)#

Uma escala de Tempo Coordenado Lunar (LTC/TCL (TCL: Temps-Coordonnée Lunaire, o nome francês do Tempo Coordenado Lunar)) exige a taxa secular com que um relógio na superfície lunar corre em relação a um relógio no geoide terrestre (TT). src/lunar_time.rs a calcula a partir de primeiros princípios: uma identidade pós-newtoniana de primeira ordem que soma a diferença de autopotencial (o potencial convencional do geoide L_G da IAU W0 = L_G·c² ≈ 6.26369e7 m²/s² menos o autopotencial da superfície da Lua GM_moon/R_moon ≈ 2.822e6 m²/s²) e o termo cinético (efeito Doppler de segunda ordem) −<v²>/2c² a partir da velocidade geocêntrica da Lua (obtida por diferenças finitas da série lunar de Montenbruck-Gill em src/ephem.rs). O termo dominante de autopotencial dá ≈ 57,5 µs/dia, o termo cinético ≈ −0,5 µs/dia, para um total de ≈ 57 µs/dia. O cenário lunar-time-offset informa essa taxa, o deslocamento LTC−TT acumulado ao longo de um horizonte e oferece suporte a um conjunto mínimo de variância inversa (um relógio de papel lunar); as conversões TT↔LTC fazem ida e volta com < 1 ns/dia.

VLBI geodésico lunar — atraso de campo próximo para uma linha de base na Terra observando um farol lunar (src/lunar_vlbi.rs)#

Um observável de VLBI (interferometria de linha de base muito longa) geodésico para duas estações terrestres (uma linha de base) observando um sinal de uma via de um transmissor de classe NovaMoon na superfície lunar. A Lua está em campo próximo, não é uma onda plana, de modo que o atraso geométrico é a diferença exata de duas distâncias tau_geom = (|r2 − r_B| − |r1 − r_B|)/c, em vez da projeção no plano do céu. O observável completo acrescenta a diferença de deslocamento de relógio das estações e um termo de Shapiro do potencial terrestre diferenciado (reutilizado de src/radiometric.rs). As estações são posicionadas em coordenadas inerciais geocêntricas (GCRS) por meio de src/frames.rs + src/cio.rs; o farol por meio de src/ephem.rs (Lua geocêntrica) + src/lunar.rs (selenográfico→MCMF (MCMF: centrado na Lua, fixo à Lua)) + src/lunar_frame.rs (corpo fixo ME→inercial IAU-2015). O cenário lunar-vlbi amostra o atraso, sua taxa por diferença finita e a correção de campo próximo ao longo de uma passagem.

A referência independente é o observável Δ-DOR de onda plana da mesma base de código delta_dor em src/radiometric.rs: no limite de campo distante (um farol sintético a 1e15 m), o atraso geométrico deve colapsar em −(B·ŝ_B)/c = delta_dor(r_B, [0,0,0], B) até a precisão de máquina; à distância lunar verdadeira, a correção de campo próximo da curvatura da frente de onda é diferente de zero (dezenas a centenas de µs). As derivadas parciais do farol dtau/dr_B = ((r_B−r2)/|r_B−r2| − (r_B−r1)/|r_B−r1|)/c (e as das estações) são verificadas por diferença finita central (erro relativo < 1e-5).

OD lunar conjunta multitécnica + relógio — recuperação simulada em circuito fechado (src/lunar_combination.rs)#

Um ajuste de mínimos quadrados em lote de época única (instantâneo) (crate::batch_ls::gauss_newton_qr, um passo QR de Householder desde 0,30) que funde as técnicas de VLBI geodésico, radiométrica/de medição de distância local lunar e de medição de distância entre satélites em uma rede lunar SIMULADA para recuperar, em conjunto, a posição 3-D de uma estação na superfície lunar, as posições por satélite de uma pequena constelação e o deslocamento de relógio de cada ativo. Os observáveis são: (1) atrasos de VLBI geodésico de linha de base na Terra até a estação lunar tratada como o farol (reutilizando src/lunar_vlbi.rs, inercial geocêntrico) — a técnica de destaque; (2) distâncias radiométricas geocêntricas de estação terrestre→satélite (que multilateram a constelação a partir das estações terrestres bem distribuídas) e distâncias locais lunares estação↔satélite (distância euclidiana MCI (inercial centrado na Lua) mais o termo de relógio diferenciado); (3) distâncias entre satélites (mesma forma); mais uma única pseudo-observação de sincronização de relógio de estação que ancora o deslocamento de relógio comum, de outro modo inobservável. O vetor de estado é [station_pos(3), {sat_pos(3)}×N_sat, station_clk, {sat_clk}×N_sat]. Não há propagação de modelo de forças dentro do solucionador — os satélites são pontos fixos, distintos e ilustrativos sobre uma órbita lunar representativa; este é um ajuste instantâneo deliberadamente limpo. Internamente, as posições são escaladas e os relógios são estimados em metros equivalentes de distância para que a matriz normal permaneça bem condicionada em f64; as distâncias de VLBI e à distância lunar têm a média removida em torno da geometria nominal para que o jacobiano por diferenças finitas não sofra cancelamento catastrófico. O cenário lunar-joint-od-clock executa a solução com e sem as pernas de VLBI com a mesma semente/verdade e informa ambas as soluções mais o fator de melhoria de observabilidade da estação.

O resultado honesto de destaque: a medição de distância local lunar a partir de uma estação polar até um punhado de satélites que ficam todos para um lado do céu deixa a posição da estação fracamente observada ao longo de uma direção, de modo que a solução somente com distâncias é mal condicionada e o erro 3-D recuperado da estação é grande (ou a solução não converge). Acrescentar os atrasos de VLBI de linha de base na Terra torna observável a posição 3-D completa da estação, e o erro recuperado da estação colapsa para o nível de metros. O teste vlbi_restores_station_observability afirma que o erro da estação com VLBI é nitidamente (≥5×) menor que o erro somente com distâncias na mesma verdade injetada — o VLBI restaurar a direção da estação, de outro modo inobservável, é o objetivo da fase.

A referência independente é a consistência interna: um estado verdadeiro injetado (estação ~50 m/eixo, satélites ~30 m/eixo, relógios ~1e-7 s, com uma oscilação por componente com semente) é mapeado para observáveis sintéticos pelo mesmo modelo geométrico que o solucionador inverte, ruído gaussiano com semente é adicionado (padrões ilustrativos: VLBI σ ≈ 1e-11 s, distância σ ≈ 0,1 m, ISL σ ≈ 0,1 m; pesos 1/σ²), e o estimador deve recuperar a verdade injetada dentro do ruído a partir de uma estimativa inicial de zeros. Um NEES médio de Monte Carlo Δxᵀ(HᵀWH)Δx sobre sementes (formal_covariance_nees) fica dentro de uma faixa folgada em torno de n_params, uma verificação de realismo da covariância.

Realização do referencial lunar — ajuste de datum de Helmert de 7 parâmetros (src/lunar_frame_realise.rs)#

Enquanto src/lunar_frame.rs aplica a orientação do corpo lunar WGCCRE da IAU 2015 (um modelo direto), este módulo estima (realiza) um referencial lunar a partir de uma rede de coordenadas pontuais estimadas ligadas a um datum. O núcleo de estimação é uma clássica transformação de similaridade (Helmert) de 7 parâmetros — três de translação, três de rotação de ângulo pequeno e um de escala — que mapeia os pontos p_i (referencial estimado) para q_i (referencial do datum) como q_i = t + (1 + s)·R(θ)·p_i, com R(θ) = rz(θz)·ry(θy)·rx(θx) construído a partir de crate::precession::{rx, ry, rz, matmul, mat_vec}. Os sete parâmetros [tx, ty, tz, θx, θy, θz, s] são estimados a partir de ≥ 3 pares de pontos não colineares por mínimos quadrados ponderados por meio de crate::batch_ls::gauss_newton: o modelo direto prediz cada q_i a partir de seu p_i e achata as três componentes de todos os pontos no vetor de observáveis, as coordenadas observadas do datum formam z, os pesos são 1/σ² e a solução parte de x0 = zeros. Os ângulos de rotação são estimados em µrad e a escala em ppb para que o jacobiano por diferenças finitas permaneça bem escalado na magnitude de coordenadas da superfície lunar (~1.7e6 m). Um pequeno icrf_orientation_tie compõe a pequena rotação realizada pela orientação IAU corpo→ICRF (transpose(crate::lunar_frame::icrf_to_iau_moon(jd_tdb))) e devolve o deslocamento angular pequeno residual do referencial realizado em torno dos eixos ICRF — uma mudança de referencial de expressão deliberadamente simples, não uma estimativa independente do polo lunar.

A referência independente é a consistência interna: uma transformação de Helmert conhecida (translação ~dezenas de m, rotação ~µrad, escala ~1e-7) é injetada em uma rede sintética de pontos bem distribuídos (lat/lon selenográficas variadas → MCMF, alguns pontos em altitude), ruído gaussiano com semente é adicionado e o ajuste deve recuperar os parâmetros injetados. Em dados sem ruído, a recuperação é até ~a precisão de máquina (translação < 1e-6 m, rotação < 1e-9 rad, escala < 1e-12); com ruído de metros, os parâmetros recuperados ficam dentro de alguns × o σ formal e o resíduo RMS pós-ajuste fica perto do nível de ruído. O cenário lunar-frame-realisation informa o datum recuperado, o erro de recuperação por parâmetro em relação à verdade injetada, o resíduo RMS pós-ajuste e a ligação de orientação ICRF da rotação realizada.

Volume de serviço de navegação lunar — DOP / cobertura / disponibilidade + PL ARAIM lunar generalizado (src/lunar_service.rs)#

Este módulo compõe peças já construídas em uma análise de volume de serviço de navegação lunar: ele varre uma grade selenográfica de latitude/longitude ao longo de um horizonte de tempo contra uma constelação de órbita lunar ilustrativa, de fonte pública, de classe Moonlight / LCNS (LCNS: Lunar Communications and Navigation Services) e informa DOP / cobertura / disponibilidade mais um envelope generalizado de nível de proteção ARAIM lunar. As duas reutilizações são determinantes e explícitas. A geometria de DOP é o kernel VALIDATED (contra o gnss_lib_py) crate::orbit::dop — service_dop é um fino filtro de máscara de elevação mais esse kernel, e um teste afirma a identidade (service_dop é igual a um orbit::dop direto nas mesmas posições visíveis). A integridade reutiliza a maquinaria ARAIM lunar da LunaNet LNIS (LunaNet Interoperability Specification) crate::lunar::lunar_araim (σ_URE ≈ 30 m, P_sat ≈ 1e-4); lunar_protection_level generaliza o nível de proteção existente do polo sul para um ponto arbitrário da superfície, e um teste afirma que ele se reduz ao caso do polo sul (no polo sul, com a mesma geometria/orçamento, ele devolve exatamente o resultado existente de lunar::lunar_araim até < 1e-9).

Os parâmetros da constelação são uma aproximação ilustrativa de descrições públicas da ESA da classe do sistema (≈ 4 satélites em órbitas lunares elípticas congeladas que favorecem a cobertura do polo sul — apolúnio sobre o hemisfério sul; 4 é o padrão da biblioteca, e o moonlight-service-volume.toml incluído define 8 porque o nível de proteção precisa de pelo menos 6 à vista). Eles não são a efeméride real do Moonlight/LCNS e não implicam nenhuma afiliação, endosso, herança, certificação ou TRL. A composição (cobertura / disponibilidade / integridade) é MODELLED: um conjunto de retransmissores kepleriano circular/elíptico (não uma efeméride LCNS / NRHO (órbita de halo quase retilínea) 9:2 corrigida diferencialmente), uma Lua de rotação média (sem libração física / polo em precessão) e parâmetros de integridade LunaNet LNIS publicados. Ela demonstra o método de volume de serviço, não um número de disponibilidade operacional. Determinístico (geometria pura; sem aleatoriedade). O cenário moonlight-service-volume informa a porcentagem de cobertura, os envelopes de contagem de visíveis e de PDOP, o envelope HPL/VPL sobre o volume e a disponibilidade do nível de proteção em relação ao limite de alerta.

PNT diferencial lunar — cancelamento de modo comum + resíduo crescente com a linha de base + níveis de proteção DGNSS (src/lunar_dpnt.rs)#

Um análogo lunar de DGNSS (navegação diferencial por satélite) / SBAS: uma estação de referência de classe NovaMoon em uma localização selenográfica conhecida calcula correções diferenciais por satélite a partir de uma constelação ilustrativa, de fonte pública, de classe Moonlight / LCNS, e um usuário itinerante afastado dela por uma linha de base as aplica, de modo que os erros de efeméride transmitida de modo comum se cancelam. Cada satélite i traz um vetor comum injetado de erro de órbita 3-D e_i e um erro comum de relógio c_i. O resíduo de pseudodistância da estação de referência é a correção −e_i · û_ref,i + c_i; o erro bruto do usuário é −e_i · û_user,i + c_i; o erro corrigido do usuário é a diferença entre eles −e_i · (û_user,i − û_ref,i). O termo de relógio c_i se cancela exatamente (é idêntico nas duas observações), e o termo de órbita colapsa na projeção sobre a diferença dos dois vetores unitários de linha de visada, que → 0 quando a linha de base → 0 (o piso de descorrelação espacial) e cresce ≈ linearmente com a linha de base. Os erros de distância corrigidos por satélite são mapeados pela geometria do usuário por uma pequena solução instantânea de mínimos quadrados ponderados, de poucas dependências (estado [x, y, z, clock] via crate::orbit::invert4; um viés constante de distância é absorvido pela incógnita de relógio em vez de corromper a posição) para dar o erro de posição do usuário. O nível de proteção do usuário reutiliza a maquinaria de nível de proteção SBAS DO-229E (crate::sbas::sbas_protection_level, fatores K de Aproximação de Precisão) com o σ residual diferencial como o orçamento de erro de 1-σ de cada satélite.

O NovaMoon é referenciado apenas como uma classe de sistema (uma descrição pública de uma estação de referência lunar); a constelação reutiliza a crate::lunar_service::LunarConstellation ilustrativa de fonte pública. São parâmetros ilustrativos para exercitar o método diferencial, não uma efeméride real, e não implicam nenhuma afiliação, endosso, herança, certificação ou TRL. O cenário lunar-differential-pnt informa o erro de posição do usuário com e sem correções, o fator de redução, a curva de erro contra linha de base e o nível de proteção. Na configuração padrão, o erro corrigido do usuário a uma linha de base de 50 km é ≈ 0,008 m contra ≈ 24 m sem correção (uma redução de ~3000×), e ≈ 0 com linha de base zero.

A referência independente é a consistência interna: o cancelamento de modo comum é uma identidade algébrica exata (com noise = 0, erro corrigido < 1e-6 m com linha de base zero; o termo de relógio se cancela até a precisão de máquina em qualquer linha de base), o resíduo cresce monotonicamente com a linha de base, e o nível de proteção é o mesmo algoritmo DO-229E contra o qual a pilha SBAS é fixada. O resíduo de descorrelação espacial é um modelo geométrico de primeira ordem, não um modelo de descorrelação ajustado a partir de rastreamento lunar real.

Exportação de interoperabilidade lunar — CCSDS OEM e KIF alinhados à LunaNet/IOAG, com aderência à norma na ida e volta (src/lunar_interop.rs)#

O referencial lunar, a escala de tempo lunar e a efeméride lunar são exportados em formas de intercâmbio baseadas no CCSDS e alinhadas à LunaNet/IOAG (IOAG: Interagency Operations Advisory Group). Esta fase não inventa um formato de transmissão: ela reutiliza o emissor e o analisador CCSDS OEM (Orbit Ephemeris Message) 2,0 já existentes no crate (crate::oem::OemFile::to_oem_string / crate::oem::parse_oem) e o envelope do Kshana Interchange Format (crate::interchange::Envelope), reetiquetados para o contexto lunar. export_lunar_oem define o REF_FRAME do OEM como o referencial de corpo lunar WGCCRE da IAU 2015 (MOON_ME Terra-média ou MOON_PA de eixos principais), TIME_SYSTEM como a escala de tempo lunar (LTC / TCL / UTC) e CENTER_NAME como MOON, sobre uma efeméride de amostra ilustrativa, de fonte pública, de classe LCNS (posições de crate::lunar_service::LunarSat::position_mci, velocidade por diferença finita central). export_lunar_time_metadata emite um descritor de tempo lunar alinhado à LunaNet/IOAG (id da escala, taxa secular em µs/dia de crate::lunar_time::lunar_rate_breakdown, a faixa publicada de 56–59 µs/dia, superfície de referência) que faz ida e volta por serde_json. export_kif_lunar envolve o OEM + descritor + rótulo de referencial no envelope KIF existente com o rótulo de honestidade MODELLED.

A referência independente é a ida e volta / aderência à norma dos campos. Como oem.rs traz ambas as direções, o OEM faz ida e volta por crate::oem::parse_oem (de volta a um segmento igual, com o referencial/tempo lunar e a contagem de estados preservados) e é verificado de forma independente por oem_conformance, que confirma que toda palavra-chave obrigatória de cabeçalho CCSDS/LunaNet está presente, que REF_FRAME traz um token MOON_* lunar e que TIME_SYSTEM não está vazio, que o enquadramento META_START … META_STOP se mantém e que as linhas de dados de posição+velocidade estão bem formadas — devolvendo um resultado estruturado de sucesso mais a lista de campos presentes/ausentes, de modo que uma exportação quebrada (por exemplo, um TIME_SYSTEM descartado) é detectada e nomeada. Os metadados de tempo fazem ida e volta por parse_lunar_time_metadata, e o envelope KIF faz ida e volta por Envelope::parse até artefatos iguais que carregam o rótulo MODELLED.

Previsões pré-registradas#

Uma previsão pré-registrada é um resultado MODELLED congelado antes de existirem dados para avaliá-lo, com o protocolo de avaliação fixado ao mesmo tempo. Não é uma validação e não acrescenta nenhuma linha ao registro. Cada uma fica em docs/predictions/, com suas entradas congeladas, seu resultado e os hashes SHA-256 de ambos, e tests/prediction_frozen.rs falha se qualquer byte congelado mudar; uma premissa alterada é respondida por uma nova previsão datada ao lado da antiga, nunca editando-a.

Representatividade da demonstração e registro de lacunas até o voo (src/representativeness.rs)#

Um resultado de simulação só é útil como evidência se declara, de forma explícita, ao que está ancorado, o que assume e o que ainda o separa de um sistema de voo. O registro de representatividade torna isso uma saída de primeira classe, verificada por máquina: um registro Representativeness traz os Anchors externos da demonstração, suas premissas modeladas, suas Gaps até o voo (cada uma com a fase/atividade que a fecharia) e a faixa de TRL para a qual ele é representativo. É o complemento por resultado da matriz verification em nível de capacidade.

A referência independente é um conjunto de invariantes em forma fechada, impostas por representativeness::tests: um registro Validated deve listar pelo menos uma âncora ExternalDataset (uma simulação não pode ser validada contra si mesma); um registro Modelled deve listar pelo menos uma lacuna até o voo e não pode alegar uma faixa de TRL representativa acima de 4 (a maturação além disso exige evidência de hardware/voo, o que é uma lacuna, não uma saída de simulação); a faixa de TRL deve estar bem formada; e um registro PartnerOwned não deve afirmar nada. Essas invariantes operacionalizam a disciplina "representatividade justificada + lacunas restantes até o voo claramente identificadas".

Evidência unificada de compromisso quântico versus clássico (src/qtrade.rs)#

Toda área de aplicação de PNT quântico responde à mesma pergunta da mesma maneira: fixar um referencial de comparação (cenário + semente + versão do motor), encaminhar um candidato quântico e uma linha de base clássica por um único caminho de código neutro, pontuá-los em figuras de mérito comuns e informar — com um intervalo de confiança e um rótulo honesto de validado/modelado — onde o quântico vence e onde não vence. TradeEvidence dá a essa resposta uma forma única, de modo que as verticais de temporização, navegação e detecção de anomalias emitem o mesmo objeto reprodutível e honestamente rotulado. Ele não reimplementa nenhum compromisso: os números por FoM vêm dos motores existentes (quantum_trade, crossover e os módulos verticais); isto é o contrato mais o invólucro de reprodutibilidade/representatividade, construído sobre o registro de representatividade e os rótulos de verificação.

A referência independente são identidades de benefício/vencedor em forma fechada mais um invólucro fiel da saída de compromisso existente. qtrade::tests: a razão de benefício tem a polaridade correta (orientada de modo que >1 sempre significa que o lado quântico é melhor, tanto para FoMs de holdover em que mais é melhor quanto para FoMs de erro em que menos é melhor); um objeto de evidência construído a partir de um quantum_trade::TradeResult real reproduz suas razões de benefício; evidência desonesta é rejeitada (uma representatividade modelada sem lacuna, ou uma FoM Validated cujo registro de compromisso não traz âncora externa); o JSON é determinístico e traz os campos de referencial/semente/motor/FoM/representatividade.

Biblioteca de modelos de erro de dispositivos quânticos (src/quantum_devices.rs)#

Um lugar único que expõe os dispositivos de PNT quântico que o demonstrador compara — relógios ópticos / de íons aprisionados / de íons de mercúrio, relógios de referência clássicos, o interferômetro de átomos frios e enlaces de transferência de tempo — cada um como um DeviceCard que traz sua especificação de destaque e um registro de representatividade. A maior parte da física dos dispositivos é reutilizada (estabilidades de relógio de holdover::QuantumClockClass e clock_state::ClockClass; o interferômetro de átomos frios de quantum_trade/crossover; enlaces ópticos/RF clássicos de timetransfer_adv). O único modelo realmente novo é o enlace de transferência de tempo por emaranhamento / fóton único, cuja precisão de temporização é limitada por ruído de disparo: σ_t ≈ jitter/√(R·τ) na taxa de coincidências detectadas R e na integração τ, degradada por uma penalidade de contagens de escuro √(1 + dark/R) e com piso dado por um sistemático irredutível.

A referência independente são os coeficientes publicados de relógio/CAI reutilizados mais identidades em forma fechada de ruído de disparo/perda. quantum_devices::tests: a ordenação reutilizada das estabilidades dos relógios é razoável (rede óptica < íon de mercúrio < CSAC em σ_y(1 s)); a precisão do emaranhamento melhora como 1/√τ (uma integração 4× maior divide σ pela metade) quando limitada por ruído de disparo; a taxa de coincidências detectadas cai 10× a cada 10 dB de perda do enlace; as contagens de escuro degradam a precisão monotonicamente; o piso sistemático limita a precisão inferiormente; todo cartão de dispositivo é um registro de representatividade válido e modelado.

Temporização quântica confiável — cadeia de ponta a ponta, disseminação segura, anomalia + compromisso (src/timetransfer_chain.rs)#

O cenário quantum-time-transfer compõe a cadeia de temporização de que um demonstrador de PNT quântico precisa: um orçamento de tempo do usuário de ponta a ponta (erro de navegação livre do relógio de referência e precisão de temporização do enlace combinados em quadratura) para uma cadeia quântica (relógio de rede óptica + enlace de emaranhamento/fóton único) contra uma cadeia clássica (CSAC + enlace RF de duas vias); um nível de proteção de temporização (TPL, reutilizado de tpl) que limita o erro de tempo não detectado; uma figura de mérito de segurança contra ataques de atraso/repetição 1 − P_md a uma taxa de falso alarme declarada (reutilizada de detection); uma probabilidade de detecção de anomalia de relógio + latência de detecção de mudança por CUSUM (soma cumulativa); e a comparação quântico-versus-clássico como qtrade::TradeEvidence honesto que traz um registro de representatividade + lacunas até o voo.

A referência independente é um orçamento em quadratura em forma fechada sobre kernels reutilizados e validados separadamente (ADEV contra Stable32/NIST; o limite do TPL; detection::analytic_pd/analytic_pmd). timetransfer_chain::tests: a precisão quântica melhora com o tempo de integração; a cadeia quântica pode vencer e pode perder na FoM de precisão (honesto — não é uma vitória universal; um enlace com muita perda inverte o resultado); o nível de proteção é finito e positivo; a FoM de segurança está em [0.1] e cresce com o atraso do ataque; a probabilidade de detecção de anomalia é monotônica na magnitude da falha; e a evidência de compromisso é internamente honesta (is_honest()).

Navegação quântica sem GNSS (src/quantum_nav_od.rs)#

O cenário quantum-gnss-free-nav compara a navegação por estimativa durante uma interrupção do GNSS entre um orçamento inercial quântico (um acelerômetro interferômetro de átomos frios, reutilizado de inertial::quantum_imu/quantum_trade, cujo piso de ruído branco CAI é validado até ~2 ordens de grandeza de Freier et al. 2016) e um INS clássico de grau de navegação. Ele informa o crescimento do erro de posição ao longo da navegação livre, o tempo de holdover até um limiar de posição e o compromisso quântico-versus-clássico como qtrade::TradeEvidence honesto. A observabilidade é declarada com honestidade: sem correção externa durante a interrupção, o viés do acelerômetro é inobservável, de modo que o erro de posição cresce sem limite (≈ ½·viés·t² mais um termo de passeio aleatório de velocidade); um sensor quântico de viés menor retarda esse crescimento, mas não fecha a lacuna — somente uma correção externa fecha.

A referência independente são os orçamentos inerciais reutilizados (QuantumNavBudget/ClassicalInsBudget, ambos implementando o trait PositionDrift) mais identidades de deriva em forma fechada. quantum_nav_od::tests: o orçamento quântico supera o clássico em uma interrupção longa (menor erro, holdover mais longo); o erro cresce com a duração da interrupção para ambos (a lacuna de observabilidade); a vantagem depende da interrupção, não é um fator de vitória constante (a curva quântica é dominada por ruído na navegação livre curta, dominada por viés na longa); a evidência de compromisso é internamente honesta.

Detecção de falhas / anomalias para sistemas PNT quânticos (src/quantum_faults.rs)#

O cenário quantum-anomaly-detect define um catálogo rotulado de falhas de PNT quântico (salto de frequência de relógio, deriva, perda de travamento; degrau de viés de sensor, perda de dados), pontua uma estatística de detecção em janelas nominais versus com falha e informa a discriminação do detector como uma AUC de ROC e uma falha mínima detectável a uma taxa de falso alarme fixa. O ângulo quântico-versus-clássico: uma referência de relógio quântico mais estável reduz o ruído σ do monitor, de modo que ele detecta falhas menores — emitido como qtrade::TradeEvidence honesto com um registro de representatividade.

A referência independente é uma AUC em forma fechada para a estatística de detecção gaussiana (nominal N(0,σ), falha N(μ,σ) ⇒ AUC = Φ(μ/(σ√2))) verificada de forma cruzada contra o eval_stats::bootstrap_auc_ci validado externamente (validado contra o scikit-learn) e os limiares analíticos de detection. quantum_faults::tests: a AUC analítica coincide com valores conhecidos (0,5 em μ=0, →1 para μ/σ grande, monotônica); o IC de AUC por bootstrap empírico envolve a forma fechada; o monitor quântico tem AUC maior e uma falha mínima detectável menor; a vantagem desaparece para falhas enormes (ambos detectam perfeitamente — não é uma margem universal); o catálogo tem cinco classes rotuladas; o compromisso é internamente honesto.

Aderência às normas — formatos de intercâmbio, orçamento de enlace e integridade (verificações com referência independente externa)#

Estas normas são validadas ao recuperar os exemplos resolvidos literais / valores de referência publicados nas próprias normas (ou em uma implementação de referência independente), e não pela ida e volta do próprio Kshana. Recuperar o exemplo de anexo da própria norma é a verificação de aderência à norma mais forte disponível para um analisador de formato de intercâmbio.

Normas GNSS — situação da referência independente externa e as lacunas restantes, com honestidade:

Temporização para redes, espectro, o sistema solar, constelações, campanhas e PNT em LEO#

As capacidades acrescentadas na linha 0,28 são avaliadas linha por linha na VERIFICATION-MATRIX.md gerada; esta seção resume quais delas trazem uma referência independente externa. Uma linha é VALIDATED somente com uma referência independente externa; todo o resto é MODELLED.

As saídas que são renderizações, não evidência, têm testes mas não têm linha na matriz: as exportações de intercâmbio (CZML (Cesium Language), KML (Keyhole Markup Language), GeoJSON, efemérides STK (Systems Tool Kit), SigMF (Signal Metadata Format)), cada uma lida de volta por um validador escrito a partir da especificação do formato (tests/interop_formats.rs, 13 testes; veja INTEROP.md); as animações (tests/animation.rs: reexecuções idênticas byte a byte, contagens exatas de quadros, SVG (Scalable Vector Graphics) bem formado, nenhum endereço externo no player HTML (HyperText Markup Language)); e o relatório de execução (tests/advanced_report.rs, tests/advanced_report_cli.rs: todo cenário incluído gera relatório sem nenhuma seção vazia ou valor de preenchimento, os rótulos coincidem com a matriz, e o comando registrado reproduz result.json e o relatório byte a byte).

Envelope operacional#

Cada pacote é exercitado ao longo do seu envelope de entrada declarado por tests/scenario_coverage.rs, que afirma que toda saída numérica é finita (sem NaN/Inf (NaN: não é um número)) e limitada. A tabela lista a faixa de entrada testada por pacote, o comportamento de saída esperado e o teste que a cobre.

As linhas de flicker-FM e de viés de fusão fecham duas lacunas específicas de realismo: os termos de ruído ficam desligados por padrão, mas afetam demonstravelmente a saída quando habilitados, e o filtro de fusão conjunta não depende de os vieses serem zerados — ele converge também com um viés residual realista de grau átomos frios.

Limitações conhecidas#

• As execuções quântica e clássica agora usam sementes de RNG (gerador de números aleatórios) independentes (semente clássica = semente + 0x9e3779b97f4a7c15), de modo que suas realizações de ruído são não correlacionadas — corrigido após revisão.
• holdover_s reconhece segmentos: as linhas do tempo de interrupção são divididas em segmentos contíguos na reaquisição do GNSS, e o valor informado é a pior navegação livre (a mais curta) entre eles. Ele continua limitado pela resolução da grade de tempo (um limite inferior).
• A ressincronização da transferência de tempo ISL modela a incerteza residual do enlace como uma nova oscilação de média zero a cada passo de medição, mais reancoragem no intervalo configurado.

Afirmações versus realidade — referência rápida#

A lista de verificação de um revisor hostil. Para cada termo que possa ser lido como mais do que é: o que o Kshana faz hoje e onde fica a versão real no roteiro.

Verificações cruzadas dos artigos de PNT lunar (evidência de regressão, não linhas da matriz)#

A suíte lunar/cislunar (as capacidades "Lunar & cislunar" e "Lunar PNT suite" no README) tem suas afirmações de artigos publicados verificadas de forma cruzada e independente em tests/validate_p*.rs, cada uma contra uma referência independente de uma implementação diferente:

• pegada orbital de transmissão/captura contra scipy.special.j1 (Bessel J1 do Cephes);
• DOP da geometria de faróis de superfície contra uma solução (HᵀH)⁻¹ independente em NumPy;
• crescimento do erro de previsão por persistência de UT1/EOP contra uma nova leitura em NumPy das mesmas linhas literais de finals2000A do IERS;
• família plana de órbitas retrógradas distantes contra o Three-Body Periodic Orbit Database da NASA/JPL;
• orçamento de precisão de medição de distância por RF contra uma referência de primeiros princípios.

As fixtures e os scripts geradores de referência independente ficam em tests/fixtures/{p1_footprint,lunar_service,eop_prediction,rf_ranging_precision,dro_family_jpl,p2_independent_dop}/. Eles reforçam a evidência por trás de capacidades que permanecem MODELLED na matriz verificada por máquina (src/verification.rs); são verificações de regressão, não novas linhas VALIDATED da matriz, de modo que não alteram, por si mesmas, a contagem da matriz verificada por máquina. Essa contagem não é reproduzida aqui, porque uma cópia digitada à mão dela se desatualiza: a divisão atual é o cabeçalho gerado de VERIFICATION-MATRIX.md, que gen_validation_artifacts escreve a partir de verification_matrix() e tests/verification_artifacts_doc_sync.rs fixa.