由模型计算得出的能力：依据
这些能力依据已发表的或第一性原理的物理实现并带有测试，但如实标注为MODELLED：没有对照独立的外部参考基准、在所述容差内核对过。矩阵不变量测试强制要求只有以ExternalDataset为支撑的行才可以是VALIDATED，因此这里没有任何一行可以被悄悄升级。每一行都说明了它为何仍属于由模型计算得出。
| 要求 | 能力 | 参考基准类型 | 为何仍属于由模型计算得出 | 模块 | 测试 |
|---|---|---|---|---|---|
| 太阳临边昏暗的太阳辐射压地影（可选） | 以未被遮挡的临边昏暗太阳通量比例作为太阳辐射压受照比例（Eddington近似律I(mu)/I(1) = 2/5 + 3/5 mu，Gauss-Legendre求积），作用于球形或WGS-84地球（srp_shadow::limb_darkened_shadow，ShadowModel变体OblateEarthLimbDarkened） | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；没有外部参考：Orekit 12.2没有考虑临边昏暗的光照比。仅对照同一定律的闭式解核对过 | srp_shadow | srp_shadow::tests（环形闭式解、复现锥形阴影的均匀定律、全日照与本影极限） |
| Cowell力模型中的DE440太阳与月球（可选） | 面向数值Cowell ForceModel的三体和太阳辐射压项的可选星历层：来自任意EphemerisProvider（通过KernelEphemeris使用DE440 SPK核文件）的地心太阳与月球，取TDB = TT + (TDB - TT)，拒绝无法为该历元提供服务的提供者，并统计任何回退到解析级数的次数；默认关闭 | ExternalDataset | 某个子论断经过外部核对，但整个能力由若干由模型计算得出的部分组合而成，因此该能力仍属于由模型计算得出：Orekit 12.2（Apache-2.0）NumericalPropagator/DormandPrince853，带ThirdBodyAttraction和SolarRadiationPressure，使用Orekit自己的DE440读取器（orekit-data lnxp1990.440），作为独立程序运行；kshana读取的是NAIF de440s.bsp的逐位一致、经SPICE核对的一个截取片段。判据已预先登记于xval/propagator-de440-orekit/PREREGISTRATION.md（22a5a01d）。轨道判据（0.5 m）和灵敏度对照达到了，但太阳/月球位置判据（3 m / 0.2 m）未达到，实测为6.39 m / 0.244 m。SPICE在精确的TDB读取同一内核时，与Orekit相差同样的量（6.25 m / 0.240 m），因此差距存在于NAIF的de440s路径与Orekit的DE440读取器或时间尺度之间；原因未能分离出来。已记录并固定，因此该行仍为MODELLED | propagator (ForceModel::with_ephemeris, ForceEphemeris), ephem_provider | tests/propagator_de440_orekit_oracle.rs（5个用例 × 24 h内每小时25个状态，LEO、GEO和HEO，三体以及三体 + SRP：最差 |dr| 0.0170 m，|dv| 1.84e-5 m/s；解析级数对照的偏差为9.96 m；相对Orekit的DE440位置，太阳6.39 m、月球0.244 m，为已记录的未达到）；propagator单元测试（提供方拒绝、跨克隆共享的回退计数） |
| S1大气潮汐（可选） | 作为位势摄动的日周期S1气压潮：Biancale与Bode（2006）的模型N1，2至6阶，通过IERS 2010式6.21的负荷公式（tides::atmospheric_tide_s1、s1_air_tide_acceleration），可在Cowell和精密力模型上选用（air_tide_s1，默认关闭） | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；对于地球位势效应没有外部参考。24个系数转录自GFZ STR06/01表1模型N1，并已逐行对照该报告重新核对（SHA-256 890865ae）；不使用0、1、7和8阶。Ray和Ponte（2003）没有印出球谐表，因此没有比较第二个来源 | tides, propagator, precise_od | tides::tests（S1项为周日项，四分之一天转过90度，且具有各行的负荷因子振幅；LEO处的物理量级）；propagator::tests::the_s1_air_tide_flag_adds_exactly_the_s1_acceleration |
| 高阶球谐重力（EGM2008至2190） | 对至2190阶的全归一化场做防下溢、防极点奇异的求值（SphericalHarmonicField::acceleration_hf / potential_hf，Holmes-Featherstone 2002改进前向列递推，梯度不含1/cos phi），流式ICGEM .gfc加载器（from_gfc_file / from_gfc_reader；完整的EGM2008在运行时获取，不随附），以及可在可选启用的Cowell Geopotential上选用的Holmes-Featherstone求值器 | ExternalDataset | 某个子论断经过外部核对，但整个能力由若干由模型计算得出的部分组合而成，因此该能力仍属于由模型计算得出：Orekit 12.2（Apache-2.0）HolmesFeatherstoneAttractionModel和pyshtools 4.14.1（BSD-3-Clause）MakeGravGridPoint，作为独立程序运行；判据已预先登记于xval/high-degree-gravity/PREREGISTRATION.md（276c869f）和xval/cowell-tesseral-200-orekit/PREREGISTRATION.md（0aa312a6）。Orekit在其有定义之处全部一致，但pyshtools在两个近极点处未达到其预先登记的判据（最多7.3e-10 m/s^2；一次50位的mpmath核对表明误差在pyshtools一侧），正好位于极轴上的点没有参考基准值，且24 h轨道预先登记的70阶灵敏度对照未达到（0.726 m，而判据为 > 1 m）。每次未达到都已记录，而不是被调参抹去，因此该行仍为MODELLED | gravity_sh, propagator (FieldEvaluator) | tests/gravity_sh_high_degree.rs（Orekit在8个离轴点：N = 70时最大 |da| 为2.2e-17 m/s^2，始终运行；N = 200、360、2190时分别为3.5e-17、3.9e-17和7.3e-17 m/s^2，受KSHANA_EGM2008_GFC数据控制）；tests/cowell_tesseral_200_orekit_oracle.rs（24 h的200x200轨道，受数据控制：最差 |dr| 0.1317 m，|dv| 1.45e-4 m/s；70阶对照0.726 m）；gravity_sh单元测试（70阶时与经典求值器一致到1e-13，2190阶场上的有限差分和极点连续性，一个下溢的2190阶项对照扩展指数计算） |
| 带测站遮蔽的测距速率与方位/俯仰批处理定轨 | 对高于仰角遮蔽的测距、测距速率和方位/俯仰混合跟踪数据，用Gauss-Newton法在H = (dh/dx(t)) Phi(t, t0) 上恢复历元状态：解析的测量偏导数，以及带解析二体 + J2偏导数的变分状态转移矩阵（RK4积分，而非闭式STM） | ExternalDataset | 某个子论断经过外部核对，但整个能力由若干由模型计算得出的部分组合而成，因此该能力仍属于由模型计算得出：Orekit 12.2（Apache-2.0）BatchLSEstimator，带自定义的瞬时几何RangeRate和AzEl测量（与Orekit的TopocentricFrame交叉核对），作为独立程序，在相同的、经掩模的、带随机种子的观测上运行。判据已预先登记于xval/od-measurements-orekit/PREREGISTRATION.md（0cf9076）。除B4（无噪声状态一致性1 cm）外每项判据都达到了，该项在4个场景中有2个未达到（1.46、1.74 cm）：Orekit自己的无噪声估计与其模拟真值相差这么多（Orekit一侧的原因未能分离出来）。已记录并固定，因此该行仍为MODELLED。未建模：光行时、光行差、折射、地球自转，以及针对这些测量类型的序贯滤波器 | orbit_determination (determine_orbit_batch_tracking, propagate_with_stm, is_visible), batch_ls (gauss_newton_analytic) | tests/od_tracking_measurements_reference.rs（8个场景：测距率、方位/仰角和混合，LEO和MEO，无噪声以及带随机种子的sigma 5 m / 5 mm/s / 1e-4 rad，5度和10度掩模，对照Orekit 12.2：可见集合一致；测量值在5.84e-8 m、6.30e-10 m/s、1.44e-13 rad之内；STM相对误差在1.2e-14之内；含噪状态在1.74 cm和1.14e-5 m/s之内；各类型拟合后RMS的相对误差在2.7e-4之内；无噪声kshana对照真值1.06e-8 m；无噪声kshana对照Orekit在两个场景上为1.464和1.740 cm，是对1 cm判据的已记录未达到）；orbit_determination和batch_ls单元测试 |
| SP3精度码观测加权 | 将SP3精度码（头部 ++ 指数，以2^n mm计，%f基数，逐记录的 基数^n mm标准差）映射为精密定轨引擎中每条观测的位置sigma（sp3::parse_sp3_accuracy、Sp3Accuracy::position_sigma_m） | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；没有外部参考：权重是一种建模选择（SP3格式只把该代码定义为生产者的精度指示符；这里将其读作每轴的一倍标准差）。现有已记录的机构运行不变 | sp3, precise_od | src/sp3.rs单元测试；tests/agency_galileo.rs::galileo_e11_sp3_accuracy_weighted_fit（已提交的8 h ESOC测试夹具，由头部指数5得sigma 0.032 m：Tier-1 3D RMS 0.132 m不变，Tier-2为0.035 m，对照sigma 1 m时的0.070 m，变化来自重新平衡的经验先验约束）；tests/agency_swarm.rs（Swarm产品不带精度代码并回退，已固定） |
| 为天体附加已发布的重力场 | with_gravity_field（位于Body上，在src/gravity_pds.rs中）：把任意已加载的球谐场（例如GMM-3或GL0660B）附加到Body，使传播器在本体固连系中对其求值；需选择启用，默认天体不变 | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；仅为内部自洽。每个已发表的场都定义在其生产者的体固系中（GMM-3在Konopliv等人2006的火星坐标系中，GL0660B在DE421月球主轴坐标系中），而该场在IAU坐标系中求值；这一偏移未建模 | gravity_pds, body, propagator, mars_frame | tests/planetary_gravity_pds.rs::a_shadr_field_attached_to_a_body_drives_the_propagator；gravity_pds::tests::with_gravity_field_is_opt_in |
| GPS LNAV之外的导航电文编码器（GPS CNAV、Galileo I/NAV和F/NAV） | GPS CNAV电文类型10/11/30、名义偶/奇页中的Galileo I/NAV字类型1-5，以及Galileo F/NAV页类型1-4：ICD字段打包与量化、CRC-24Q、码率1/2 K=7卷积编码（Galileo的G2取反）、块交织与同步码型，并配有匹配的测试解码器 | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；仅有内部往返和ICD已知答案；没有运行过任何第三方解码器（读取KSHANA_NAVMSG_ORACLE_JSON的RTKLIB/GNSS-SDR测试装置受数据控制）。MODELLED | gnss_navmsg (gps_cnav, gal_inav, gal_fnav, fec) | gnss_navmsg::tests（CRC-24Q校验值0xCDE703；卷积码冲激响应；Viterbi纠正注入的错误；布局宽度）；tests/gnss_navmsg_roundtrip.rs（字段起始比特等于ICD的比特编号；编码 -> FEC ->交织 -> Viterbi ->解码往返误差在半个LSB之内）；tests/gnss_navmsg_galileo_brdc_grid.rs（IGS BRDC 2018-133的Galileo记录落在LSB网格上，最差3.6e-3 LSB；预先登记的卫星数判据未达到，20颗中有15颗，发现） |
| 真实RINEX观测上的Hatch载波平滑码 | 精密单点定位组件中的无发散Hatch滤波器（以无电离层载波平滑无电离层码，窗口N个历元，在失锁、几何无关跳变或间断时重启） | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；对照已发布的ITRF2020 WTZR坐标的发现：预先登记的判据（平滑后的中位数和p95至多为原始值的0.6倍；tests/fixtures/gnss_wettzell_2025055/PREREGISTRATION_HATCH.md）未达到，比值为0.718和0.923；残余的米级误差属于偏差类（C1C码偏差、天线、潮汐、长周期多路径），而不是平滑所能消除的白噪声。MODELLED：滤波器的统计量只在内部核对 | hatch (HatchFilter), pvt (assemble_epoch_precise_smoothed, CarrierSmoother) | hatch::tests（无噪声直通；白噪声方差1/(2N-1)；重启）；tests/hatch_wettzell_oracle.rs::hatch_finding_is_pinned（WTZR 2025-02-24 01-06 h，600个历元，N = 100：3-D误差中位数1.553 -> 1.116 m，p95 3.473 -> 3.207 m） |
| RINEX 4观测文件读取 | RINEX 4.0x观测文件头（DOI、LICENSE OF USE、STATION INFORMATION、MERGED FILE；对版本4及以后，标签在第61-80列匹配）和历元记录 | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；在一份真实发布的RINEX 4.00文件上做格式一致性检查（读回的值等于文件中印出的字面值），以及由规范导出的头部；没有运行独立的读取器，因此为MODELLED | rinex_obs (parse_obs) | tests/rinex4_obs_mao0.rs（IGS MGEX RINEX 4.00文件MAO000USA_R_20231980000_01D_30S_MO的前4个历元，58颗卫星，7个系统：头部记录和首历元的值等于已发布的字面值）；rinex_obs::tests::parses_a_rinex_4_header_with_its_new_records（由规范得到的合成4.02头部） |
| BeiDou GEO广播卫星位置 | BDS-SIS-ICD-B1I v3.0 §5.2.4.12由广播星历得到的地球静止卫星位置（类惯性系，再经Rz(Ω̇e·tk)·Rx(−5°)），通过NavParseOptions的include_beidou_geo字段选择启用，因此默认读取器仍跳过GEO | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；已针对带GEO的IGS MGEX精密轨道预先登记（7aa264b、110fef9）；构建它的会话无法获得这类产品，因此比较尚未进行，该行为MODELLED（仅对照已发布的名义GEO轨位核对过） | rinex (RinexEphemeris::sv_position_ecef_bds_geo, NavParseOptions) | tests/bds_geo_broadcast_oracle.rs（真实的C01-C04记录：地球静止轨道半径，经度在已发布轨位处为140.02/80.04/110.55/159.99度，带倾角时 |纬度| 为2.13度，不带时为6.65度；预先登记的广播星历对精密SP3的比较受KSHANA_BDS_GEO_SP3数据控制，尚未运行）；rinex::tests |
| 带浮点模糊度的载波相位紧耦合GNSS/INS | 基于15个INS状态、一个双状态接收机钟以及每颗被跟踪卫星一个浮点载波模糊度的误差状态EKF；伪距、载波相位和可选的距离变化率来自SGP4 Walker星座（含光行时与Sagnac效应），Klobuchar与Saastamoinen/Niell改正在滤波器自身位置处于环内施加；基于时间差分载波的周跳检测，每颗卫星的阈值随速度不确定度放宽；周跳和重新捕获时重新初始化模糊度 | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；仅为内部自洽：测量量由滤波器所用的模型合成（跨随机种子的 χ² NEES/NIS、无噪声收敛、周跳注入）。MODELLED；没有与真实接收机数据或第三方滤波器比较 | fusion::carrier_tc (run_carrier_tc, CarrierTcCfg), fusion::trajectory (truth_epochs) | tests/fusion_carrier_tc.rs（8字形行驶：在相同测量上，稳态3-D RMS载波为0.025 m，对比码为0.470 m；12个随机种子的平均NIS/自由度1.00，稳态NEES/自由度0.92；一次1周的周跳在其历元被检出，没有虚警，解保持完好；关闭广播修正会使码误差从0.51 m升至19.6 m（电离层）和8.0 m（对流层）；无噪声运行收敛到0.3 mm） |
| 带紧耦合选项的GNSS/INS海事、铁路和航空场景包 | 轨迹库上的三个gnss-ins场景（一艘以8 m/s蛇行的船舶，含五分钟中断；一列穿过双卫星路堑和隧道的列车；一架中断期覆盖25度倾斜转弯的飞机），以及该场景包可选的 [tight] 表：由闭环导航器融合SGP4 Walker星座的伪距，名义情况下使用遮蔽角以上的每颗卫星，降级情况下使用最高的几颗 | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；内部：每个包的性能指标对照其自身真值，以及在相同输入上的松/紧耦合比较。MODELLED；审计中的NaveGo比较尚未运行 | fusion::pack (TightCfg, [tight]), scenarios gnss-ins-maritime / gnss-ins-rail / gnss-ins-aviation | tests/gnss_ins_packs.rs（每个包：两种传感器在中断期间融合结果都优于自由INS；铁路：中断期间导航级紧耦合5.3 m对松耦合12.9 m，战术级15.6 m对18.8 m，可用性0.97对0.95；紧耦合表经独立核对）；tests/gnss_ins_legacy_trajectory_pin.rs（松耦合默认值逐位一致） |
| 融合包中带偏差状态的耦合伪距PNT滤波器及3-D扩展 | 一个覆盖位置、速度、钟相位和频率的堆叠Kalman滤波器，输入同时耦合位置与钟差的伪距（带互协方差的Joseph形式更新）；一个增广了常值加速度计偏差状态的1-DOF变体，融合包在 [coupled] 下运行它；以及带视线行的3-D 8状态版本 | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；仅为内部自洽：真值由滤波器自身的模型模拟而来（跨蒙特卡罗随机种子的 χ² NEES，在相同传感器上的解耦包）。MODELLED | fusion::coupled (CoupledPntFilter, CoupledPntBiasFilter, CoupledPnt3d), fusion (run_coupled_suite), hybrid (CoupledCfg) | tests/fusion_coupled_filters.rs（60个随机种子的3-D滤波器：对8个状态，后半段平均NEES为8.12，最后历元的 χ² 之和位于其95 % 区间内；一次0.1 ns的钟差固定使3-D位置sigma从5.58 m降到3.07 m；60个随机种子的偏差滤波器：χ²(5) 之和在区间内，60次中有59次偏差在3个sigma之内；带有偏置加速度计的fusion-pnt-coupled：耦合时位置p95为18.7 m / 90.0 m，完好性为1.00 / 0.97，解耦时则为430 m / 4060 m和0.006 / 0.000）；fusion::coupled::tests；tests/fusion_coupled_pack.rs（不带 [coupled] 的fusion和hybrid逐位一致） |
| GNSS/INS轨迹库与CSV真值导入 | 供gnss-ins场景包选用的运动剖面（直线、8字、城市走走停停、飞机爬升与协调转弯、测绘无人机），由欧拉角速率和沿轨加速度指令定义，并以运动学IMU（向心、重力和科里奥利项）在真值状态上闭合，导入的CSV真值则被转换为能复现它的IMU；未给定剖面时，原有的驾驶轨迹保持不变 | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；内部：刚体运动学恒等式、CSV往返和滤波器自身的协方差。MODELLED（没有与真实行驶日志比较） | fusion::trajectory (TrajectoryCfg, Trajectory, kinematic_imu, parse_truth_csv), fusion::pack ([trajectory]) | fusion::trajectory::tests（协调转弯没有侧向力，载荷系数为1/cos φ；CSV导入以1e-3 m/s和1 m复现一条飞行剖面）；tests/gnss_ins_trajectory_library.rs（每个剖面都能运行，且在中断期间融合结果优于自由INS；每个都飞出其所命名的运动；航向可观测性：240 s之后的偏航sigma，直线巡航为1.27度，8字形为0.039度，走走停停为0.062度）；tests/gnss_ins_legacy_trajectory_pin.rs（旧结果和真值哈希逐位一致） |
| 地月CR3BP 9:2 NRHO对照CAPSTONE实际飞行的轨道 | cr3bp::differential_correct_halo所修正的圆形限制性9:2 L2南向近直线晕轨道（Gateway与CAPSTONE轨道族），就其平均几何（周期、近月点半径、远月点半径）与CAPSTONE实际飞行的轨道比较。这是对CR3BP成员描述真实轨道的程度的一次测量；CR3BP轨道不是星历模型轨道，也不逐历元比较 | ExternalDataset | 某个子论断经过外部核对，但整个能力由若干由模型计算得出的部分组合而成，因此该能力仍属于由模型计算得出：对照JPL Horizons重建的CAPSTONE星历（NAIF -1176，CAPSTONE_merged，以月球为中心的ICRF，2023-03-01..31，间隔10 min）进行测量，该星历逐字节提交（tests/fixtures/capstone_horizons/，NOTICE.md），在获取之前即已预先登记4e868170，作为对平均几何设有判据的测量。这不是独立核对：CR3BP省略了太阳、月球偏心率以及CAPSTONE实施的轨道保持，因此这些判据描述的是模型轨道的代表性如何，而不是精度。结果：docs/design/evidence/cap29d-capstone-nrho/RESULTS.md | cr3bp (differential_correct_halo, PeriodicOrbit) | tests/capstone_nrho_horizons.rs::cr3bp_nrho_matches_capstone_mean_geometry（CAPSTONE 2023年3月，4次近月点和5次远月点：周期6.5004 d对6.5699 d（1.07 %，判据3 %），远月点71,182对71,215 km（0.05 %，判据5 %），近月点3,385对3,245 km（4.1 %，判据20 %））；cr3bp::tests::reproduces_l2_southern_nrho_92_regime |
| 几何导致的位置误差：对引擎的最小二乘定位，RMS误差 = sigma_UERE x DOP | dop_error_mc::run_geometry及其检查：对引擎自身的迭代最小二乘定位（pvt::solve_spp，单位权重，自真实位置起解算）做带随机种子的蒙特卡罗（每种几何N = 20,000个历元，sigma = 1.5 m，ChaCha8种子36 + i），在tests/fixtures/dop/dop_reference.csv的8种几何上，比较东、北、天向和钟差的误差方差、H/V/P RMS、东北相关性、平均误差，以及落在95 % 水平椭圆内的比例，椭圆由sigma^2 Q给出，其中Q为orbit::dop核的协方差因子（orbit::dop_cofactor，同一运算），取自同一几何 | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；对照闭式解的内部自洽：在线性高斯模型下，最小二乘协方差为sigma^2 (H^T H)^-1（Kaplan和Hegarty编，Understanding GPS: Principles and Applications，第2版，Artech House，2006，第7章）。方法与容差取自0.36几何设计说明第5.2节，并在首次运行之前固定在一次预先登记提交中：每个方差在5 % 之内（N = 20,000时为样本方差的5个标准误），每个RMS在2.5 % 之内，东-北相关系数在0.035之内（5/sqrt(N)），每个均值在5个标准误之内，95 % 椭圆比例在0.95 +/- 0.0077之内（5个二项标准误）；负对照（PDOP加倍；误差按1/sin(仰角) 增长而对照未加权的Q）必须失败。组成方式：Q是orbit::dop核算的协因数，已在tests/dop_reference.rs中针对这同样的8种几何，对照gnss_lib_py 1.0.4达到VALIDATED（'GNSS geometry / dilution of precision'一行）；本行增加的是从这些因数经引擎求解器到米的这一步，并不借用那一行的状态。为何为MODELLED：不涉及外部数据集；一致只表明估计器和噪声在教科书模型下实现了sigma × DOP，而不表明任何接收机的误差等于UERE × DOP，且sigma_UERE是输入 | dop_error_mc (run_geometry, check, TOLERANCES); dop_error_ci (run, GEOMETRIES); pvt (solve_spp); orbit (dop, dop_cofactor) | tests/uere_dop_monte_carlo.rs（position_error_is_sigma_times_dop_on_the_gnss_lib_py_geometries：预先登记e50c88d2之后首次运行，全部104项检查通过，最差方差3.2 %，RMS 1.6 %，相关系数0.012，均值2.2个标准误，椭圆比例0.0039；negative_control_a_doubled_pdop_fails_every_geometry；negative_control_elevation_dependent_errors_fail_the_low_elevation_geometries：两项对照均按要求失败；position_error_is_sigma_times_dop_on_masked_skies：设计说明中的两个带遮挡天际线的几何，即10sat-mixed天空在城市街道（4颗卫星，PDOP 16.6）和集装箱码头（9颗卫星，PDOP 2.5）预设下，预先登记03999c11之后首次运行，全部26项检查通过，tests/fixtures/dop/PREREGISTRATION-MASKED.md）；tests/position_error_dop_ci.rs（先做的一项单独检查，针对四种手工选定的天空（开阔、聚集、峡谷、半天空；sigma 1 m，随机种子0x0D0B5EED），以卡方置信区间在20项检查上总计1e-6：比值0.987至1.009，求解器自身的PDOP/GDOP与核算结果在2.5e-12之内相等，并对10 % 的DOP误差和1/sin(仰角) 误差设有负对照；运行在预先登记之前，因此只作报告，不属于预先登记）；dop_error_mc::tests；dop_error_ci::tests |
| 几何感知的信任分类：接收机信任度评分旁的卫星几何，以及每项扣分的类别 | receiver_trust::geometry：逐历元的卫星几何（良好；降级，原因为few-satellites/high-pdop/high-hdop/sky-blocked；或在日志没有GSV、NAV-SAT或GSA时为未知），由所报告的仰角和方位角经orbit::dop推导，或取自GSA，并始终报告一个不计分的标签（good、fair、poor、unknown），以及用文字表述的HDOP、PDOP、VDOP、卫星数和信号丢失；一个船舶评分几何监视器，除非几何较差（比值max(hdop/4, pdop/6, 5/n_used) 高于1）否则不扣分，随后在1.5处线性升至15分的上限，仅凭几何不能使评分低于降级区间（上限、升坡终点和下限位于 [geometry]；无告警）；每项扣分带一个类别（几何、环境、不一致），其中对低于15度卫星的失锁归为几何，视野内但未被跟踪的卫星归为环境，而若某项较差几何扣分所述的HDOP与由所述天空推导的HDOP相差超过max(1.0, 25 %)，则归为不一致 | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；内部自洽：分类依据其所述规则，以及对已提交演示日志的合成编辑所手工推导的比值进行核对，且无变化固定值保持0.35.0的输出：除非几何较差，否则不会改变任何得分；标签始终会被报告。为何为MODELLED：阈值是选定的，而不是拟合的（出处见每次运行的geometry_model；IEC 61108-1和GPS SPS的数字按所引用的采用，有待对照标准文本核对），也没有外部带标注的、对照攻击的自然几何劣化数据集可供验证该分类。导出的DOP复用orbit::dop核算，该核算已针对gnss_lib_py达到VALIDATED，其状态本行并不借用。几何的一个类别是对天空的陈述，而不是未发生攻击的结论 | receiver_trust (geometry: GeometryTracker, geometry_ratio, sky_ratio, geometry_points, GeometryLabel; score: DeductionClass, score_with; monitors; live); telemetry (sample, prometheus, syslog, otlp) | tests/natural_degradation_trust.rs（a_stated_skyline_reads_the_fjord_as_geometry：在scenarios/training/fjord-natural-degradation.toml的合成峡湾航段上，无论有无所述的 [skyline]，被扣分的都是同样的624个历元；有它时，sky-blocked在680个历元上被报告（无它时为0：方位角空隙回退在两侧都有岸壁的峡湾中什么也看不到），open_fraction为0.758，环境类历元从78降到33，其余是所述天际线让其处于开阔处的卫星的丢失；事件之外，天际线不改变任何得分）；receiver_trust::geometry::tests（阈值处手工推导的比值、阈值边缘、斜坡和上限、下限、标签边缘、[geometry] 覆盖、经独立核对的核算上的DOP、保持和过期的天空、未知而不猜测、信号丢失、较差几何的容差、无定位解的哨兵值）；tests/geometry_trust.rs（一个一般的带遮挡天空被标注而不计分、一个较差的带遮挡天空、一次低仰角丢失、一次功率下降、一个伪造的HDOP、完全的信号丢失、较差几何期间的拖拽偏离、未知几何、会话覆盖、实时模式）；tests/geometry_trust_no_change.rs（两个示例会话在去掉追加的键之后与0.35.0逐字节一致）；tests/geometry_corpus_identity.rs（每个已提交的船舶NMEA语料，也包括作为仅GPS开阔天空的情形，以及船员训练场景：与0.35.0逐字节一致，只有poor历元例外，它们仅因几何扣分而不同） |
| 街道峡谷、扇区和地形归约为表 | skyline：街道峡谷的闭式解（截断角atan((h - a) / d)，其中d = (w/2) / abs(sin(az - s))，有限长度时两端开口）、顺时针且带回绕的锐边扇区，以及归约为表的地形点（含曲率下降量d^2/(2 * 4/3 R)）；天际线是它们与任意表的逐点最大值 | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；内部：闭式解对照手工计算的数值进行核对（某条所述街道的墙顶仰角、开口端条件、某个所述点的曲率下降）。没有外部参考基准：设计说明将这些简化界定为MODELLED，而Orekit的ElevationMask接受一张表，因此对行 'Azimuth-dependent skyline mask: visible set, azimuth and elevation, and DOP under the mask' 的比较，是把它们的360点表当作输入读入，并不对其进行核对 | skyline (Canyon::cut_deg, Sector::contains, TerrainPoint::elevation_deg, reduce_terrain, SkylineCfg::build) | skyline::tests (canyon_matches_hand_computed_wall_elevations; terrain_takes_the_curvature_drop; sectors_have_sharp_edges_and_wrap; a_preset_is_overridden_or_added_to_field_by_field; malformed_sections_are_refused) |
| 天际线预设（城市街道、港口进近、峡湾、集装箱码头） | skyline::PRESETS：四种具REPRESENTATIVE的几何，各附设计说明给出的尺寸和一行来源说明：city-street（一条峡谷，街道走向0 deg，30 m高的两侧墙体相距20 m，天线高1.5 m）、harbour-approach（扇区：朝海一侧在180 deg范围内开阔，码头建筑8 deg高、跨90 deg，防波堤3 deg）、fjord（地形：南北向水道两侧各1.5 km处有高出天线600 m的山壁，并计入曲率下降量）、container-terminal（扇区：朝陆一侧的半边为12 deg高的堆垛，在两个窄扇区内有35 deg和25 deg高的起重机吊臂）；可逐字段覆盖 | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；无：尺寸是选定并声明的，而不是对任何街道、港口、峡湾或码头的测量（街道的纵横比在Oke（1988）的0.5-2区间之内；峡湾的量级与挪威西部的峡湾相当；堆垛采用ISO 668高箱的高度）。该测试对照预设自身所述的尺寸进行检查，这是一种转录核对，验证规则不将其计入 | skyline (PRESETS, preset, preset_list) | skyline::tests (presets_carry_the_note_dimensions_and_provenance) |
| 天空几何函数：可见性、DOP、协方差、误差椭圆、蒙特卡罗点云 | geometry（sky_geometry、sky_monte_carlo、skyline_presets、skyline_profile、skyplot_svg；命令行kshana sky和kshana skyline，同名的Python和WASM函数，MCP sky_geometry）：给定站点、时间和星座预设（或以方位角/高度角或ECEF给出的卫星），得出可见及被天际线遮蔽的卫星、GDOP/PDOP/HDOP/VDOP/TDOP、单位方差协因数 (H^T H)^-1和东-北-天坐标下的协方差（每个系统一个接收机钟，或共用一个），水平误差椭圆（半轴k sigma sqrt(lambda)，k = sqrt(-2 ln(1 - p))，自北起的方向角0.5 atan2(2 Q_EN, Q_NN - Q_EE)），以及在相互独立的高斯距离误差下n个带随机种子的最小二乘误差及其经验协方差、RMS和95 % 包含率。协因数即orbit::cofactor_from_los，它是orbit::dop和orbit::dop_cov背后的同一个核（dop是dop_cov的归约）：没有第二套DOP实现 |
ReferenceImpl | 对照本代码库内另一个独立实现进行了核对：独立于被测单元，但不具有外部权威性：单时钟DOP因数依赖于已针对gnss_lib_py 1.0.4核对的核算（行 'GNSS geometry / dilution of precision (DOP)'）；本行自身的检查是内部的：sky_geometry在同一几何上复现orbit::dop和dop_cov，椭圆复现解析的2x2特征分解，ECEF与方位角/仰角输入一致，带随机种子的点云的RMS和95 % 包含率与该几何一致。每个系统一个时钟的ENU协方差及椭圆在行 'Horizontal error ellipse and per-system cofactor from the geometry covariance'（numpy，P2）中为VALIDATED；这里仍为MODELLED的是其组合：向代表性天空的预设外推、蒙特卡罗点云（对照其所采样的几何核对，属于自洽性检查）以及各曲面。星座预设给出的是一个代表性的天空，而不是某个带日期的天空；高斯误差模型和UERE是所述的输入，不是实测精度，也不是完好性界限 | geometry; orbit (cofactor_from_los, dop_cov, dop); surface (sky_geometry, sky_monte_carlo, skyline_presets, skyline_profile, skyplot_svg) | geometry::tests (ellipse_of_an_analytic_two_by_two_case; sky_geometry_equals_orbit_dop_on_the_same_visible_set; ecef_input_matches_azimuth_elevation_input; one_clock_per_system_adds_a_state_and_costs_geometry; monte_carlo_is_seeded_and_agrees_with_the_geometry; presets_propagate_and_are_seen_from_a_site)；tests/dop_reference.rs（单时钟核算对照gnss_lib_py） |
| 无GNSS条件下的时钟守时（holdover） | 闭式滑行误差增长 + 守时至阈值；量子时钟类别 | ReferenceImpl | 对照本代码库内另一个独立实现进行了核对：独立于被测单元，但不具有外部权威性：多步clock_state协方差递推（同一代码库内的交叉核对）；其底层的滑行方差与守时反演核算已对照scipy进行外部核对（见 'Clock-holdover coast-variance & threshold inversion'）。各类别红噪声底的守时数字仍为MODELLED | holdover | holdover::tests (vs multi-step Kalman covariance recursion; white-FM exact; round-trip)；滑行方差核算在tests/gnss_denied_clock_holdover_reference.rs中经外部核对（对照scipy Van-Loan/brentq） |
| 实测时钟器件卡（留出集预测） | clock_library：器件卡（白相位、白噪声、闪烁和随机游走调频，外加线性频率漂移），在经过留痕的整理处理（去除间隙、相位离群值、相位阶跃、突发；记录频率阶跃）之后，拟合某一条具名实测时钟记录的三分之一，并以滞后1阶识别出的噪声类型自由度加权，再用其预测的阿伦偏差在留出的三分之二上评分；含RINEX和IGS钟差文件、BIPM各实验室文件以及Circular T第1节的读取器；把器件卡转换为时隙定时噪声模型、扩展卡尔曼时钟模型和欺骗干扰监测器的噪声水平 | ExternalDataset | 某个子论断经过外部核对，但整个能力由若干由模型计算得出的部分组合而成，因此该能力仍属于由模型计算得出：实测记录，已保留封存：IGS最终组合的30 s钟差，涉及11颗GPS Block IIF卫星，时段为2026-03-01至14日（此前没有任何测试打开过的窗口；IGS，开放，需署名）以及JammerTest 2024的u-blox ZED-F9P接收机在其不计分的静止时段（GPL-3.0-or-later）。D9外部比较（预先登记2ec76864，每张卡片的预测/实测阿伦偏差在其拟合平均时间上位于 [1/1.5, 1.5] 之内），一项发现（仍为MODELLED）：11张GPS IIF卡片中有10张在判据之内；G27在两小时尺度上偏乐观（7680 s处为0.662，最差倍数1.510），这是幂律卡片所不具备的小时尺度周期性误差。接收机TCXO卡片被阻塞：在已记录的发射之外，该数据集的其他时段只剩167个历元，而所需为3600个。已报告，但不是盲测（记录已被先前的行打开过）：5071A铯钟卡片在判据之内（直至4096 s最差为1.070），OCXO卡片偏保守且在判据之外（128 s处为2.348；其噪声底在记录期间发生变化），而基于已发表的最短三个点拟合的Norcia锶钟卡片在两个计分点上在判据之内（1.291、1.405）。Galileo被动氢钟（无法获得免登录的Galileo最终钟差来源）和深空原子钟（仅有一个开放的在轨数值）被阻塞。D9第2轮，将ZED-F9P接收机TCXO作为一个模型类，用12个静态Wroclaw站14天的数据（Zenodo 6488497，CC BY 4.0；预先登记fb475550），一项发现：按登记的流程，12个站中有11个无法评估（RAIM拒绝了大多数无电离层组合历元），BX14失败；经披露的、使用修正后流程的重新运行（预先登记c9cc0d49）在11个盲测站中有1个通过（BX12，1.412；BX07为1.532，BX13为1.542，刚好在判据之外），因为来自间断30 s文件的单点接收机钟差不是一份干净的振荡器记录 | clock_library (card, condition, series), realdata::clk, allan (lag1_noise_id) | tests/clock_library_device_cards_oracle.rs (gps_iif_cards_reproduce_the_recorded_finding; receiver_training_is_blocked_by_the_epoch_minimum; non_blind_cards_are_reported; 预先登记2ec76864); clock_library::card::tests; clock_library::condition::tests; clock_library::series::tests; realdata::clk::tests; tests/clock_library_f9p_cards_oracle.rs (f9p_first_pipeline_reproduces_the_recorded_finding; f9p_corrected_pipeline_reproduces_the_recorded_finding; 受数据控制) |
| 带每圈项的实测GPS Block IIF钟卡（留出集预测） | clock_library::card::DeviceCard::fit_phase_periodic：器件卡带有每圈一次至四次的相位项（周期T/k，T = 43,082.05 s），与二次项一起，用最小二乘联合拟合一条实测卫星钟记录的三分之一，各项在预测阿伦偏差中的闭式贡献为4 A^2 sin^4(pi tau / P) / tau^2 | ExternalDataset | 某个子论断经过外部核对，但整个能力由若干由模型计算得出的部分组合而成，因此该能力仍属于由模型计算得出：实测记录，已保留封存：IGS最终组合的30 s钟差，涉及11颗GPS Block IIF卫星，时段为2026-04-01至14日（此前没有任何测试打开过的窗口；IGS，开放，需署名）。D9外部比较（预先登记fb475550，每颗卫星在每个拟合平均时间上预测/实测阿伦偏差均位于 [1/1.5, 1.5] 之内），一项发现（仍为MODELLED）：11张卡片中有9张在判据之内；G03（1.947）和G25（1.581）在60 s至2000 s之间偏乐观，因为它们保留封存的记录比其拟合的三分之一段噪声更大（G25保留封存的部分有16处缺口和29个相位离群值），这是时钟本身发生了变化，而不是缺少某个周期项。从预测中去掉周期项会使全部11张卡片失败（1.77至4.96），因此预测靠这些项来支撑 | clock_library (card) | tests/clock_library_periodic_cards_oracle.rs (periodic_cards_reproduce_the_recorded_finding; 预先登记fb475550); clock_library::card::tests (a_periodic_card_carries_the_sinusoid_a_power_law_card_cannot) |
| 星载时钟状态估计 | 3状态（相位/频率/漂移）Van-Loan卡尔曼时钟，Joseph稳定化 | ReferenceImpl | 对照本代码库内另一个独立实现进行了核对：独立于被测单元，但不具有外部权威性：filterpy 1.4.5 KalmanFilter（R. Labbe，MIT），其中F通过scipy.linalg.expm，Q通过Van-Loan 1978分块矩阵得到：这是一个独立的参考实现，复现了kshana完整的滤波器轨迹。跨实现一致性：时钟物理和阿伦校准并未经外部核对，因此仍为MODELLED。0.30外部比较，一项发现（仍为MODELLED）：在11颗GPS Block IIF卫星的IGS最终30 s钟差上（2025-08-17至30日），以前半段ADEV拟合Q，并在保留封存的后半段上给滤波器打分，滤波器在提前一步上是自洽的（0.906至0.971的历元落在其95 % 区间内，判据90 %），但在一小时上，11个时钟中有9个过于自信（0.486至0.829），并且有5个时钟的新息之和落在 [2.4, 3.6] 之外。每颗卫星拟合出的白相位噪声都为零，而小时尺度的误差（周期项、闪变FM）不在这个3状态模型之中。0.30第2轮，在2025-09-01至14日的全新保留封存IGS钟差上使用扩展滤波器（闪变FM以及每圈一次和每圈两次的状态）（预先登记4b1a841e），一项发现（仍为MODELLED）：一步和一小时的自洽判据在全部11颗卫星上都成立（0.948至0.988和0.907至0.996），但新息之和判据在G24（0.964）和G30（1.929）上对照 [2.4, 3.6] 失败。D9第3轮，即第2轮的扩展滤波器，在冻结的clock_library条件检测器之后调参和判据不变，在2026-04-01至14日的全新IGS钟差上（预先登记fb475550），一项发现（仍为MODELLED）：(a) 一步0.941至0.968和 (c) 三倍NIS均值2.641至3.549在全部11颗卫星上成立；(b) 一小时在G09（0.894）和G26（0.876）上对照0.90失败 | clock_state | clock_state::tests (analytic van-Loan Q; NEES; PSD positivity); tests/clock_state_reference.rs（完整的预测加更新轨迹：状态x和3×3协方差P，在1925步 / 4组参数上对照filterpy 1.4.5；最差 |relΔ| 2.8e-14）；tests/clock_state_igs_holdout_oracle.rs::three_state_filter_on_held_out_igs_clocks_finding（固定该发现）；tests/clock_state_ext_igs_fresh_oracle.rs::extended_filter_on_fresh_igs_clocks_finding；tests/clock_state_ext_igs_conditioned_oracle.rs::conditioned_extended_filter_finding（D9第3轮） |
| 时间传递误差预算 | 双向/TWSTFT（Sagnac）、GNSS共视、PPP；链路抖动→距离 | ExternalDataset | 某个子论断经过外部核对，但整个能力由若干由模型计算得出的部分组合而成，因此该能力仍属于由模型计算得出：Sagnac量值对照一个权威的已发表数值进行了核对：N. Ashby，'Relativity in the GPS'，Living Reviews in Relativity 6:1（2003），式1.29：向东沿赤道绕行一周累积207.4 ns（2ωA_E/c²）；kshana复现为207.386 ns。RTKLIB 2.4.3的geodist()（Takasu，BSD-2-Clause）独立佐证了这一点，它带有相同的2Aω/c² 几何。BIPM TWSTFT转发器/共视/PPP的复合预算没有外部参考基准，因此该能力仍属于由模型计算得出 | timetransfer, timetransfer_adv | timetransfer::tests (reciprocal cancellation; two-form Sagnac identity); tests/time_transfer_error_budgeting_reference.rs（赤道绕行一周的Sagnac = 207.386 ns，对照已发表的Ashby 207.4 ns，相差小于0.05 ns；另有Sagnac/geodist几何与由C源码编译的RTKLIB 2.4.3 geodist() 交叉核对） |
| 导航信号调制与码跟踪分析 | BPSK-R/BOC功率谱密度、谱分离系数 κ、Gabor带宽、DLL抖动、多路径 | ExternalDataset | 某个子论断经过外部核对，但整个能力由若干由模型计算得出的部分组合而成，因此该能力仍属于由模型计算得出：GPS C/A Gold码的互相关/自相关与独立的IS-GPS-200码生成完全一致（整数 ±65/−1/63）；BPSK-R(1)/BOC(1,1) 的功率谱密度形状与独立的scipy周期图一致。调制/SSC/DLL的闭式解（Betz 2001 / Kaplan & Hegarty）仍是解析的，因此该行仍为MODELLED，但码相关这一子论断经过外部匹配。0.30第2轮，对照Betz 2001和Hein等人2006的印刷数值（预先登记9f4f2ce8，半个印刷单位），一项发现（仍为MODELLED）：表1的全部45个频谱单元格、1 GHz的相关值、MBOC干扰数字以及图17的3个偏移中的2个一致；24 MHz的第一旁瓣、BOC(8,4) 图17的偏移，以及图18-21中每一个最坏情况多路径偏差（偏低11至15 %）则不一致。Kshana与对预先登记读法的独立NumPy评估一致，因此差距在于该读法或论文中某个未说明的细节；原因尚未查明 | navsignal | navsignal::tests (BPSK self-SSC = 2/3R_c; unit-area PSD; DLL); tests/nav_signal_modulation_code_tracking_reference.rs（GPS C/A Gold码互相关/自相关与独立的IS-GPS-200码生成整数完全匹配；BPSK-R(1)/sine-BOC(1,1) 的PSD对照独立的scipy周期图）；tests/nav_signal_betz_hein_published_oracle.rs (betz_text_correlation_values_over_1_ghz; hein_mboc_interference_improvements; finding_betz_side_lobes_and_multipath，已固定) |
| 量子惯性传感器性能 | 从第一性原理出发的冷原子干涉仪加速度计（k_eff·T²，QPN） | ExternalDataset | 某个子论断经过外部核对，但整个能力由若干由模型计算得出的部分组合而成，因此该能力仍属于由模型计算得出：已发表的CAI原始论文数值向量（Cheinet 2008传递函数；Peters/Freier灵敏度）：k_eff·T² 完全匹配，散粒噪声ASD是单边噪声底，与各已发表仪器相差在约2× 之内（真实器件带有高于量子噪声底的技术噪声）。这是一个区间，而不是相等。0.30第2轮（预先登记fcb9ac64），一项发现（仍为MODELLED）：仅含QPN的转动噪声对照实测的Gauguet等人2009图14的点，在三个被采纳的点上比值为0.695至0.788（工作点处为0.751），以0.5个百分点未达到预先登记的30 % 判据；QPN噪声底比实测噪声低21至31 %，这正是缺少激光和检测噪声的模型所预期的。梯度仪的组合与Janvier等人2022的QPN模型线相符（比值1.013至1.017，参考）。该实测检验无法分辨sqrt(2) 的组合误差；只有对比度不等的Janvier线才能 | inertial::quantum_imu | quantum_imu::tests (k_eff; Mach-Zehnder T²; Freier-2016 floor bracket); tests/quantum_inertial_sensor_reference.rs（传递函数 |H(ω)|、k_eff·T² 和散粒噪声ASD对照已发表的Cheinet 2008 / Peters / Freier数值向量）；tests/quantum_inertial_measured_qpn.rs (gauguet_finding_qpn_floor_sits_below_the_measured_noise，已固定；gradiometer_qpn_line_matches_janvier_model) |
| 量子惯性传感器的条纹模糊/动态范围 | Mach–Zehnder条纹模糊动态范围：2π 周期的条纹读出决定了最大无模糊比力a_max=π/(k_eff·T²)，而以分辨单元计的无模糊范围a_max/σ_a=π/σ_Φ 与光学标度因子无关：T² 的灵敏度增益恰好同步地消耗无模糊范围（询问时间以分辨率换范围，单元数则由读出相位噪声固定） | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；干涉仪条纹模型的自洽性：半条纹边缘、2π 周期的混叠结构，以及量程/分辨率之比中比例因子的抵消，都是对照引擎自身的Mach–Zehnder相位和灵敏度函数核对的闭式代数恒等式，属于内部自洽性检查，不是外部数据集，因此该行仍为InternalConsistency。MODELLED的理想三脉冲条纹模糊度；对无模糊量程没有波前像差或对比度损失的界限 | inertial::quantum_imu | quantum_imu::tests（a_max位于 ±π 半条纹边缘，量程按1/T² 缩放；在 [−a_max,a_max] 之内，折叠相位的恢复是精确的，在其之外则恰好混叠2·a_max；无模糊动态范围a_max/σ_a=π/σ_Φ 在两个差异很大的波长/T比例因子下完全相同；CaiAccelerometer的方法与自由函数一致） |
| 量子惯性航位推算的韧性 | 守时期间由偏置 + 标度因子 + VRW + 稳定性衰减合成的位置预算 | ReferenceImpl | 对照本代码库内另一个独立实现进行了核对：独立于被测单元，但不具有外部权威性：对双重积分的白加速度噪声做独立的numpy蒙特卡罗SDE积分（用一种真正独立的算法核对解析的VRW方差），外加针对偏置/比例因子项的Groves 2013已发表数值锚点；CAI器件的数字量化的是合作方的硬件，仍为MODELLED | inertial::quantum_imu (QuantumNavBudget) | budget_tests (bias vs AccelModel integrator; VRW vs analytic integral)；tests/quantum_inertial_dead_reckoning_reference.rs（VRW对照独立的numpy蒙特卡罗对白加速度噪声的双重积分，在6个滑行时间上最差偏差0.42%，在 ±3% 之内；偏置/比例因子对照Groves 2013的闭式值；守时往返） |
| 无GNSS条件下的压制干扰韧性 | 几何J/S链路预算、抗干扰C/N₀、逐卫星失锁 | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；抗干扰C/N₀ 链路预算公式与独立的numpy重新推导进行了交叉核对（共用同一个闭式解，因此属于InternalConsistency），外加对真实JammerTest-2024的C/N₀ 劣化表征。0.30第2轮，被阻塞（仍为MODELLED）：将实测的JammerTest 2024 C/N0下降与链路预算预测对照（预先登记6a66994b，在3 dB之内）没有进行，因为Bleik处F8.1天线的位置和指向，以及多频段1.6.4斜坡功率中L1所占份额，在测试目录或官方日志中均无记载 | jamming | jamming::tests (broadband_q_equals_the_spectral_separation_closed_form and cw_q_equals_the_spectral_separation_closed_form: the Q table, CW and narrowband 1, broadband and swept 2, pinned to the navsignal closed forms; a_cw_jammer_is_more_damaging_than_broadband_noise_at_equal_js)；tests/gnss_denied_jamming_resilience_reference.rs（FSPL/J-S/有效C-N₀ 对照对Kaplan & Hegarty §9.4链路预算的独立numpy重新推导；真实JammerTest的C/N₀ 单调下降，穿过25 dB-Hz阈值）；tests/jamming_jammertest_cn0_oracle.rs（已预先登记，被阻塞，未运行） |
| 欺骗干扰（spoofing）检测 | 时钟辅助 χ²、RAIM、AGC、SQM融合的逐历元安全性能指标 | ExternalDataset | 某个子论断经过外部核对，但整个能力由若干由模型计算得出的部分组合而成，因此该能力仍属于由模型计算得出：TEXBAT场景参数（Humphreys 2012）：属于表征，不是固定的数值向量。0.30外部比较，一项发现（仍为MODELLED）：在JammerTest 2024（Bleik；GPL-3.0数据）上，可观测量层面的监测器（时钟辅助卡方、RAIM、求解失败）在8个可评估的已发布欺骗干扰起始点中，没有一个在10 s之内发出告警（起始前窗口干净时，第一次告警出现在已发布时段开始之后10.2至39 s），并且有三个起始前窗口出现了来自时钟监测器的虚警（81、64和173个历元）。第一个可观测的影响是双频GPS跟踪的丢失，而不是RAIM不一致。已发布的起始点是分钟分辨率的时段开始时刻；它们先于射频采集，这是一种解释，不是测量。0.30第2轮，对照组织者官方的JammerTest 2024日志（秒级分辨率；预先登记6a66994b，使用经Hadamard标定、不带锁存的三状态时钟监测器），一项发现（仍为MODELLED）：在10个已记录的起始点中，监测器在4个上于10 s之内告警；在其余六个上，它晚了18至211 s，或在起始前发出时钟虚警（2.1.4处1次，2.3.15处85次）。D9第3轮（来自JammerTest设备其他时段的接收机卡片，预先登记2ec76864）被阻塞：训练历元为167个，而所需为3600个。D9第4轮和4b（噪声水平来自u-blox ZED-F9P模型类卡片，Wroclaw 2021，预先登记fb475550；4b为经披露的、使用修正后提取的重新运行，c9cc0d49），一项发现（仍为MODELLED）：在全部10个已记录的起始点上起始前虚警为零，且10个中有6个在10 s之内；2.1.1、2.3.5、2.3.10和2.6.1仍然偏晚（+211、+23、+18、+51 s），不受时钟噪声水平影响 | spoof, spoof_detect, spoof_monitors | tests/spoof_texbat_validation.rs（TEXBAT参数表征）；tests/spoof_detection_jammertest_oracle.rs::monitors_against_the_published_onsets_reproduce_the_recorded_disagreement（固定该发现）；tests/spoof_detection_jammertest_log_oracle.rs::engine_monitors_against_the_logged_onsets_reproduce_the_recorded_disagreement；tests/clock_library_tcxo_card_jammertest_oracle.rs (round_3_is_blocked_by_the_training_minimum; round_4_reproduces_the_recorded_finding; round_4b_reproduces_the_recorded_finding; D9) |
| 欺骗干扰下的授时保护级 | 最坏情况下未检出时间误差的闭式界 = 监测器下限 + CUSUM检测延迟期间的振荡器滑行 σ，以红噪声底区间的形式给出 | InternalConsistency | 对照其自身的闭式/解析恒等式进行了核对：能发现转录和系数错误，但不是外部参考基准；组合了经独立核对的基本单元（allan/holdover van-Loan，安全下限）；在JammerTest 2024场景2.1.1上标定（实测约1.01 ms的真实服务时间牵引，对比所声称的 ≤51 ns）。这是建立在经独立核对的部分之上的桥接，其本身不是外部核对。0.30外部比较，一项发现（仍为MODELLED）：在JammerTest 2024欺骗干扰场景中，在8个已检出的起始点中有3个，实测的未检出服务时间误差超过名义TPL：184.3对34.6 ns（2.1.4）、295.7对159.3 ns（2.3.5）、143.0对69.0 ns（2.3.11）；位于判据之内的五个中有三个是平凡的（一次被锁存的起始前虚警）。可能的原因：来自60 s标定且漂移噪声为零的滑行项，没有涵盖接收机TCXO在15至39 s内的频率漂移。实测误差是Kshana自己的单点时钟估计对照一条由其自身起始前估计拟合出的直线，因此即使一致，也不会是完全独立的。0.30第2轮，对照官方JammerTest 2024日志的起始点和实测的接收机时间误差（预先登记6a66994b），一项发现（仍为MODELLED）：在10个已记录的起始点中有4个，未检出误差超过漂移状态TPL（2.1.1处634.7对458.5 ns，2.3.5处232.6对16.2 ns，2.3.10处41.3对6.0 ns，2.6.3处218.6对47.4 ns） | tpl | tpl::tests（闭式参考基准 + CUSUM）；examples/tpl_jammertest.rs（JammerTest 2024真实欺骗干扰标定）；tests/tpl_jammertest_coverage_oracle.rs::tpl_against_measured_time_error_reproduces_the_recorded_disagreement（固定该发现）；tests/tpl_jammertest_log_oracle.rs::drift_state_tpl_against_the_logged_onsets_reproduces_the_recorded_disagreement |
| 替代/补充性PNT | 重力图匹配、地形参考（TERCOM/SITAN）、磁异常 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——IGRF-14系数；第一性原理匹配滤波器CRLB。实测场重力基准的场经过外部核对（行“由球谐模型合成重力异常”），但其导航结果没有外部参考基准 | altpnt, mapmatch, gravimeter, igrf | tests/alternative_complementary_pnt_reference.rs（地图匹配CRLB；IGRF-14磁场）；mapmatch::tests；gravimeter::tests；igrf::tests；tests/gravity_map_real_field.rs（在真实EGM2008 70阶场上进行的60分钟GPS拒止基准，已在xval/icgem-egm2008/ 中预先登记：匹配结果为3106 m，因此< 500 m的判据NOT MET，并作为未达到予以断言；而将70.6 km漂移缩小到十分之一的判据MET；另含带随机种子的地图误差蒙特卡罗）；altpnt::terrain::tests::emag2_format_grid_reproduces_the_synthetic_magnetic_channel与tests/emag2_real_grid.rs（受数据限制的EMAG2v3读取器，在一块真实裁剪区上运行；对其不声称任何导航结果）；tests/terrain_slam_rbpf.rs（联合地图估计，即FastSLAM式RBPF，对照已知地图的SITAN，在15 m相关地图误差下运行20个随机种子，已在xval/terrain-slam-rbpf/ 中预先登记：平均增益1.5%，20个中有10个更优，因此10% 与20个中12个的判据NOT MET，并作为未达到予以断言；在完美地图上无损害，MET） |
| 可复现性与软件保证 | 确定性、场景哈希、SBOM + 跨平台golden关卡 | ExternalDataset | 某一子声明经过外部核对，但整项能力由建模部分组合而成，因此该能力仍为建模级——SBOM符合官方CycloneDX 1.5 JSON Schema（及有效的SPDX标识符）——这是外部发布的标准，在整个依赖图上校验错误为零；FoM确定性／字节级可复现部分仍是固定的自洽性检查，因此该行保持MODELLED | report, scenario；CI（golden/determinism/SBOM） | tests/golden.rs, tests/determinism.rs, tests/cross_platform_golden.rs；tests/reproducibility_software_assurance_reference.rs（生成的SBOM在包含66个组件的完整发布依赖图上对照官方CycloneDX 1.5 JSON Schema校验，错误为零：默认 + python + wasm特性，不含开发依赖） |
| 机器学习射频损伤检测评估（13494） | 带标注的合成损伤语料库 + 与检测器无关的ROC/AUC/混淆矩阵/Pfa-Pmd测评框架；含泄漏防护、分层划分、分布偏移（域内对域外）的乐观性报告。可作为impairment-eval场景类型从命令行/绑定运行（scenarios/impairment-eval.toml） |
InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——闭式AUC界（Mann–Whitney）+ 完美参考基准检测器；语料为SYNTHETIC（以参数为依据，不是现场／IQ数据） | impairment_eval | impairment_eval::tests（AUC完美=1/相同=0.5/并列=0.125，ROC单调，融合>0.8，逐类层分离，泄漏防护，可复现语料，分布偏移标记乐观偏差）；dominance_demonstrators（可达 + 可复现 + MODELLED-not-VALIDATED + 乐观差距自洽） |
| 机器学习射频损伤乐观差距研究与仅依据ID的差距预测器 | 对已发表方法和学习型（逻辑回归/单隐层MLP）检测器的域内→域外AUC乐观性差距所做的受控合成研究：每类的标度律趋势（Spearman ρ 及对1−严重程度的斜率），以及仅依据域内诊断量估计该差距的岭预测器，按留一检测器法和留一类别法评分。可通过cargo run --release --example optimism_study复现 |
InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——手工推导的统计量对照闭式（双正态AUC Φ(d'/√2)、DeLong方差、含并列秩的Spearman、精确的OLS恢复）+ 留一法交叉验证，对照“预测均值”基线。语料为SYNTHETIC（以参数为依据，绝不是现场／IQ数据），乐观差距是合成到合成的严重程度偏移，并非从仿真到现场的结果 | impairment_study, impairment_ml, eval_stats | impairment_study::tests（逐类参考基准AUC≈1，学习所得乐观差距>0，网格形状 + bootstrap置信区间包住均值 + 缩放趋势为正，ID特征有限，差距预测器在留一检测器与留一类别两种交叉验证下均优于“预测均值” + 确定性）；impairment_ml::tests（logreg可分 + 确定性 + 损失下降，MLP解出线性模型无法解出的XOR + 带随机种子）；eval_stats::tests（bootstrap/DeLong/Spearman/岭回归对照闭式） |
| 量子与经典PNT的权衡及无GNSS条件下的韧性（13503） | 实测ADEV摄取（NNLS）、权衡表（授时/惯性守时 + 收益）、韧性随时间的包络；下限的注意事项随制品一并给出。可作为quantum-trade场景类型从命令行/绑定运行（scenarios/quantum-trade.toml） |
ExternalDataset | 某一子声明经过外部核对，但整项能力由建模部分组合而成，因此该能力仍为建模级——实测ADEV→PSD拟合（NNLS）核与scipy.optimize.nnls一致（tests/scipy_reference.rs / tests/quantum_vs_classical_pnt_trade_reference.rs）——这是独立的外部核；但权衡所得数值只是量化（绝不是验证）合作方的时钟／CAI，因此权衡本身仍为MODELLED，不带验证光环 | quantum_trade | quantum_trade::tests（ADEV往返恢复，NNLS非负性，底限警示存在／不存在，收益>1，单调包络 + 替代PNT界）；dominance_demonstrators（实测ADEV由数据驱动而非假定底限，假定类别会标记底限 + 警示，格式错误的曲线被拒绝，MODELLED-not-VALIDATED） |
| 空间天气环境与活动驱动的热层密度 | 太阳/地磁指数（按定义的Kp↔ap表）、Jacchia-1971外逸层温度，以及Jacchia 1971热层密度（SAO Special Report 332：静态扩散剖面，复现其表7，含周日、地磁、半年、季节-纬度和氦的变化），对照静态USSA76大气。可作为space-weather场景类型从命令行/绑定运行（scenarios/space-weather.toml） |
ExternalDataset | 某一子声明经过外部核对，但整项能力由建模部分组合而成，因此该能力仍为建模级——定义性的Kp↔ap表 + Jacchia-1971外逸层温度闭式（与已发布锚点相比相符到<1 K，tests/space_weather_reference.rs）；密度对照pymsis NRLMSISE-00（独立的NRL模型）加以表征：800 km处太阳周期的变幅为10.4倍，而NRLMSISE-00为13.6倍。0.30版修订：经标定的一阶活动因子被Jacchia 1971取代（默认场景在400 km处的密度4.176e-12 -> 6.929e-12 kg/m3；移除了reference_exospheric_temperature_k，新增了mean_exospheric_temperature_k）。0.30第2轮，实测TOLEOS CHAMP/GRACE/GRACE-FO加速度计密度（ESA Swarm DISC；预先登记20eed695），一项发现（仍为MODELLED）：在太阳极大期、非风暴时段，400至500 km的轨道平均值相差在2倍以内（CHAMP 2001 521/521，GRACE-A 2002 120/120，GRACE-FO 2024 526/547），但在2008年太阳极小期，Jacchia 1971的密度偏高约1.7倍（GRACE-A 412/544在2倍以内），因此该密度未经验证 | space_weather | space_weather::tests（Kp↔ap在网格点上精确 + 往返 + 单调，日Ap均值，外逸层温度对照已发布的太阳极小／平均／极大值 + 风暴增量锚点，密度在参考处为一，太阳周期变幅处于观测到的5–10× 区间，场景可复现 + MODELLED-not-VALIDATED + 超范围拒绝）；dominance_demonstrators（可达 + 可复现 + 物理温度 + MODELLED-not-VALIDATED）；tests/space_weather_density_accelerometer_oracle.rs::jacchia71_finding_is_pinned |
| 发射窗口与上升段几何（任务分析） | 二体发射方位角（sin Az = cos i / cos lat）、最小可达倾角、圆轨道速度、地球自转的向东增益、分支（dogleg）转面 Δv和每日发射机会，并且在给定历元与IERS finals2000A行时，给出绕真极的站点速度（launch::site_rotation_speed_at）。可作为launch-window场景类型从命令行/绑定运行（scenarios/launch-window.toml） |
InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——闭式球面三角发射几何对照已发布的算例锚点（Vallado，Fundamentals of Astrodynamics第4版，算法37发射方位角 + 第6章平面变更；tests/launch_window_ascent_geometry_reference.rs）。这些沿用了kshana所实现的同一闭式（已发布数值一致性／转录检查，InternalConsistency）；MODELLED二体，没有旋转地球速度三角形／上升段／阻力损失模型。0.30与Orekit 12.2（Apache-2.0）的外部比较，一项发现（仍为MODELLED）：几何相符到舍入误差（由158个算例中的关机方位角反推倾角，最差2.6e-15 rad；最小倾角、圆轨道速度和折线机动delta-v相符到3e-16），但在62.9度纬度处，地球自转的站点速度未达到预先登记的1e-6相对误差（为1.12e-6）。该差距按tan(lat) 增大，与Orekit地球坐标系中约5.8e-7 rad的极移极点偏移一致，而球面 ω·R·cos(lat) 忽略了它。该声明在运行前并未收窄，因此该行不能依据这次比较升级。0.30第2轮（预先登记71bebf63）：给定历元和IERS数据行，真极点站点速度（场景字段site_rotation_speed_true_pole_m_s）在四个经度的24个站点上与Orekit相符到1e-6以内（最差4.9e-8），但场景默认作为地球自转增益输出的无历元标称速度仍偏差1.12e-6，因此该行仍为MODELLED，待就默认输出作出决定 | launch | launch::tests（正东发射到达i=纬度，KSC→ISS = 教科书值45°，极轨 = 南／北，i<纬度不可达，465 m/s赤道增益，平面变更10° ≈ 1.34 km/s + 180° = 2v，每日机会数，场景可复现／MODELLED + 折线路径）；dominance_demonstrators（可达 + 可复现 + KSC→ISS 45° + MODELLED-not-VALIDATED）；tests/launch_geometry_orekit_oracle.rs::burnout_azimuth_reproduces_the_target_inclination_in_orekit；tests/launch_geometry_orekit_oracle.rs::earth_rotation_speed_gap_is_recorded_as_a_finding；tests/launch_geometry_orekit_oracle.rs::true_pole_site_speed_matches_orekit_at_a_fresh_epoch_and_longitudes |
| 弹道再入走廊（Allen–Eggers） | 指数大气中弹道再入的峰值减速度（与弹道系数无关）、峰值过载处的速度与高度，以及峰值加热速度。可作为reentry场景类型从命令行/绑定运行（scenarios/reentry.toml） |
InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——闭式Allen–Eggers解析再入，另外与scipy 1.18 solve_ivp（DOP853）对同一个仅含阻力的再入ODE做数值积分进行交叉核对（tests/ballistic_re_entry_corridor_reference.rs，36个算例，最差a_max相对误差2.9e-9）——这是数值积分对其自身解析形式的核对，因此仍为InternalConsistency，不是外部验证。MODELLED弹道式（无升力），无气动热／TPS——热流输出是速度，不是热流密度。0.30外部比较，一项发现（仍为MODELLED）：对照Stardust SRC再入重建（Desai和Qualls，NASA NTRS 20080008567），针对所印惯性再入状态（12.9 km/s，-8.2度，H 7200 m），Allen–Eggers峰值减速度为61.8 g，而最佳估计轨迹为32.89 g，为 +88 %，容差为15 %：恒定飞行路径角、无重力的解，使浅角、超逃逸速度再入的峰值大致翻倍。Stardust未携带加速度计，因此该重建是轨迹估计。0.30第2轮，受阻（仍为MODELLED）：积分得到的平面质点解（reentry::simulate_planar_entry，US76，平方反比重力，曲率）与Stardust和Genesis的最佳估计轨迹相符到15 % 以内（+11.3 %、+5.6 %），但这些最大值是机构的仿真输出，不是测量值，因此这只是交叉核对。加速度计比较（预先登记a94a283d）受阻于缺少Hayabusa2 REMM分析的可读副本（doi 10.57350/jesa.16） | reentry | reentry::tests（峰值g与弹道系数无关 + 物理g区间，随更陡的 γ／更快的再入而增大，峰值g速度 = V_e·e^(−1/2)，峰值热流速度 = V_e·e^(−1/6) 更快，峰值g高度符合物理且B越大越深，场景可复现／MODELLED + 退化几何被拒绝）；dominance_demonstrators（可达 + 可复现 + V_e·e^(−1/2) 比例 + MODELLED-not-VALIDATED）；tests/reentry_reconstruction_oracle.rs::reentry_overprediction_is_recorded_as_a_finding；tests/reentry_point_mass_reconstruction_oracle.rs::point_mass_peak_deceleration_matches_reconstructed_entries（仅为交叉核对）；tests/reentry_point_mass_accelerometer_oracle.rs（受阻，未运行） |
| LEO下行过境中的DVB-S2自适应编码调制 | 一颗卫星经过一个测站每次过境沿途的下行Es/N0（EIRP、自由空间损耗、余割律大气损耗、其他损耗、G/T、Boltzmann常数、符号率），每一步选取满足ETSI EN 302 307-1 V1.4.1表13准无误码门限加实现余量的最高效DVB-S2 MODCOD，该次过境的ACM数据量，以及在遮蔽角和最远距离处仍闭合的恒定编码基线。可作为acm-link场景类运行。示意性输入；MODELLED。 |
InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——内部自洽：由表5a的K_bch和帧长以闭式算出的频谱效率，与表13所印效率相符（对门限表的转录检查）；链路预算各部分与其闭式相符；选择对Es/N0单调并遵守余量；ACM传送的数据量至少不低于恒定编码。过境几何来自另行VALIDATED的视在过境预测器。不包括的内容：尚未与任何外部工具或实测链路比较；门限是标准的理想AWGN值，不是调制解调器的实际值；雨衰、沿过境的指向损耗和导频均未建模。 | contact_schedule (es_n0_db, select_modcod, fspl_db, atmospheric_loss_db, ccm_modcod, pass_capacity, AcmLinkScenario)；passes::predict_passes_apparent | contact_schedule::tests::modcod_efficiency_closed_form_matches_the_printed_table；contact_schedule::tests::modcod_selection_is_monotone_and_honours_the_margin；contact_schedule::tests::link_budget_pieces_have_closed_forms；contact_schedule::tests::acm_link_defaults_run_and_acm_beats_ccm |
| 带冲突消解的多卫星多测站地面接触调度 | 来自每次卫星-测站过境的候选接触及其ACM数据量；同一天线在其转换时间内要服务两颗卫星、或一颗卫星要同时向两个测站下行时的冲突；以各卫星积压量为上限的优先级加权交付目标；惰性边际价值贪心方案、先到先服务基线，以及在至多26个候选上的精确分支定界，并报告贪心的最优性差距。可作为contact-schedule场景类运行。示意性输入；MODELLED。 |
InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——内部自洽：精确的分支定界法在小型随机集合上与暴力枚举一致，每个方案均对照冲突规则核对为可行，贪心法从不优于精确最优解。不包括的内容：尚未与任何外部调度器或实际运行计划比较；接触窗口按整体处理（不拆分），积压量固定在窗口起点，超出固定周转时间的转向时间和星上存储均未建模。 | contact_schedule (conflicts, objective, delivered, schedule_chronological, schedule_greedy, schedule_optimal, ContactScheduleScenario) | contact_schedule::tests::conflicts_cover_turnaround_and_one_station_per_satellite；contact_schedule::tests::greedy_is_feasible_and_the_exact_solver_beats_or_ties_it；contact_schedule::tests::exact_solver_matches_brute_force_and_plans_are_feasible；contact_schedule::tests::exact_solver_declines_above_the_limit；contact_schedule::tests::contact_schedule_defaults_run_reproducibly；contact_schedule::tests::scenarios_reject_bad_inputs |
| 精打细算的单位覆盖成本 / ROI框架 | 在星座规模引擎之上的每百分点覆盖成本 + 每欧元覆盖ROI；每颗卫星的成本是调用方提供来源的低/标称/高区间（没有捏造的价格） | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——闭式成本算术对照手工推导值；这是对建模覆盖数字的经济学框架，不是报价，也不是经验证的成本模型 | frugal (over walker) | frugal::tests（手工推导的单位覆盖成本48/96=0.5，ROI比2.667，区间排序 + 零覆盖防护） |
| 漏检的完好性影响（情境感知HPL/VPL对告警限值） | 把未检出的欺骗/压制偏差映射为有效误差 → Stanford区域（可用/不可用/MI/HMI），对照特定情境的HAL/VAL（开阔天空对城市） | ReferenceImpl | 与同一代码库中的另一套独立实现核对——独立于被测单元，但不具外部权威性——组合了经外部验证的RAIM Stanford分类（raim::classify_stanford）；检测漏检→AL的映射本身是建模的，不是经认证的完好性分配 | integrity_impact (over raim) | integrity_impact::tests（随着情境收紧，同一次漏检会使Available→MI→HMI翻转；保守PL→Unavailable；逐轴HMI；输入防护） |
| CAI引用的误差模型参数表（13503） | 带区间（最佳/标称/保守）的冷原子干涉仪性能——偏置不稳定性、速度/角度随机游走、标度因数稳定性、受询问限制的采样率、条纹模糊动态范围——每项均可追溯到引用；供给QuantumNavBudget，而不对硬件建模 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——内部自洽：所引VRW区间对照CaiAccelerometer::accel_asd物理模型交叉核对，原始动态范围由条纹模糊极限算出；数值为MODELLED的文献调研区间（needs_source_confirmation），未验证任何器件，不带验证光环 | inertial::cai_params (over inertial::quantum_imu) | inertial::cai_params::tests（物理VRW在全部3个档位上都落在所引VRW区间内；原始条纹模糊范围由k_eff·T² 算出；保守预算漂移大于最佳预算；每个区间均有来源并带确认标记；区间排序防护） |
| 授时完好性conformance基准测试——Stanford完好性图历元分类器 | TIB Stanford完好性图历元分类（标称/不可用/MI/HMI） | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——对同一样本集，用numpy独立重新实现四区域规则（scripts/gen_tib_scorer_reference.py）；方法引自Stanford–ESA完好性图（Tossaint等，ION GNSS 2007）和RTCA DO-229 WAAS MOPS。并非ExternalDataset精度参考基准——该基准不受诚实性问题影响。 | src/benchmark/stanford.rs | src/benchmark/stanford.rs::tests（四个区域 + 含边界 + |error| + PL>AL不可用）；tests/tib_scorer_reference.rs（分类计数对照固定合成集上独立的numpy） |
| 授时完好性conformance基准测试——完好性覆盖评分器 | TIB完好性覆盖评分（HMI/MI/可用性比率 + 包络覆盖结论） | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——在tests/fixtures/tib/reference.json中用numpy独立重新统计区域；仅为评分器机制的交叉核对，不作精度声明。 | src/benchmark/coverage.rs | src/benchmark/coverage.rs::tests（干净／界限不足／全部不可用／空）；tests/tib_scorer_reference.rs（计数 + 比率 + coverage_ok对照numpy到1e-12） |
| 授时完好性conformance基准测试——故障目录（参数化生成器） | TIB故障菜单（域发散、钟猛调、守时滑行、静态/增量/对称/非对称延迟、新鲜度内重放、路径选择性、k-of-N表决） | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——具代表性的参数化故障生成器（建模级）；不可检测集合（对称延迟、新鲜度内重放）引自Mizrahi RFC 7384和Narula与Humphreys（IEEE JSTSP 2018）。无外部参考基准——故障目录不作实测声明。 | src/benchmark/faults.rs | src/benchmark/faults.rs::tests（偏移剖面，单调滑行，不可检测集合标记，max_offset一致性，恰好两个不可检测类别） |
| 授时完好性conformance基准测试——不可检测量吸收结论 | TIB不可检测量吸收结论（对称/重放必须由PL吸收，绝不报告为已检出） | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——属性检查：Verdict枚举在结构上不可能把不可检测故障报告为已检测（Mizrahi RFC 7384）；被吸收 ⟺ PL ≥ 偏移。无精度参考基准。 | src/benchmark/scorecard.rs | src/benchmark/scorecard.rs::tests（参考PL吸收；损坏的PL未吸收且从不检测；可检测覆盖判定；对不可检测场景不可能给出任何覆盖／检测判定的诚实性属性） |
| 光/射频混合报告的自我描述 | hybrid-optical-rf报告说明其实际运行的链路配置（载波波长、发射与接收口径、距离、脉宽、积分时间、效率与损耗，默认值已解析），并带有一个单位块，给出论文可能引用的每个量的单位和来源类别，包括以平方米为单位的交接协方差迹 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——没有外部参考基准，也不可能有：这是自我描述，不是测量。之所以记录它，是因为缺少它曾是一个缺陷——P5不得不从源码默认值中引用载波波长和发射口径，并通过内部一致性检查推断裸variance以平方米为单位。该推断是正确的，而这恰恰是它重要的原因：若有错误，没有任何手段能发现 |
hybrid_integrity | hybrid_integrity::tests（对默认值和覆盖值都回显已解析的配置，且不经由米来回转换波长；每个单位条目都带有单位和来源类别；单位块所列的每个字段实际都会输出，因此它不可能记录一个并不存在的字段） |
| 射频侧的光/射频混合链路可用性 | hybrid-optical-rf报告给出一个射频链路可用性，它由引擎已经计算的量组合而成，而不是来自导入的气候统计，并把这种组合表述为一条具名规则：A_rf = I_closure * I_track，其中I_closure是单向CCSDS-401 / DSN-810-005链路预算（linkbudget::link_budget，Eb/N0余量 >= 0）在该场景自身距离上的闭合结论，I_track是对同一份预算所返回的C/N0做出的跟踪环路结论（jamming::lock_status）。每个因子都把其输入的来源类别带到输出，而有意不在乘积中的因子——几何可见性、干扰拒止和射频中断气候统计——则连同原因一并指明，而不是悄悄取为1。已解析的射频分支作为独立的rf_link_configuration块回显，指示量旁的连续数字（链路余量、C/N0余量、闭式闭合距离与跟踪距离，以及距离利用率）是同一份预算的距离反演。报告在读者所见的块和单位条目中完整说明：该数字受余量/几何限制，且是确定性的，而光学可用性受天气/气候统计限制，且是概率性的，因此二者绝不能作为可比的一对百分比引用 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——没有外部参考基准，并且有意不采用ExternalDataset。两项输入是Eb/N0余量和C/N0门限越界，二者都是MODELLED的EIRP、品质因数和集总损耗分配的函数；没有地月光／射频混合服务的实测可用性记录可用来核对组合后的数字。现有的检查都是内部的，并如实说明：组合值由报告自身公布的余量重新计算，而不是由发射器内部量重新计算；闭合距离的验证方式是在该距离处重新运行链路方程并要求余量归零——这是反演往返检验，不是独立实现。该数字的诚实局限已记录在报告本身：它是确定性的0/1指示量，不是概率，因为本引擎中没有任何内容在此频段和几何下测量射频链路中断分布。该缺失的输入已在rf_availability.factors_not_included中点明，而不是凭空编造；提供它才能得到概率性的射频可用性 | hybrid_integrity, linkbudget, jamming | hybrid_integrity::tests（可用性等于由报告自身余量重新计算的两个指示量之积，而这些余量本身又由报告自身的EIRP、自由空间损耗、集总损耗、品质因数、玻尔兹曼项、数据速率和要求重新组装，相符到1e-9 dB；其值经测量为0或1，而同一次运行中的光学可用性经测量严格介于二者之间；每个因子行都带有来自封闭field_schema词表的来源类别；所报告的闭合距离重新代入链路预算后返回的余量为0至1e-9 dB，且经测量与运行所处距离无关（跨四个数量级），而距离利用率恰好随距离比变化；-40 dBW的链路报告可用性为0、LOST，且利用率高于1，而不是一个分数；已被取代的“本引擎不计算射频可用性对应项”说明被断言已移除，替代说明被断言点明了新字段；格式错误的射频输入被拒绝而不是被截断） |
| 同等条件下的光学对射频测距比较 | hybrid-optical-rf报告给出光学对射频测距比，并在同一对象中带上两个分支所评估的唯一配置：同一单向路径、同一距离、同一累积时间。光学分支是引擎基于单向光子计数的光子受限ToA CRLB；射频分支是引擎的DLL超前-滞后热噪声码跟踪抖动，取自引擎自身链路预算对同一单向距离所返回的C/N0。环路噪声带宽是推导出的，而非选定：B_L = 1/(2*integration_s) 使射频分支恰好处于光学累积时间；如果调用方覆盖它而使两个平均时间不一致，则该比值为REFUSED——null，并指明不一致之处和两个时间——而不是在两个工作点上引用。不对场景所选的参数化rf_position_sigma_m形成比值，拒绝时说明了原因：该输入根本不带配置。已发布的双向光学头条数字以及把它与单向比较分支衔接的精确因子，一并给出在该比值旁，因此报告不会被读成带有两个互相矛盾的光学sigma | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——比值没有外部参考基准，并且有意不采用ExternalDataset。其底层的射频链确实有——tests/validate_p5_rf_ranging_precision.rs对照独立的Python/NumPy夹具以及硬编码的Kaplan & Hegarty算例值（45 dB-Hz时为2.814e-3码片 / 0.825 m）核对了linkbudget::link_budget和navsignal::dll_code_jitter_chips——光学CRLB也有自己的闭式行。若为本行声称任一锚点，都是借用验证，而矩阵的不变量正是为防止这种情况而设：这里的量是一个比值，其配置带有MODELLED的EIRP、品质因数、发射功率和口径，且不存在在同一工作点上的光学与射频测距实测比较可供核对。内部核对的是比值真正可能出错之处：两条支路是否处于同一工作点。其测量方式是缩放共同的累积时间，要求两条支路按同一平方根规律变化、比值保持不变；并且在平均时间不一致时，直接拒绝给出该比值，以此强制保证。两条支路都是热噪声／散粒噪声界，且都不含介质延迟、时钟误差和模糊度，因此两侧排除的内容相同；报告对此明确说明，而不是留待推断 | hybrid_integrity, optical_linkbudget, linkbudget, navsignal | hybrid_integrity::tests（比值等于所输出的两条支路相除，相对误差1e-15以内，其倒数与分贝形式一致；每条支路的距离与时间sigma恰好相差c；所输出的共同配置被断言等于场景自身的距离和积分时间，射频支路的距离被断言等于光学支路的距离；射频支路的C/N0与可用性块逐位相同，来自同一次链路预算，而不是重新推导；LIKE-FOR-LIKE属性是MEASURED而不是断言——共同累积时间变为四倍，光学支路减半到1e-12，射频支路减半到1e-7，比值保持不变，相对误差3.19e-9，而暗中对其他量取平均的支路做不到这一点；破坏共同平均时间的rf_dll_bandwidth_hz覆盖值会使比值为null，并附带点明两个时间的原因，而两条支路仍会输出；单程运行使对比支路与已发布的主要数字逐位相同，惩罚因子恰为1，双程运行则复现惩罚0.5/sqrt(返程几何损耗)，由报告自身的geometric_loss_db重新计算，相符到1e-12） |
| 链路预算报告的自我描述 | 链路预算报告说明其余量所依据的每个绝对常数——自由空间损耗所用的载波频率、EIRP、品质因数、集总损耗和Boltzmann项——外加余量为零时所需的G/T，链路常数（EIRP - 损耗 - 所需Eb/N0）（这是已发布的速率/增益表唯一能确定的组合），以及当调用方给出系统噪声温度时，该品质因数所隐含的接收天线增益 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——没有外部参考基准：这是对一个已对照已发布设计控制表验证过的方程所做的自我描述（见单程链路预算行）。之所以记录它，是因为缺少它曾是一个经测量证实的缺陷——复现已发布的d1_rate_gain_beamwidth.csv，需要由全部三十行反解出一个有效常数，精确到0.0034 dB；引擎现在既给这一组合命名，又通过测试证明：任何已发布的表都不可能把它的三个分量区分开 | linkbudget | linkbudget::tests（在3个频段、四个数量级的距离以及两种闭合判定上，余量及其下的自由空间损耗仅由报告重新计算，相符优于1e-9 dB；由方程各项组装的所需G/T，与以G/T减去余量得到的同一量一致，并且在该值上重新运行可使余量归零；三份EIRP、损耗和门限差异极大但链路常数相等的预算给出相同的要求，而常数变化1 dB会使其恰好变化1 dB；除非给出噪声温度，否则增益拆分不出现，非正的噪声温度被拒绝；单位块所列的每个字段实际都会输出） |
| 按时钟等级划分的月球时间交叉表 | 一次月球时间预算运行，为每个时钟等级相对同一个共享的坐标系项输出一行时钟对坐标系的交叉点，因此比较中唯一的变量是时钟；每行带有以两种方式得到的交叉点——由一般幂律钟差曲线二分求得，以及由该行的主导噪声类型代数反解——并给出二者之间的相对差异 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——同一个量的两种不同的代码库内计算，而不是同一种计算的重述：对IEEE-1139幂律曲线的二分法对噪声类型一无所知，而闭式则以代数方式反解主导类型，因此噪声类型分类错误或区间不当，会表现为不小的相对差。这四个数值还将论文已发布的表复现到其最后一位印刷数字的一半——但该表本身是由同一个闭式重建的，因此这是可复现性检查，不是外部参考基准，并且它所对照的帧项是建模级的分配 | lunar_time_budget | lunar_time_budget::tests和lunar_time_budget_scenario::tests（四个类别在一次运行中以及按所请求子集顺序下均齐全；每一行与其自身闭式的相对误差均优于1e-12；将框架误差缩放k倍，闪烁调频时钟的交越点缩放k倍，白调频时钟则缩放k^2倍，在k=2和k=3下核对，由此区分两类噪声；每一行复现预算已报告的单时钟交越点；每一行都恢复出同一个共享的框架项；未知的时钟名称被拒绝） |
| 捕获覆盖区随高度与波束宽度的变化 | 对按方向图加权、受高度限制的地表捕获覆盖区，在发射机高度和天线口径上做双轴扫描，每个工作点输出一行，附各口径所隐含的半功率波束宽度，并把临边捕获作为阈值报告——每行给出临边J/S、其余量以及使其闭合所需的发射功率；每个网格给出所定位的穿越点，或明确说明网格内处处未达临边，并给出差额 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——集合包含关系：干扰信号比以均匀的分贝偏移进入，因此较高发射功率下被捕获的集合包含较低功率下的集合，比例只会上升——Airy方向图在波束宽度或高度上并不具备这一性质，那里被捕获区域会断裂成环，比例确实非单调。没有任何已发布的表给出月球轨道发射机对高度和波束宽度的被捕获圆盘比例，因此没有外部依据可用来核对这些单元格；其下的方向图已另行对照已发布的Bessel函数值完成验证，并保有自己的行 | antenna | antenna::tests和attack_surface::tests（网格完整，且每个被捕获比例都位于 [0,1] 内；被捕获比例在每个节点上随发射功率不递减；它在波束宽度或高度上并非单调，这由其专门的测试固定，使该扫描日后不会被平滑掉；基线节点逐位复现现有的被捕获比例；仅含边缘的评估与完整扫描的最后一点逐位相同；定位出的交越点落在门限上，相符到1e-9 dB，且被两侧夹住） |
| 月球时间误差预算的可复现性 | lunar-time-budget场景把其数组型输出以长格式（网格索引、平均时间、项）表的形式与报告一并发布，使七个逐项x(tau) 曲线和方和根总量成为引擎输出，而不是读者根据方法章节自行重建的东西 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——仅为自洽：已发布的总量对照同一文件中各项的平方和根核对，所输出的曲线在全部57个点上复现已发布的p3_time_budget_curve.csv。两项检查都共用本引擎自身的项定义，因此都不独立。时钟项依据已发布的时钟规格，但链路、框架、相对论和星历底限的量值是有文档记载的预算分配，没有外部参考基准 | lunar_time_budget_scenario | lunar_time_budget_scenario::tests（全部57个平均时间x 8项均存在，网格索引从0到56（含），每个索引带8行；total行在每个tau上等于其旁边七项的平方和根；该表遵循所请求的网格，而不是硬编码的网格；输出该表不会使报告JSON的字节发生任何变化） |
| 月球测站时间实验室：miniRAFS守时对LTC | lunar-time-budget场景的可选 [time_lab] 块对月球参考站时钟建模（默认为miniRAFS等级，或任一具名等级，或按所述稳定度点拟合的器件卡），该时钟被牵引到协调月球时，随后自由运行或每N秒重新牵引一次：时间误差曲线x(t) 为时钟幂律项、常值牵引残差（ILLUSTRATIVE）、常值LTC实现残差以及可选启用的测站高度速率项的方和根；牵引后到达1、10和100 ns（或所述阈值）的时间，由二分法给出，并附主导噪声类型的闭式反解，以及每个所述时效上的主导项，全部带单位 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——仅为内部自洽：二分得到的到达门限时间对照时钟主导噪声类型的闭式反函数核对，自由运行的时钟项对照预算自身的时钟项核对。时钟类别依据已发布的一日规格（见它们各自的行）；LTC速率不在此重新推导，保有其自己的VALIDATED行（月球坐标时）；校准残差为ILLUSTRATIVE，实现残差是预算分配，且不含热模型。2024年六月ICG WG-B月球PNT材料中描述的纳秒级目标作为来源陈述引用，不作为声明采纳；此处没有任何内容是关于任何真实站时钟的陈述 | lunar_time_lab (over clock_specs, lunar_time_budget, lunar_time) | lunar_time_lab::tests（free_run_clock_term_is_the_budget_clock_term：关闭校准时，时钟项在全部四个类别上与预算的时钟项逐位相等；bisection_matches_the_closed_form对两类噪声均在1e-9相对误差以内；threshold_below_the_floor_is_flagged；steering_holds_and_resets；height_term_is_opt_in_and_linear；device_card_reproduces_a_named_class；bad_inputs_are_refused）；tests/lunar_station_time_lab.rs（the_block_is_additive：默认文档、表和摘要不变，该块只增加它自己的对象和单位；time_to_threshold_matches_the_closed_form_through_the_scenario；clocks_are_ordered_over_the_span_where_the_model_orders_them：在1 s到7e5 s范围内为optical < PHM < RAFS < miniRAFS，PHM与RAFS曲线在7e5至8e5 s之间交叉，这被固定为单一噪声类型时钟模型的一项已披露性质；every_time_lab_field_has_a_unit；unknown_time_lab_fields_and_clocks_are_refused） |
| 月球测地VLBI | 地球基线观测月球信标的近场VLBI时延 + 偏导数 | ReferenceImpl | 与同一代码库中的另一套独立实现核对——独立于被测单元，但不具外部权威性——远场极限下的平面波delta_dor（同一代码库）；有限差分偏导。0.30外部比较，一项发现（仍为MODELLED）：对照ANISE 0.10通过DE440得到的收敛光行时（2024-01-01当天在三条DSN基线上的75个时延，由xval/anise-lunar-od生成，未使用Kshana代码），没有任何时延落在1 ps的容差之内。最大差距为24 µs，源自解析的月心位置（与DE440相差约200 km）、没有光行时迭代的单一瞬时几何（3.6 µs）以及被略去的极移；信标偏导的相对差最大达2.9e-3，而判据为1e-6。模块文档中称坐标系近似低于模型保真度的说法，在这一量级上不成立。0.30第2轮：核路径（lunar_vlbi::KernelGeometry）已在其自己的行（月球大地测量VLBI，核路径）中对照NAIF SPICE光行时完成验证；对该路径的ANISE比较（75/75在1 ps以内，最差0.12 ps，tests/lunar_vlbi_anise_oracle.rs::kernel_delay_matches_the_anise_light_time_difference）仅是对核求值的交叉核对，因为该测试平台中的光行时求解是本项目自己的。本行（解析默认路径）因上述发现仍为MODELLED | lunar_vlbi | lunar_vlbi::tests（远场极限与delta_dor相符；近场修正；有限差分偏导）；tests/lunar_vlbi_anise_oracle.rs::near_field_delay_disagrees_with_the_anise_light_time_difference |
| 月球距离处的Earth-GNSS | 月球距离处的Earth-GNSS接收：P7表1所指的弱信号层，而引擎此前没有对应模型。针对每颗卫星和每个历元，它计算相对发射机天底的离轴角、地球是否遮挡直线路径、斜距及其自由空间损耗、该角度处的发射增益、接收功率和载噪密度比；然后只汇总越过跟踪阈值的链路，并扫过整整一圈星座运行，使答案是一个分布，而不是单个快照。三个事实决定结果，报告对每一个都有说明：从星座半径看，地球张角为13.90度，因此波束峰值在几何上对任何射向月球的射线都不可用；剩下的是主瓣边缘和旁瓣，也就是LuGRE于2025年在月球上运行时所处的状态；而L1路径损耗约为208 dB，比地面用户多约25 dB。在所随附的24颗GPS级几何上，对一个轨道周期的64个历元MEASURED：信号可用性0.375，最佳链路30.93 dB-Hz，而定位可用性0.000——同时可跟踪的链路至多两条，从未达到定位所需的四条。这两种可用性之分正是要点，报告也不允许把它们混为一谈：月球距离处的Earth-GNSS是授时级的层，而不是定位级的层，分层韧性的先验必须取定位可用性。输出条件数也是出于同样的原因——从月球看去，每颗可见卫星都落在只有几度宽的锥内，因此视线按构造就近乎平行。可作为earth-gnss-lunar类场景运行。按D7重述：月球距离处的声明是同一历元各卫星之间的相对载噪密度比，依据实测的二维发射方向图（NAVCEN Block IIR/IIR-M），再加几何可见性；不声明绝对C/N0（Parker等报告共同损耗为7至12 dB）。 |
InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——闭式恒等式与内部自洽；不声称有外部参考基准。临边半角对照asin(R_earth/r_orbit) 核对，几何也对照它核对；其所组合的自由空间损耗、DOP核和SGP4传播各自在自己的行中经过外部验证，本行不借用它们的状态。为何为MODELLED，原因在于发射方向图：随角度变化的增益取均匀照射的圆形口径，即Airy方向图，而真实的GPS L1天线是十二单元螺旋阵列，其赋形主瓣峰值偏离视轴，以使整个地球圆盘上的功率均匀，且旁瓣并非Airy型。已发布的实测方向图存在，但此处未收录，因此排序和数量级是可信的，而任何单颗卫星的dB值则不可信。本行的第一版实现有一处错误，值得记录：Airy表达式仅在前半球有效，其自变量按sin(theta) 变化，在theta接近180度时会回绕，在口径背后返回满视轴增益——因此第一份报告中最强的两条链路，是天线背向月球的卫星，而它们恰好是仅有的两条越过门限的链路。在口径背后，模型现在采用平坦的后瓣底限，其表述为一个界，而不是杜撰的方向图形状。刻意缺失的内容，每一项都使预算偏乐观：临边掠过的射线没有电离层或对流层损耗，没有极化、指向或实现损耗，且地球为球形、没有折射延伸。月球位置是输入，不是星历查询，因为被检验的量是链路和波束几何。要将本行升级为已验证，需要实测发射方向图和LuGRE标准点用于核对；二者都不在仓库中，也都没有在此杜撰。0.30第2轮，一项发现（仍为MODELLED）：一条以实测为输入的链路路径（真实SP3位置、逐Block发射功率、制表的发射和接收方向图、捕获与跟踪迟滞）已对照Montenbruck等2023表3中6000 km处的GENESIS核对（预先登记5b414f0a）：天顶天线均值在6项中有5项与论文灵敏度相差在一dB以内；天底天线均值比所印值高1.0至2.4颗卫星，可能是因为论文使用了随方位变化的GPS旁瓣方向图，而这些方向图并未发布。本行的月球距离数字仍使用Airy替代。0.30+ D7，一项发现（仍为MODELLED）：重述后的量，即同一历元所跟踪的Block IIR/IIR-M卫星之间的C/N0差，用NAVCEN逐SVN实测L1方向图（二维，偏航转向坐标系）预测，并对照LuGRE飞行C/N0（预先登记768cb62b：99 % 可见，成对RMS <= 3.0 dB，中位数<= 2.0 dB，至少50条记录和30对）——数据太少：26个合格的过境和月球轨道历元中，只有15条被跟踪的IIR/IIR-M记录（所跟踪的大多是IIF和III）和一对。全部15条都被预测为可见，唯一一对的残差为 -0.06 dB；不作任何声明 | earth_gnss_lunar | earth_gnss_lunar::tests（11个库测试：地球临边半角对照其闭式asin(R/r)，并进一步断言每一条未被遮挡的链路都位于该锥之外，因此遮挡检验与临边角不可能相互矛盾；遮挡判据在近侧、远侧以及天体位于发射机背后的情形下核对；每条链路的路径损耗都限定在合理的月球距离范围内；可跟踪集合被证明是几何可见集合的子集，并与被遮挡集合不相交；两个方向上的单调性——更大的接收增益绝不会减少计数，更严格的门限绝不会增加计数；没有任何链路被计入超过视轴增益；接收机位于地球内部时被拒绝；该扫描被断言确实随历元变化；信号可用性与定位可用性被断言互不相同、排序正确，并与逐历元各行一致）；tests/earth_gnss_measured_montenbruck_oracle.rs::finding_genesis_nadir_counts_exceed_the_paper（已固定）；tests/lugre_relative_cn0_visibility.rs::too_few_iir_records_at_lunar_distance_for_the_relative_cn0_bar（已固定的发现） |
| 月球轨道确定：Earth-GNSS对地面射电测量 | 在近直线晕轨道（或椭圆冻结轨道）中，用两种独立数据类型做定轨：星上接收的Earth-GNSS伪距（采用月球距离处Earth-GNSS一行的链路规则，加月球遮挡），以及来自三个深空网测站的地面双程测距和测距速率。每种都是围绕参考轨道的一步批处理最小二乘，带其形式协方差；对两个估计之差做带随机种子的蒙特卡罗，检验两个协方差能否解释该差（q = d' (P_G + P_R)^-1 d，模型吻合时为六自由度的卡方），以及未建模加速度对该统计量有何影响。 | ReferenceImpl | 与同一代码库中的另一套独立实现核对——独立于被测单元，但不具外部权威性——一个独立的scipy/numpy程序对同一变分方程积分（判据O1）。没有任何内容与月球轨道的测量比较。该参考基准核对的是既定公式的数值，而不是物理，因此该行仍为MODELLED。受限三体模型：无太阳，无月球谐波，地球自转轴沿轨道法向，接收机和站输入为ILLUSTRATIVE。 | lunar_infra::{orbit, gnss, od} | tests/lunar_infra_od_consistency.rs（判据O1：状态转移矩阵串联三天及一个周期后，与scipy DOP853相符到相对1e-6；判据C1：平均q与95 % 以内的比例；判据C2：各估计器的样本与形式迹之比；判据C3，NOT MET且已固定：在3e-10 m/s2的未建模加速度下，95 % 以外的超出比例为0.0525，而不是至少0.5——星上估计仅精确到数百米，因此约十米的位移藏在其协方差之内）；lunar_infra::orbit::tests、lunar_infra::gnss::tests、lunar_infra::od::tests、lunar_infra::la::tests |
| 月球载波相位整周模糊度解算：月面与轨道器 | 月面测站与轨道器处的接收机间单差Earth-GNSS载波相位和码，逐历元的钟差已被剖离，每个连续过境一个模糊度，以最长过境作为基准。浮点模糊度协方差是一个Schur补；LAMBDA解算整数，自举成功率与带随机种子的蒙特卡罗整数最小二乘成功率以及浮点和固定位置sigma并列报告。如实报告：在登记的12 dBi下，双差问题无法构成（修订1在只看到可用性计数之后把默认值改为25 dBi），而在25 dBi下，整数固定未能实现——遥不可及（至多百分之几），尽管浮点解随弧段增长而改善。 | ReferenceImpl | 与同一代码库中的另一套独立实现核对——独立于被测单元，但不具外部权威性——对导出各行的同一正规方程做独立的numpy求解（Q3），以及暴力整数枚举（Q4）。没有任何GNSS或月球载波相位测量与之比较。MODELLED。 | lunar_infra::phase; lambda | tests/lunar_infra_carrier_phase.rs（判据Q1：蒙特卡罗成功率至少为自举界减去三个标准误差；Q2：随弧长增加，下降不超过三个标准误差；Q4：对维数最多为五的200次抽样，LAMBDA等于暴力枚举；Q3：浮点设计对整周模糊度和位置协方差与独立的numpy求解相符到1e-9，而自举比率在1e-9处NOT MET，已固定：它有1.7e-6的相对差，因为LAMBDA的正态CDF是Abramowitz和Stegun近似） |
| 月球坐标系联合估计：月面测站与轨道器 | 七参数月球坐标系基准的Fisher信息：仅用地球测站对五个反射器的激光测距，以及加入轨道器对月面测站测距之后：信息矩阵、秩、Cramer-Rao sigma、月球可辨识性模块的退化度量以及带随机种子的随机测站集。轨道在月球轴系中视为已知（其误差由轨道器测距sigma承担）。 | ReferenceImpl | 与同一代码库中的另一套独立实现核对——独立于被测单元，但不具外部权威性——对正向模型的独立numpy有限差分（F2）。没有任何内容与真实的月球坐标系解比较。该因子以假定已知的轨道和1 m距离sigma为条件。MODELLED。 | lunar_infra::frame; lunar_datum; lunar_identifiability; lunar_llr_geometry | tests/lunar_infra_studies_3_5.rs（判据F1：CRLB迹不上升，最小特征值不会随轨道器链路而下降，在示例和20组带随机种子的随机集合中均如此；判据F2：距离偏导在50种几何上与Rodrigues正向模型的独立numpy longdouble有限差分相等；判据F3：最小特征值至少上升2.0倍，实际约为111倍） |
| 空间联结的坐标系联结精度：同址GNSS、VLBI与激光测距 | 当同一航天器同时携带三种技术时，GNSS、VLBI和激光测距坐标系之间技术间平移、尺度和旋转偏移的Cramer-Rao精度，在每个历元消去航天器位置，并带九个带先验的局地联结冗余参数，随局地联结精度扫描。协方差用平方根法求得（技术接近完美时，正规方程会丢失数字）。 | ReferenceImpl | 与同一代码库中的另一套独立实现核对——独立于被测单元，但不具外部权威性——用显式Schur补消去位置未知量的独立numpy堆叠系统（T3）。没有任何GRASP、Genesis或其他任务数据与之比较。MODELLED。 | lunar_infra::tie; fim::crlb_srif | tests/lunar_infra_studies_3_5.rs（判据T1：随局部连接放宽，平移sigma不会下降；T2：将技术sigma缩放1e-6后，每一对的平移sigma与sqrt(2) 倍局部连接sigma相差在1 % 以内，实际在3e-7以内；T3：信息矩阵与独立numpy堆叠组装相等到1e-9）。首次采用正规方程求逆的T2运行未达标（0.1 m连接处为1.3 %，1 m处的值低于底限）；原因是数值性的，协方差在重新评分该判据之前已改为平方根路线。 |
| 月球勒夫数与天平动灵敏度 | h2、k2、l2以及物理天平动振幅的Fisher信息，来自激光测距（径向与水平潮汐位移、反射器旋转）、轨道器跟踪（沿视线积分的degree-2 k2加速度，已去除趋势）、月面重力仪（重力因子1 + h2 - 1.5 k2）和月面时钟（分数速率 (1 + k2 - h2) W2/c2，与月球时间常数相联系）。h2和l2的名义值是线性化点；该研究说明的是什么对什么敏感，而不是这些数值是多少。 | ReferenceImpl | 与同一代码库中的另一套独立实现核对——独立于被测单元，但不具外部权威性——独立的numpy有限差分组装（G2）和闭式求值（G4）。轨道器族的k2灵敏度是上端数字（此处轨道状态只吸收一个常数和一个趋势）。没有任何月球潮汐或天平动测量与之比较；k2取自Lemoine等2014，作为标称值。MODELLED。 | lunar_infra::geodesy; lunar_od::degree2_tide_accel; lunar_time | tests/lunar_infra_studies_3_5.rs（判据G1：解析偏导与各正向模型的中心有限差分相等到1e-8；G2：5x5信息矩阵与独立numpy组装相等到1e-6；G4：时钟潮汐振幅及其k2和h2灵敏度与独立求值相等到1e-9；判据G3在其迹的一半上NOT MET，已固定：增加一个族绝不会降低最小特征值（28次中的28次），但伪逆迹在28次增加中有12次上升，因为新增的族提高了秩） |
| 月面信标DOP增强 | 月面用户的信标增强精度因子：可见卫星的视线行与可见月面信标的测距行被拼接成一个设计矩阵，经共享的DOP核求值，所得DOP再经每个信标的用户等效测距误差映射为以米计的已实现1-sigma精度，该误差由时钟同步、多路径和MEASURED项的方和根组成。信标可见性是无大气月球的双高度几何地平线，它没有折射延伸，因此是精确的而非近似的。可作为lunar-beacon场景类运行，它报告仅卫星、卫星加信标，以及作为达到同样几何的竞争路线的更大星座。在所随附的黄金几何上实测（用户位于 -80度，三个已测量的信标，t=0时六颗卫星的示意性LCNS，5度遮蔽角）：5颗可见卫星给出PDOP 9.6941和3-D 1-sigma 11.222 m；加入真正越过地平线的信标后，PDOP为4.1160，精度为4.765 m，改善倍数为2.355；24颗卫星的服务则给出PDOP 2.4226和2.804 m，改善倍数为4.002。报告打印的是可见信标数，而不是配置的数目，在这一几何上，三个信标中只有一个越过地平线：两个侧翼站点距用户约333 km，而2 m天线的地平线为86 km，因此读者不会误以为三个都有贡献 |
ReferenceImpl | 与同一代码库中的另一套独立实现核对——独立于被测单元，但不具外部权威性——DOP运算是crate::orbit::dop核，已在tests/dop_reference.rs中对照gnss_lib_py另行经外部验证；本行不再次借用那一行的状态。信标可见性地平线是L01闭式，而sigma = DOP x sigma_URE是标准的GNSS关系（Kaplan和Hegarty，Understanding GPS/GNSS，第7节）。在本行之内，增强本身对照仓库内独立的DOP路径核对，并固定到已提交的golden。为何为MODELLED：星座设计、信标布设、天线高度以及全部三个误差预算量值都是示意性输入，而不是实地部署的勘测或实测链路，因此所报告的米数是所选场景的属性，而不是任何已部署服务的属性。关于来源的说明：该能力曾在README中宣传，并有两项验证测试演练，却没有矩阵行，也没有场景种类，因此根本无法由一次运行触及。它在文字中被声称，在台账中缺席，在引擎中又不可达，三者同时成立。该行与该种类是一并添加的。0.30第2轮（预先登记db0eb9ec），受阻（仍为MODELLED）：ANISE 0.10.6的可见性与该行几何上的numpy DOP相符（可见集合完全一致，包括72个近地平线和48个近掩蔽角算例；DOP相符到7.2e-13以内），但所报告的米数是DOP乘以示意性的1.158 m平方和根测距误差，没有参考基准；排除它们的范围界定有待所有者作出决定 | lunar_beacon | lunar_beacon::tests（地平线可见性对照L01闭式；信标增强后的DOP对照未增强的DOP；误差预算的平方和根；DOP到米的关系）；tests/validate_p2_beacon_before_after_table.rs（整张前后对比表在相对1e-9下固定到已提交的golden）；tests/validate_p2_beacon_before_after_independent_dop.rs（同一几何经独立的DOP路径计算，因此增强不是对照产生它的核来核对）；tests/validate_lunar_beacon_anise_visibility_dop.rs::beacon_visibility_and_augmented_dop_match_anise_and_numpy |
| 共模保护级与总完好性包络 | cmpl_horizontal通过构造blind_position_covariance = SCovS^T并将其投影到ENU，界定盲的共模类别所贡献的k-sigma水平位置误差；integrity_envelope报告hpl_total = hpl_araim + cmpl。这一对量存在的目的是区分：RAIM/ARAIM残差检验可证明对range(G) 误差是盲的，但ARAIM保护级并非如此——其无故障项已把它们界定在一个提供方URA加标称偏差之内。因此CMPL只是单个提供方的逐提供方URA/ISM未能包住的跨提供方超出量，而该和是保守的三角不等式界，不是RSS，只在该超出量尚未包含在URA内时有效。 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——解析投影子代数对其自身核对：限制在range(G) 内的协方差必须给出正的CMPL，限制在奇偶空间内的协方差必须给出近似为零的值，且包络必须对两个在测量空间中正交的贡献求和。共模协方差、星座几何和k是具代表性的建模级输入，不是经认证的预算，也不声称三角界是紧的。关于来源的说明：cmpl_horizontal、blind_position_covariance和integrity_envelope是公开并已发布的，其单元测试也已被共模盲性一行引用，但包络声明本身没有行——因此使其保持诚实的那条警示，即该和是三角界而不是RSS，在台账中没有任何地方说明。该行将声明与警示一并登记。 | lunar_common_mode | lunar_common_mode::tests (common_mode_covariance_gives_positive_cmpl, parity_only_covariance_gives_near_zero_cmpl, envelope_sums_the_two_classes, state_map_matches_split) |
| 月面绝对测站可观测性（基准亏损） | 联合月面解算的Fisher信息可观测性：没有地球基线时，绝对坐标系基准位于HᵀWH的零空间中（测站位置不可观测）；≥3条基线可恢复满秩，并约束测站的Cramér–Rao误差，估计器可达到该误差 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——解析的基准缺陷结构——不可观测的绝对坐标系模态位于Fisher信息的零空间中（闭式），秩门限与已发布的3站设计依据相符，估计器在蒙特卡罗中达到由此得到的CRLB。月球几何本身是具代表性的网络（不是实际飞行星历），因此该行仍为MODELLED；底层的FIM/CRLB引擎另行对照Kay（1993）的闭式核对。0.30第2轮（预先登记fab02df9），受阻（仍为MODELLED）：NumPy/SciPy在既定的1e-9门限下重新计算秩和缺陷，并在17个已提交的、由Kshana生成的配置（P2）上重新计算站轴在零空间中的占比（在8.4e-10以内）和站CRLB（在1.2e-10以内）。未予升级：估计器达到该界的声明（蒙特卡罗效率约0.98）没有参考基准，而使其保持MODELLED的范围界定有待所有者作出决定 | lunar_combination (lunar_observability) + fim | lunar_combination::tests（没有地球基线时秩亏；三条基线恢复满秩——3站门限来自信息矩阵的秩，而不是求解误差；估计器以0.98的效率达到站CRLB；CRLB随基线增加而单调收紧）；tests/lunar_observability_numpy_oracle.rs::lunar_observability_matches_numpy_on_the_committed_jacobians |
| LunaNet AFS扩频码生成（LSIS V1.0） | LSIS V1.0（2025年一月29日）的Augmented Forward Signal码：AFS-Q的10230码片主码，由IS-GPS-800 L1C导频构造方法结合IS-GPS-800J索引生成（与LSIS附录D所列的210个分配相同）；AFS-I的2046码片Gold码，由g1 = x^11 + x^2 + 1与g2 = x^11 + x^8 + x^5 + x^2 + 1生成，各PRN的G2延迟取自标准的附件3文件；四组副码、1500码片的三级码、临时的表11节点分配以及分级导频码。LSIS内容在运行时从经SHA-256校验的本地缓存读取，该缓存取自NASA托管的PDF，从不再分发 | ExternalDataset | 某一子声明经过外部核对，但整项能力由建模部分组合而成，因此该能力仍为建模级——参考：LSIS V1.0印出供验证的值（表C-1至C-5、D-1至D-6、E-1至E-6）及其附录3的电子码文件，采用在比较之前固定的零失配判据。该判据因一个印出的单元格而未达到，该单元格与标准自身的附录3文件在内部不一致，因此该行仍为MODELLED；已起草一份勘误说明。同样的码片也与LANS-AFS-SIM的相等（行“针对独立生成器、在给定其信道状态下的LunaNet AFS基带渲染”） | lunar_afs::codes, lunar_afs::lsis, lunar_afs::params（IS-GPS-800J索引） | lunar_afs::codes::tests（最大长度寄存器，Legendre平衡，G2延迟往返，层级组合）；tests/lunar_afs_codes_lsis_reference.rs::afs_codes_finding_one_misprinted_table_cell（没有LSIS缓存时：四个所引数字固定该发现；有缓存时：2,937,232个码片和比特对照LSIS附录3文件，印出的首／末24个码片、Legendre表D-1和E-1以及G2初值，恰好给出一个不同项，即表E-5 PRN 147的“末24个码片”单元格，它与PRN 151的重复，而附录3文件与生成器一致）；严格的预先登记测试afs_codes_match_lsis_v1_tables_and_annex3_bit_exact因该缺口而被忽略 |
| 由独立接收机对LunaNet AFS闭环可译码性的检验（LSIS V1.0） | 一份Kshana AFS记录由独立的软件接收机捕获、跟踪并译码，并与该记录自身的真值标签比较。这仅证明与标准的一致性以及标签的一致性；它不是关于信道物理、传播、接收功率或链路预算的声明，这些在记录中的值都是选定的输入 | ExternalDataset | 某一子声明经过外部核对，但整项能力由建模部分组合而成，因此该能力仍为建模级——库：PocketSDR-AFS（T. Ebinuma基于T. Takasu的PocketSDR 0.13，BSD-2-Clause，提交5b23809f30d68518b7fad7a564fd0fac57cc497d，S波段构建，仅打印的日志级别副本），采用每次运行前固定的判据。第三次预先登记的比较完全达到其解码与跟踪判据C1和C2，但按书面规定未达到其防护项G0（未修改接收机的两次运行在同样四条捕获记录上不同），第二次则有5项违规而未达标，因此该行仍为MODELLED。LANS-AFS-SIM与PocketSDR-AFS作者相同，合计算作一种独立实现；帧编码行的印出向量检查可防范共同的误读 | lunar_afs::waveform（记录与真值标签），xval/lunar-afs/run_pocketsdr.sh | tests/lunar_afs_decodability_pocketsdr_v3_oracle.rs::third_run_finding_c1_c2_hold_g0_is_receiver_nondeterminism（第三次预先登记：2个节点，跟踪4个通道，最差多普勒误差0.57 Hz，最差码偏移误差0.008码片，全部6帧在99 -> 0回绕前后均以正确的TOI解码，且子帧2相符；G0按书面规定未达到，原因是接收机自身在捕获记录上的逐次运行差异）；tests/lunar_afs_decodability_pocketsdr_4bit_oracle.rs::decodability_finding_five_violations（第二次：5项违规）；tests/lunar_afs_decodability_pocketsdr_oracle.rs::first_run_finding_no_acquisition_outside_the_receivers_4_bit_range（第一次：无效）；三个文件中的严格测试均因各自的缺口而被忽略 |
| GPS L1 C/A跨生成器一致性 | GPS L1 C/A扩频码（sdr::CaCode）和LNAV子帧1-3（gps_lnav：按IS-GPS-200规范以规范的pi值进行字段量化，二进制补码打包，TLM与HOW字，带D29*/D30*翻转的表20-XIV奇偶校验，字2和10的奇偶求解位），与gps-sdr-sim在其自带的brdc0010.22n（32颗卫星）上逐位比较 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——gps-sdr-sim（MIT，提交28ca29a6，经已提交的测试平台作为独立程序运行），预先登记f88f2969，对 (A) C/A码片、(B) 每个计算出的LNAV字段、(C) 每个奇偶校验位采用逐位精确的判据。发现：(A) 在32,736个码片中有0个不同，(C) 在1,920个字中有0个的奇偶校验不同，(B) 在1,152个计算字段中有230个相差一个单位：gps-sdr-sim的eph2sbf用C强制转换向零截断，而广播整数需要四舍五入（每个不同的值都落在Kshana四舍五入整数的0.01个单位以内）。仍为MODELLED：所登记的判据是合取 | gps_lnav, sdr | tests/gps_l1ca_gpssdrsim_cross_generator.rs::gps_sdr_sim_truncates_where_the_broadcast_integer_needs_rounding（已固定的发现）；tests/gps_l1ca_gpssdrsim_cross_generator.rs::ca_codes_lnav_fields_and_parity_match_gps_sdr_sim_bit_exactly（严格，因该缺口而被忽略）；gps_lnav::tests |
| 独立生成的I/Q采样上的GNSS IQ捕获 | iq::acq::acquire（采用平方律Marcum-Q阈值的FFT并行码相位搜索）配合GpsL1Ca复制码，作用于gps-sdr-sim自身8位I/Q输出的20 ms（由iq::io采样译码器译码，ci8，2.6 MHz，11颗卫星，无噪声）：PRN 1至32的每个都在两个10 ms窗口中搜索，结果与gps-sdr-sim调制的码相位和多普勒比较 | ExternalDataset | 某一子声明经过外部核对，但整项能力由建模部分组合而成，因此该能力仍为建模级——gps-sdr-sim（MIT，提交28ca29a6）的I/Q采样及其自身的信道状态，预先登记7777da53：(B1) 每个被仿真的PRN均被捕获，(B2) 没有其他PRN被捕获，(B3) 码相位在0.5码片以内，(B4) 多普勒在125 Hz以内。发现：B1、B3和B4在两个窗口中均成立（最差0.195码片，72 Hz），但B2不成立：gps-sdr-sim未仿真的全部21个PRN也越过了门限（统计量151至206，门限为79.5；被仿真的PRN为1,300及以上）。该门限是针对所测样本功率的高斯噪声设定的；gps-sdr-sim不添加噪声，因此缺席PRN的单元格中保留的是其他卫星的互相关。仍为MODELLED：所登记的判据是合取 | iq::acq (acquire, AcqConfig); iq::io (decode_samples); iq::scene (GpsL1Ca) | tests/iq_gpssdrsim_cross_generator.rs::acquisition_threshold_is_crossed_on_gps_sdr_sim_noise_free_samples（已固定的发现）；tests/iq_gpssdrsim_cross_generator.rs::acquisition_finds_gps_sdr_sim_satellites_in_its_samples（严格，因该缺口而被忽略） |
| 在实验室回放测评活动中评分的IQ监测器：检测、漏检、虚警和闭式虚警数值 | iq::campaign::detect与测评活动运行器：可选的[monitors]表使IQ监测器在运行器的单次遍历中对每个单元运行。功率和频谱监测器看到每条前端链之后的采样；C/N0、SQM和锁定监测器看到每个被跟踪通道的环路更新。每个告警都针对所述事件评分：按（事件，告警类型，通道）判定检测到或漏检，检测时间，以及事件之外的虚警及其暴露时间。每项测试的闭式虚警数值均已给出：每块功率（精确Gamma尾部）、每块频谱超额（近似）、峰度（单侧高斯）、脉冲（二项式上限）、每次平均更新的SQM（2Q(k) = Q(1/2, k^2/2)，新增）以及C/N0 CUSUM的ARL0（Siegmund）。没有该表时，单元、键和摘要均不变。不合成任何干扰波形 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——监测器自身的闭式，作用于Kshana自己的GPS L1 C/A场景（噪声和合法信号；卫星自身信号的衰减事件），对照在docs/design/MONITORS-IN-CAMPAIGN.md（382ab2f4）中预先登记的判据。发现：M1、M2和M4达到判据。M3在检测上达到判据（18次衰减中的18次，P_md 0），而在其时间条款上NOT MET：检测时间的中位数为1.001 s，而2 x ARL1个样本 = 0.433 s。CUSUM每个1 s窗口只得到一个估计，因此样本数界低于一个样本。仅为内部自洽：没有核对任何真实接收机或已记录的干扰 | iq::campaign (detect, runner, spec); iq::monitor (stats::gaussian_two_sided_pfa, sqm) | tests/iq_campaign_monitors.rs: m1_power_test_false_alarm_rate_matches_the_closed_form（5900个块中73个，对照P_fa 0.01的99 % 二项区间 [40, 80]），m2_sqm_false_alarm_fraction_is_within_a_factor_of_2_of_2q_k（delta 0.0160，比值0.0131，对照0.01），m4_cn0_false_alarms_stay_within_the_poisson_bound_of_arl0（0对照0），the_monitors_table_parses_and_validates；m3_every_attenuation_is_detected_within_twice_the_arl1（严格，因该缺口而被忽略）；iq::campaign::detect测试；iq::monitor::stats测试（gaussian_two_sided_tail_matches_known_values）；tests/iq_campaign.rs（没有该表时，已固定的摘要保持不变） |
| 来自评分的实验室回放测评活动的IQ监测器检测ROC | iq::campaign::detect（windows、roc）和iq::campaign::report::rocs：带监测器的测评活动的每个单元，针对每种告警类型和通道，保留监测器自身检验统计量在每个所述事件窗口上的最大值（正例）以及在事件之外平铺的roc_window_s窗口上的最大值（负例）。这些统计量为块功率偏离、PSD超额、峰度z、平均指标的SQM |z|以及C/N0 CUSUM。报告按类型汇集它们，得到带AUC的经验窗口级ROC以及在所配置阈值处的工作点，写入roc.json（kshana.campaign-roc/1）和report.html的检测ROC一节。没有监测器的测评活动两者都不写入 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——来自Kshana自己的GPS L1 C/A场景（卫星自身信号的衰减）的合成测评活动，对照在docs/design/DETECTION-ROC.md（b47e358d）中预先登记的判据。发现：R2达到判据（无可检测内容时处于随机水平）。R1 NOT MET：cn0_drop AUC为0.7855，对照0.95，原因是事件之后的每个负例窗口都继承了检测时CUSUM的衰减（全部18个事件后负例都达到81或更高；全部18个事件前负例都保持在0）。仅为内部自洽：没有核对任何真实接收机或已记录的干扰 | iq::campaign (detect, report, runner); iq::monitor::spectral (kurtosis_reference) | tests/iq_campaign_roc.rs: r2_with_nothing_to_detect_the_roc_sits_at_chance（在不衰减任何信号的既定事件上，AUC cn0_drop 0.500，sqm_delta 0.566，power_drop 0.639）；r1_the_cn0_drop_roc_separates_6_db_attenuations（严格，因该缺口而被忽略）；iq::campaign::detect测试（the_roc_of_separated_and_of_identical_samples, windows_tile_the_time_outside_the_events） |
| 依据IQ测评活动结果标定开放接收机的C/N0和锁定模型，并给出预测误差 | iq::labfit（campaign、cn0、iqfit、iqreport）以及[input] campaign（位于kshana iq labfit）、Python kshana.iq_labfit和MCP labfit工具（仅限其工作目录内的测评活动文件夹）：按DIGEST读取kshana iq campaign输出文件夹，并将评分后的单元分组为拟合单元（信号x环路设计x前端链x干扰源类型，绝不合并）。对每个单元，用频谱分离形式将测得的C/N0对所述J/S拟合。没有对干扰和信号功率的独立测量，就无法从C/N0数据中辨识Q_eff，因此Q是给定的，绝不拟合（类型表、事件的q，或对未知类型取最具破坏性的给定值，cw Q = 1）。被拟合的参数是可辨识的偏移delta_eff = delta - 10 log10 Q，并由相关性防护报告其简并。锁定率低于90 %的C/N0分箱被截尾并列出。阈值J/S既直接给出，也由闭式给出；跟踪环路模型与经验锁定模型通过C/N0模型耦合，并带有失锁与重锁驻留时间。对记录做带种子的聚类自助法（1000次重复）给出百分位区间；90 %预测区间来自残差抽样；留一记录保留集分为内插与外推；预先登记的[validation]表被哈希，每个判据判定为PASS/FAIL。报告kshana.labfit-iq/1以JSON、CSV和生成的Markdown给出，并带一个units块。仅为合成数据（无第三方记录，无干扰波形）。接收机日志的labfit路径不变 |
InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——在Kshana自己的GPS L1 C/A场景上做合成参数恢复，所施加的已知C/N0剖面来自第3.1节的公式，由kshana iq campaign跟踪并评分，对照在docs/design/LABFIT-FROM-IQ.md（第5.1节，2026-10-12在b7117bf中修订，第13节）中预先登记的判据。测评活动的C/N0估计器（M2M4）在5b13e3c2中固定，于首次判据评估之前推送（与拟合代码一并提交，并非单独提交），其前有一次已披露的诊断性跟踪运行。对18个事件的判据测评活动的发现：(c) PASS；(a') NOT MET，delta_eff误差为 -1.097 dB，对照0.5 dB（在38 dB-Hz及以上的区间中仍为 -0.89 dB）；(b') NOT MET，50个测评活动中有0个覆盖真值（误差 -1.189 +/- 0.093 dB，区间约0.3 dB）；(d) NOT MET，闭式比失锁时的直接J/S低2.20 dB，约等于拟合的下降驻留时间乘以斜坡速率（2.09 dB）；(a) 和 (b) 原有的Q条款NOT MET，因为Q不可辨识。后续（判据已在1e532f84中预先登记，docs/design/evidence/labfit-followup/RESULTS.md）：在阶跃J/S测评活动上，delta_eff恢复到 +0.185 dB以内（S1 MET：斜坡误差来自估计器滞后）；(d) 按书面规定在其上由跟踪环路模型达到判据（0.45 dB），但经验模型没有（6.42 dB），因此S2 NOT MET；在新的斜坡测评活动上，(d) 加上拟合的下降驻留时间乘以每个事件的斜坡速率后，两种模型均在1 dB以内（R1 MET），而 (a') 和 (d) 按书面规定再次未达标（-1.25 dB；2.32和9.47 dB）。被核对的是方法，而不是任何接收机：它不能依据合成数据成为VALIDATED | iq::labfit (campaign, cn0, iqfit, iqreport, schema, mod); iq::cli::labfit | tests/iq_labfit_campaign.rs: bar_c_holdout_prediction_intervals_cover_between_80_and_98_percent（在每种锁定模型下，558个区间上PI90覆盖率为0.891，10个到失锁时间事件上为0.900），the_report_carries_its_inputs_censoring_validation_and_labels（输入、删失、[validation] 哈希与判定、单位块审计），the_cluster_bootstrap_reproduces_from_the_campaign_and_seed，a_validation_mode_fit_refuses_to_start_without_its_table；bar_a_prime_delta_eff_is_recovered_and_q_is_stated_not_fitted、bar_d_closed_form_threshold_matches_the_direct_estimate_within_1_db和bar_b_prime_ci_subset（严格，因该缺口而被忽略）；bar_b_prime_full_set_of_50_campaigns（被忽略，发布前运行）；iq::labfit::cn0测试（精确的Q-delta退化，在既定Q下恢复delta，闭式门限反函数）；iq::labfit::iqfit测试（锁定模型条件精确复现C/N0模型）；tests/iq_labfit_followup.rs（在1e532f84中登记的后续：s1_delta_eff_on_the_stepped_campaign MET，s2_d_as_written_on_the_stepped_campaign断言已记录的NOT MET，r1_dwell_corrected_d_on_the_fresh_ramp_campaign MET，发布构建中） |
| 由独立接收机库对GPS LNAV编码的译码 | Kshana的LNAV子帧1-3（gps_lnav::encode_subframes），针对32个brdc0010.22n星历，输入RTKLIB的decode_word和decode_frame：每个字的奇偶校验、数据期号一致的子帧译码，以及每个译码参数对照Kshana的整数和输入值 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——RTKLIB v2.4.2-p13（BSD-2-Clause，提交71db0ffa）的decode_word/decode_frame作为独立程序运行，预先登记ca5f0142：R1奇偶校验与解码，R2解码值等于Kshana的整数乘以IS-GPS-200比例因子，相对误差在2^-52以内，R3在输入的半个量化单位以内。发现：R1为960个字中的960个和96个子帧中的96个；R3每个参数、周和参考时间均精确；R2在41个值（af1、delta-n、IDOT）上失败，末位相差1至4个单位，因为RTKLIB的P2_43是十进制数1.136868377216160E-13，相对2^-43有2.6e-16的偏差；除以RTKLIB的常数后，每种情况都返回Kshana的整数。仍为MODELLED：所登记的R2判据对该参考基准自己的常数而言过紧 | gps_lnav | tests/gps_lnav_rtklib_decode_oracle.rs::rtklib_recovers_every_integer_and_differs_only_by_its_decimal_two_to_the_minus_43（已固定的发现）；tests/gps_lnav_rtklib_decode_oracle.rs::kshana_lnav_subframes_decode_in_rtklib_to_the_broadcast_parameters（严格，因该缺口而被忽略） |
| GPS LNAV导航电文编码 | IS-GPS-200 LNAV子帧1-3（gps_lnav::encode_subframes：按规范的比例因子和pi值对每个钟和轨道参数做就近取整量化，二进制补码打包，TLM与HOW字，带D29*/D30*翻转的表20-XIV奇偶校验，字2和10的奇偶求解位），即GPS L1 C/A信号生成器所发射的电文 | ExternalDataset | 某一子声明经过外部核对，但整项能力由建模部分组合而成，因此该能力仍为建模级——RTKLIB v2.4.2-p13（BSD-2-Clause，提交71db0ffa）的readrnx解析IGS每日广播文件BRDC00IGS_R_20250610000_01D_MN.rnx，其decode_word/decode_frame解码Kshana的字，作为独立程序运行；在获取该文件之前预先登记d4d9eb9d，采用精确整数判据。变异测试：截断而不是四舍五入会产生235处失败。同一编码器较早的比较已记录为发现：对照会截断的gps-sdr-sim（230个字段），以及对照RTKLIB的缩放值，其十进制2^-43常数未达到一个ulp的判据（41个值）。集成方事后核查（仍为MODELLED）：比较相符，且奇偶校验集合的变异也使其变红，但预先登记d4d9eb9d到达公共分支的时间是UTC 20:02:29，比已持有RTKLIB对该文件输出的结果提交1783f904（UTC 20:02:27）晚两秒，因此“在获取该文件之前登记”这一先后顺序无法证明；在获取一个未见过的广播文件之前推送一次新的登记，即可解决这一问题 | gps_lnav | tests/gps_lnav_rtklib_integer_oracle.rs::kshana_lnav_integers_decode_in_rtklib_from_an_unseen_broadcast_file（2025年3月2日IGS广播文件中的32颗卫星：960个字中的960个通过RTKLIB奇偶校验，96个子帧中的96个解码成功，608个解码出的广播整数中的608个等于Kshana的，每个输入均在半个量化单位以内，周和时间精确）；gps_lnav::tests |
| 真实月球IQ上的捕获与C/N0估计 | 并行码相位搜索（acquisition::pcps_acquire：可移植FFT、相干折叠、非相干累积、针对全搜索虚警概率的卡方阈值）、精化、带码多普勒的开环即时相关以及M2M4 C/N0估计器，作用于经realdata::ion_sdr读取的LuGRE L1 4位IQ批次 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——GNSS-SDR 0.0.19（GPL-3.0，独立程序，固定配置）作用于九个非地表L1批次和飞行接收机的RAW C/N0（LuGRE任务数据，Zenodo 16411687，CC BY 4.0），预先登记768cb62b。发现：Kshana的读取器对全部288个被比较的区段，解码结果与独立转换器完全一致；GNSS-SDR判定288次搜索中有266次为阳性，Kshana在全部266项判定上与之一致，但其中只有250个定位在GNSS-SDR的单元格上（A2失败）；C/N0一支是空的，没有任何飞行RAW历元落在任一批次的30 s以内（最近为141 s）。多数阳性是伪影：裸二进制补码电平使I和Q带有 -0.5的均值，在1 kHz频带内产生一条比噪声高32 dB的零频线，两台接收机都会捕获它。两个批次（OP5、OP12）被错误地排除：将其元数据中去掉数字后的读数误认为与其头部矛盾；真正的原因是读取器无法读取宽于一个字的样本（此后已修复）。仍为MODELLED | acquisition, portable_math, realdata::ion_sdr, realdata::lugre | tests/lugre_acquisition_gnss_sdr_oracle.rs::finding_dc_artefacts_and_no_contemporaneous_flight_cn0（已固定的发现，受数据限制）；tests/lugre_acquisition_gnss_sdr_oracle.rs::acquisition_and_relative_cn0_on_lugre_iq_match_gnss_sdr_and_the_flight_receiver（严格，因该缺口而被忽略）；acquisition::tests；realdata::ion_sdr::tests；realdata::lugre::tests |
| 真实月球IQ上对照轨道预测多普勒的捕获（采样功率判决） | acquisition::pcps_acquire以其采样功率判决作用于九个具有中升电平的非月面LuGRE L1批次；被捕获卫星之间的多普勒差与由ESA最终轨道和Firefly重构的Blue Ghost轨迹预测的差比较 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——由ESA/ESOC最终轨道和NAIF CLPS重建轨迹预测的多普勒（xval/lugre-predicted-doppler/predict.py，独立于Kshana），预先登记0d1839d2。发现：全部288次搜索都因噪声而越过门限（样本功率统计量约430至520，门限为346.3），因此P1平凡成立，P3成立（288个中有274个被预测为可见），而P2在4036对中的4033对上失败。带限前端使每个单元格的噪声提高约1.46倍（已固定：在OP2 PRN 1上噪声底限为292，而白噪声为200），样本功率统计量看不到这一点。仍为MODELLED | acquisition, realdata::ion_sdr | tests/lugre_acquisition_predicted_doppler_oracle.rs::noise_alone_crosses_the_sample_power_threshold_on_lugre_iq（已固定的发现，受数据限制）；tests/lugre_acquisition_predicted_doppler_oracle.rs::acquired_doppler_differences_on_lugre_iq_match_the_orbit_prediction（严格，因该缺口而被忽略） |
| 真实月球IQ上按轨道预测多普勒评分的捕获 | acquisition::pcps_acquire以单元平均判决（峰值对照网格的平均单元，对带限噪声稳健）作用于九个具有中升电平的非月面LuGRE L1批次；被捕获卫星之间的多普勒差与由ESA最终轨道和Firefly重构的Blue Ghost轨迹预测的差比较 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——由ESA/ESOC最终轨道和NAIF CLPS重建轨迹预测的多普勒（xval/lugre-predicted-doppler/predict.py，独立于Kshana），预先登记a81a9a4e。发现：P1和P3成立（4个批次，12次捕获中12次被预测为可见），但P2在8对中的8对上失败。最强的两对在量值上与预测相符，而符号相反（OP2 PRN 18/24：测得 +7670.0 Hz，预测 -7693.9；OP17 PRN 11/30：+11155.0，-11114.4），因此所登记的I位于低半字节的顺序与这些批次的顺序互为共轭；刚刚高于门限的六次检测与两种符号都不相符。登记也低估了精化后的多普勒离散（两次运行之间为30至50 Hz）。仍为MODELLED | acquisition, realdata::ion_sdr | tests/lugre_acquisition_cell_average_doppler_oracle.rs::strong_pairs_match_the_prediction_only_with_the_doppler_sign_reversed（已固定的发现，受数据限制）；tests/lugre_acquisition_cell_average_doppler_oracle.rs::cell_average_acquisitions_on_lugre_iq_match_the_orbit_predicted_doppler（严格，因该缺口而被忽略） |
| 对保留的真实月球IQ按轨道预测多普勒的捕获 | acquisition::pcps_acquire（单元平均判决，虚警概率1e-7）配合refine_doppler_coherent，作用于在月面记录的LuGRE L1批次（I在高半字节，中升电平）；被捕获卫星之间的多普勒差与由ESA最终轨道和Firefly着陆点内核预测的差比较 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——由ESA/ESOC最终轨道和NAIF CLPS Firefly着陆点核预测的多普勒（xval/lugre-predicted-doppler/predict_surface.py，独立于Kshana），在此前从未打开过的批次上预先登记2108e6ff。发现：非空性不成立；没有任何批次含有两次捕获。OP40被排除（元数据指向一个缺失的文件）；OP38、OP73、OP77_0、OP77_1什么都没有捕获，且在1e-7下没有虚警（最高统计量325至356，门限为385.9）；OP74和OP76捕获PRN 31，OP78_0和OP78_1捕获PRN 12，每次都是单独一颗，均被预测为可见。仍为MODELLED。已披露的偏离：所登记的10 Hz多普勒判据依据的是相干精化的合成蒙特卡罗，而不是集成方所要求的、已见批次的离散；OP40在运行前即被排除，因为其元数据指向数据集并未提供的一个样本文件 | acquisition, realdata::ion_sdr, realdata::lugre | tests/lugre_surface_acquisition_doppler_oracle.rs::each_surface_acquisition_is_a_single_predicted_visible_satellite（已固定的发现，受数据限制）；tests/lugre_surface_acquisition_doppler_oracle.rs::surface_acquisitions_match_the_orbit_predicted_doppler（严格，因该缺口而被忽略） |
| 月球差分PNT | NovaMoon类差分参考站：共模抵消 + 随基线增长的残差 + DGNSS保护级 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——差分误差抵消恒等式 + 复用DO-229E SBAS PL机制；单差 + WLS求解另外对照RTKLIB的lsq()/matinv()（Takasu，BSD-2-Clause，已编译的C代码）做了交叉核对——求解器代码是独立的，但一阶视线差代数相同，因此仍为InternalConsistency | lunar_dpnt | lunar_dpnt::tests（时钟共模精确抵消；残差随基线增大；复用SBAS PL；卫星数量遵守构建器的上限24，因此较大的星座不会被悄悄返回为较小的星座）；tests/lunar_differential_pnt_reference.rs（单差残差 + WLS位置求解，对照由C源码编译的RTKLIB lsq()） |
| 月球互操作性导出 | 与LunaNet/IOAG对齐的月球坐标系 + 时间 + 星历导出（CCSDS OEM + KIF），带往返一致性检验 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——kshana的月球OEM导出被独立的第三方oem库（R. J. Anderson）重新解析：坐标系／时间标记及逐历元状态在写入精度内相符（1 mm / 1e-9 km/s），且丢失TIME_SYSTEM的导出被拒绝——这是结构性的交换往返；月球坐标系／时间的物理语义由其各自的行验证，因此本行仍为MODELLED。0.30外部比较，一项发现（仍为MODELLED）：第二个独立读取器，即Orekit 12.2的CCSDS OEM解析器（Apache-2.0，严格默认设置），拒绝两个月球文件，因为它没有实现LTC和TCL时间系统（它能解码本crate的EME2000/UTC OEM，并且在将TIME_SYSTEM替换为TDB之后能解码月球文件）；oem 0.4.5只有通过从不受支持的时间系统回退，才能在写入精度内解码它们。这些月球文件与主流CCSDS读取器之间的交换并未确立 |
lunar_interop | lunar_interop::tests（OEM携带月球REF_FRAME/TIME_SYSTEM；时间元数据往返；KIF封装）；tests/lunar_interoperability_export_reference.rs（kshana输出的月球OEM被独立的oem Python库重新解析：REF_FRAME/TIME_SYSTEM/CENTER标记 + 逐历元状态达到格式精度；损坏的导出被拒绝）；tests/lunar_interop_oem_oracle.rs::recorded_two_reader_outcome_is_for_todays_export |
| 与PNT韧性框架对齐的评分 | 针对Kshana自己的七个韧性类别（不是DHS术语）、RethinkPNT RDRR功能和Yang准则的各维度子分数，每项都标注为由模型计算得出并注明其驱动因素；带有有界退化门限的暂定RPCF等级。基于仿真得出的自我评估，绝非认证。 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——手工推导的逐指标公式：逆Simpson多样性、加权平均综合值、有界／无界时间线时长、最弱环节的Level阶梯 | resilience::arch, resilience::score, resilience::diversity, resilience::timeline | resilience::score::tests（单调性，综合值界，等级上限，modelled-provenance）；resilience::diversity::tests（逆Simpson，共模，SPOF） |
| 韧性分数的决策不稳定性研究 | 量化在合理的加权单纯形和威胁集合下，单一综合得分 / RPCF Level如何重新排列各架构的次序（top-1翻转率、Kendall-tau离散度、Level翻转率、排名范围）；以及声明值与实测值对比和多样性坍缩分析。 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——闭式秩统计恒等式（tau属于 [-1,1]，带手工算出的值；确定性的带随机种子Dirichlet）以及构造出的稳定／不稳定见证 | resilience::stats, resilience::study, resilience::panel | resilience::stats::tests（Kendall-tau手算示例，Dirichlet单纯形，翻转率）；resilience::study::tests（稳定性对照，不稳定性见证，声明值对实测值，多样性坍缩） |
| 演示的代表性与距飞行的差距 | 对演示输出作出限定的逐结果诚实台账：其外部锚点、建模假设、距飞行的差距和有代表性的TRL区间，并强制执行不变量（经核对的项需要外部锚点；由模型计算得出的项需要差距，且不能声称高于TRL 4）。 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——闭式不变量，对应“已论证代表性 + 已识别到飞行的差距”这一compliance规程；与验证状态／参考基准类别的界线相关联 | representativeness | representativeness::tests（validated-needs-external-anchor、modelled-needs-gap、modelled-TRL-ceiling、malformed-band、JSON字段） |
| 量子对经典的权衡证据（通用形式） | 一个可复现的TradeEvidence对象（固定框架：场景+种子+引擎；每个性能指标上通用的量子对经典数值，带极性正确的收益，可选的95%置信区间，经核对/由模型计算得出的标签），附带一条代表性记录，使每个量子PNT垂直领域都以同样诚实的方式报告权衡。 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——闭式的收益／胜出者恒等式 + 对现有quantum_trade::TradeResult的忠实封装；诚实性与代表性台账和验证标签相关联 | qtrade | qtrade::tests（收益极性越高／越低越好，忠实封装真实的TradeResult，不诚实的证据被拒绝，已验证的FoM需要外部锚点，确定性JSON） |
| 量子器件误差模型库 | 器件卡片（光学/囚禁离子/汞离子 + 复用自holdover/clock_state的经典时钟；冷原子干涉仪；经典与纠缠/单光子时间传递链路），每张都带有代表性记录；纠缠链路增加一个散粒噪声受限的授时精密度模型（~jitter/sqrt(R*tau)，暗计数惩罚，系统误差下限）。 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——复用的时钟／CAI系数（守时（holdover）/clock_state，已发布的值）+ 纠缠链路的闭式散粒噪声／损耗恒等式 | quantum_devices | quantum_devices::tests（时钟卡诚实且有序；纠缠精度 ~1/sqrt(tau)；检测率 -10x/10dB；暗计数使其劣化；系统性底限设界；卡为modelled+valid） |
| 可信量子授时（时间传递 + 安全分发 + 异常） | 端到端的量子对经典时间传递链路（时钟滑行 + 链路精密度按平方和合成），复用的授时保护级，延迟/重放攻击安全性能指标（1-P_md）以及时钟异常检测概率 + CUSUM延迟，作为诚实的TradeEvidence给出，并附代表性记录。 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——对复用的、经验证的核（ADEV对照Stable32/NIST；TPL界；检测analytic_pd/pmd）所做的闭式正交预算；诚实性与代表性台账相关联 | timetransfer_chain | timetransfer_chain::tests（精度随积分改善；量子既可能胜出也可能落败；PL有限且为正；安全FoM位于 [0,1] 并随攻击延迟增长；异常Pd单调；权衡is_honest） |
| 无GNSS的量子导航 | 在GNSS中断期间，量子（冷原子干涉仪）对经典导航级INS航位推算：位置误差增长、守时（holdover）到位置阈值，以及作为诚实TradeEvidence的量子对经典权衡；诚实的可观测性说明（没有定位修正时偏差不可观测，因此误差增长）。 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——复用的惯性预算，对照对同一航位推算ODE的独立Octave二重积分做了交叉核对（运行时不同，模型共用 → ReferenceImpl），并以Freier-2016已发布的短期噪声作为单侧锚点；量子对经典的综合结果仍为MODELLED | quantum_nav_od | quantum_nav_od::tests（在长时间中断中量子优于经典；优势取决于中断时长；权衡is_honest）；tests/gnss_free_quantum_navigation_reference.rs（航位推算位置增长对照独立的Octave二重积分 + Freier-2016已发布的噪声锚点） |
| 量子PNT系统的故障/异常检测 | 带标签的量子故障目录（时钟频率跳变/漂移/失锁；传感器偏差阶跃/掉线），带自助法置信区间的检测统计量ROC AUC，以及在固定虚警率下的最小可检测故障；量子时钟辅助的监测器能检测到比经典监测器更小的故障，作为诚实的TradeEvidence给出。 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——闭式高斯AUC = Phi(mu/(sigma*sqrt2))，对照经外部验证的eval_stats::bootstrap_auc_ci（对照scikit-learn）+ 检测解析门限做了交叉核对 | quantum_faults | quantum_faults::tests（解析AUC已知值；经验bootstrap AUC包住闭式值；量子检测更小的故障／更高的AUC；对于巨大的故障，优势消失；5类目录；权衡is_honest） |
| TDOA/FDOA被动辐射源地理定位 | 由接收机网络上的到达时间差定位辐射源（干扰源/欺骗源，或用于反向PNT的机会源）——τᵢ=(Rᵢ−R₀)/c双曲面交点用Gauss–Newton最小二乘求解——并在加入到达频率差（距离变化率差）且接收机运动时，联合恢复位置和速度；并由测量几何给出位置协方差上的Cramér–Rao下界 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——估计器与几何的自洽：正向→反向往返、Fisher/CRLB恒等式J·CRLB=I、GDOP单调性，以及估计器在蒙特卡罗噪声下达到其自身的Cramér–Rao界——这些是内部自洽检查，并非外部数据集，因此该行仍为InternalConsistency。MODELLED无源定位——点源视线模型；没有多路径／NLOS、接收机钟差或大气折射项。0.30第2轮，对照Ho和Chan 1993以及Ho和Xu 2004（预先登记f89018b8，每个印出值的1 %），一项发现（仍为MODELLED）：受地表约束的TDOA界复现40 N的几何因子（-0.11 %，-0.02 %）和最大TDOA；联合TDOA+FDOA界复现图6（+0.06 %，-0.17 %），并且在作者自己的代码为图7所指定的源处（该修订在看到那一结果之后写成，已披露），复现图7（+0.11 %，-0.02 %）；它与作者已发布的界代码（BSD式，在GNU Octave下运行）相等到3e-12；协方差加权的最大似然求解器达到所印出的界（+0.3至 +0.4 %）。论文由蒙特卡罗印出的Ottawa因子（251、7.1）相差 +1.3 % 和 +4.4 %，超出1 % 的判据 | geolocation | geolocation::tests（无噪声TDOA正向→反向到1e-6 m；J·CRLB=I，带对称正定协方差；添加接收机时，CRLB位置方差迹不增加；联合TDOA+FDOA恢复运动辐射源的位置+速度；<4台接收机被拒绝）；tests/geolocation_reference.rs（对四种几何、含3-D多样化网络的往返；Gauss–Newton估计器达到其Cramér–Rao界——经验误差协方差在4000次蒙特卡罗试验中跟踪解析界）；tests/geolocation_crlb_published_oracle.rs（ho_chan_1993_maximum_tdoa；ho_xu_2004_fig7_with_the_authors_corrected_source；ho_xu_2004_bound_matches_the_authors_code；finding_ho_chan_ottawa_printed_values_are_not_the_bound和finding_ho_xu_fig7_printed_source_is_not_the_plotted_one，已固定） |
| 3-DoF再入上的驻点对流再入加热（Sutton-Graves） | 驻点对流热流q = k sqrt(rho/R_n) V^3，采用地球空气和火星大气的Sutton-Graves常数（NASA TR R-376，1971），其峰值和沿3-DoF再入（弹道式或恒定倾侧角的升力式，在地球或火星上）的积分热负荷。 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——内部自洽：NASA TR R-376中所印的关系式和常数、半步收敛检查，以及热流和减速度峰值的预期顺序。不包括的内容：没有与任何已发布的热流值比较（Stardust论文给出设计限值以及约1200 W/cm2的对流加辐射估计，仅含对流的关系式无法与之相符）；没有辐射热流、壁温或催化性修正，也没有热防护响应。 | entry_eo_ascent::entry_heating (stagnation_heat_flux, simulate_entry) | entry_eo_ascent::entry_heating::tests::heat_flux_relation_has_the_published_form_and_constants；entry_eo_ascent::entry_heating::tests::lift_lowers_peak_deceleration_and_heat_flux_of_a_shallow_entry；entry_eo_ascent::entry_heating::tests::mars_entry_runs_with_the_mars_constants；tests/entry_stardust_published.rs（为Stardust记录746 W/cm2，不设判据） |
| 光电成像仪辐射测量、MTF、相对边缘响应与GIQE 4 NIIRS | 天底成像仪信噪比预算（Lambertian场景辐亮度、相机方程、散粒噪声、暗噪声、读出噪声和量化噪声），奈奎斯特处的系统MTF（为无遮挡孔径衍射、探测器孔径、线性拖尾与Gaussian抖动之积），由该MTF积分得到的边缘响应与相对边缘响应，Q = lambda F / p，以及不带MTF补偿的GIQE 4版NIIRS。可作为eo-radiometry场景类型运行。 |
InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——闭式：半截止频率处的衍射MTF，纯探测器孔径的一像素斜坡边缘（RER 1），高斯模糊的正态CDF边缘（RER = erf(0.5/(sigma sqrt 2))），散粒噪声缩放，以及已发布的GIQE 4系数（Leachtenauer等，Applied Optics 36(32)，1997）。不包括的内容：没有与任何外部成像仪、实测MTF或已评级图像比较；GIQE是带自身误差的经验回归；没有杂散光、大气MTF、MTF补偿或混叠。 | entry_eo_ascent::eo_radiometry (Imager, snr_budget, giqe4_niirs, EoRadiometryScenario) | entry_eo_ascent::eo_radiometry::tests::diffraction_mtf_has_its_closed_form_values; entry_eo_ascent::eo_radiometry::tests::a_pure_pixel_aperture_has_a_ramp_edge_and_rer_one; entry_eo_ascent::eo_radiometry::tests::a_gaussian_blur_has_the_normal_cdf_edge; entry_eo_ascent::eo_radiometry::tests::snr_budget_scales_as_shot_noise_when_signal_dominates; entry_eo_ascent::eo_radiometry::tests::giqe4_switches_coefficients_at_rer_0_9_and_falls_with_gsd |
| 发射上升段的重力、阻力、转向和背压损失 | 多级飞行器在非旋转球形地球上通过US Standard Atmosphere 1976（密度和压力）的平面重力转弯上升，带俯仰踢动、因喷管背压而减小的推力、恰在步长边界上的级关机，以及与状态一同积分的重力、阻力、转向和背压损失。可作为ascent-losses场景类型运行。 |
InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——内部自洽：精确恒等式 关机速度 = 求和Isp g0 ln(m0/mf) 减去四项积分损失（残差低于1e-6 m/s）、以重力为唯一损失的垂直真空燃烧上的Tsiolkovsky方程，以及US76海平面和对流层顶气压。不包括的内容：没有与任何已发布运载器的损失比较；没有地球自转、滑行、节流，也没有除踢转之外的制导；C_D恒定；不是轨迹优化器。 | entry_eo_ascent::ascent (simulate_ascent, AscentScenario); reentry::us76_pressure | entry_eo_ascent::ascent::tests::the_loss_identity_holds_to_integration_error; entry_eo_ascent::ascent::tests::vertical_vacuum_burn_has_only_gravity_loss_and_stays_vertical; entry_eo_ascent::ascent::tests::us76_pressure_has_the_standard_values; entry_eo_ascent::ascent::tests::a_larger_kick_lowers_burnout_flight_path_angle |
| TWSTFT双向方程、不确定度预算与带闪烁和日变非互易性的链路稳定度 | 针对T_A - T_B求解的TWSTFT双向方程，含站发射与接收延迟、Ku波段电离层上/下行不对称、转发器延迟差和Sagnac项，并对照其精确正向模型；以链路TDEV为A类项的平方和不确定度预算；带白相位噪声和闪烁相位噪声（Kasdin-Walter）、日变非互易性和恒定互易性残差的双向序列；以及所提供的Circular T、MJD-CSV或IGS RINEX测站钟序列的速率、残差RMS、TDEV和ADEV。可作为time-transfer-budget场景类型运行。 |
InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——内部自洽：正向模型与所解方程相符到1e-15 s，Sagnac项等于该模块独立的BIPM 2A omega/c^2回路形式，电离层项为40.3 TEC (1/f_up^2 - 1/f_down^2)/c，且噪声过程呈现其预期的TDEV形状。不包括的内容：没有与任何真实的TWSTFT测量或标定报告比较；所给的时延和不确定度是输入，不是测量值；所提供序列的稳定度只是被报告，并未经验证。 | twstft_budget (counter_readings, solve_offset, combined_uncertainty, flicker_phase, two_way_series, series_stability); time_transfer_budget (TimeTransferBudgetScenario, read_series) | twstft_budget::tests（双向方程精确恢复偏移；Sagnac项等于BIPM回路闭式；电离层项随频率分离而变化，对流层相互抵消；闪烁相位的TDEV平坦；日变化残差在半天附近抬高TDEV；互易性偏差使偏移移动，但不改变TDEV；序列稳定度会去除速率）；time_transfer_budget::tests |
| 光学斜程大气数值：Rytov方差、闪烁、gamma-gamma衰落概率、孔径平均、云与晴空光学厚度 | 沿斜程积分的Hufnagel-Valley Cn2，得到平面波与球面波Rytov方差（上行与下行）、Andrews-Phillips闪烁指数和gamma-gamma参数、gamma-gamma衰落概率与衰落裕度、弱湍流孔径平均因子、液态水柱的云光学厚度，以及Kim能见度加Rayleigh晴空光学厚度；在提供大气时，取代光链路预算中的集总大气损耗。可在optical-atmosphere场景类型内运行。 |
ExternalDataset | 某一子声明经过外部核对，但整项能力由建模部分组合而成，因此该能力仍为建模级——数值与一个独立程序（xval/optical-atmosphere/oracle.py，mpmath 1.4.1，30位精度，对原始高度变量做tanh-sinh求积，以及Bessel-K gamma-gamma密度）比较，该程序与Kshana不共享任何代码，所依据的判据在任何实现出现之前即已固定（xval/optical-atmosphere/PREREGISTRATION.md）。为何为MODELLED：该参考基准计算的是同样已发布的公式，因此它核对的是既定公式的实现，而不是大气；没有使用ITU-R验证算例，也没有使用实测闪烁或斜程消光记录（ITU数值是一项尚待决定的许可问题，因此未纳入仓库）。Cn2剖面水平、能见度、气溶胶和分子标高、孔径平均路径长度，以及用于将孔径平均应用于gamma-gamma参数的矩匹配，都是既定输入或约定。模块中的一行来源说明记录了：一份被广泛转抄的综述把第二个闪烁指数印成7/6，而Andrews和Phillips给出的是5/6；此处实现的是5/6形式 | optical_atmosphere (rytov_variance, scintillation, gamma_gamma_cdf, fade_margin_db, aperture_averaging_factor, cloud_optical_depth, clear_air_optical_depth); optical_linkbudget (optical_link_budget_atmosphere) | tests/optical_atmosphere_reference.rs（预先登记的判据A1-A3，对照独立的mpmath参考基准：216个Rytov网格点，最差相对误差3.4e-7，判据为1e-6；闪烁最差4.5e-16；孔径因子最差5.7e-16；96个gamma-gamma衰落概率在log10下最差1.3e-12；云和晴空光学厚度最差6.6e-16）；tests/optical_atmosphere_no_moved_output.rs（判据A5：在1,000组参数上，集总损耗链路预算和现有的站点可用性输出与基础提交逐位相同） |
| 受天气驱动的光学地面站点可用性与随距离相关的站点分集 | 光链路在给定链路裕度下的可用性，来自对数正态云液态水气候（ITU-R P.840量，几何光学消光）和独立的gamma-gamma湍流衰落，目标可用性所需的链路裕度及任何裕度都无法突破的上限，对数正态中断持续时间，增强技术的假设分析，以及单因子Gaussian-copula网络可用性，其成对相关性为exp(-distance/decorrelation length)。可作为optical-atmosphere场景类型运行。 |
InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——内部自洽：分集模型的闭式极限和单调性、云幕闭式，以及对数正态中断恒等式。不声称有外部参考基准，也没有与之比较：没有使用任何实测的光学地面站可用性或无云视线记录。为何为MODELLED：云气候（云的概率、液态水柱的中位数和离散度、中断时长）、云与湍流相互独立、高斯copula形式、去相关长度以及每一项技术增益都是假设；所附场景给出的是ILLUSTRATIVE气候，不是数据集。要升级本行，需要有所引用的实测可用性记录，以及在比较之前登记的判据 | optical_weather; optical_sitediv; optical_techniques; optical_atmosphere_scenario | tests/optical_atmosphere_identities.rs（判据A4：rho = 0等于独立并集，rho = 1等于最佳单站，相符到1e-12，且在站点数和相关性上都没有单调性违例；该判据首次运行未达到3e-9，因为所用的正态CDF是1.5e-7的Abramowitz-Stegun形式，这是一处实现缺陷，已替换为不完全gamma CDF，判据不变）；optical_weather::tests和optical_sitediv::tests（单调余量，作为闭式的云幕，中断时长恒等式，余量搜索的反演） |
| 光学中断期间的授时与测距连续性 | 光学站点的中断持续时间分布，与守时（holdover）模型的闭式滑行方差耦合：在给定中断分位数处的授时与测距误差、到授时阈值的守时时长、处于其内的中断比例和中断时间比例，以及授时可用性A + U E[min(D, T_h)]/E[D]，分别针对经典和量子时钟类别。可在optical-atmosphere场景类型内运行。 |
InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——与守时（holdover）模块逐位一致的内部自洽；不声称有外部参考基准。各类别PSD是守时模块本就带有的合成长tau底限，因此这些数字继承其所述的警示：对严格门限的守时由所假定的红噪声底限决定，而不是由所引的阿伦偏差决定。中断时长是带既定参数的对数正态模型，不是实测的云滞留记录 | optical_outage_holdover (couple, clock_psds); holdover (coast_phase_sigma, holdover_seconds, phase_to_range_m) | tests/optical_atmosphere_identities.rs（判据A6：逐次中断的定时误差等于holdover::coast_phase_sigma，距离误差等于phase_to_range_m，在9种时钟、3种平均时长、3种离散度和4个分位数上逐位相同）；optical_outage_holdover::tests |
| 光链路裕度随时间变化：某一站点天气的一次带随机种子的实现 | 一个可选启用的[timeseries]表（持续时间、步长、种子）使optical-atmosphere类型还会针对每个站点，写出所述站点模型随时间的一次带种子的实现：云事件（晴期为指数分布，云中断为带所述均值与散布的对数正态，云中时间占比设为所述云概率），每个云事件一个对数正态液态水柱，每步一个gamma-gamma闪烁采样，并由这些得出链路裕度、云与闪烁衰落和链路在线标志，以及实现的可用性、云占比、中断次数和最长中断。没有该表时，结果就是0.37文档。抽样经由可移植的分布与数学路径进行，因此原生与wasm32给出相同的字节。 |
InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——仅为内部自洽；不声称有外部参考基准，对于天气实现也不存在这样的基准。这些检查把一次抽样与同一模型的统计输出相比较，因此通过只说明生成器是按既定分布采样的（抽样的可用性和云占比落在已预先登记的、相对于既定数字的容差之内），而不说明任何真实站点会如此表现。该序列只是一次实现，不是气候：其可用性与既定值相差一个抽样误差，且不同步长上的闪烁采样相互独立，这是对一个在毫秒内去相关的过程所作的既定简化。天气输入仍是该场景的假设。 | optical_timeseries (site_series, SiteModel, SeriesSpec, Series); optical_atmosphere_scenario (TimeseriesSpec) | tests/optical_atmosphere_timeseries.rs（xval/optical-atmosphere/PREREGISTRATION-timeseries.md的判据T1-T6，首次运行前固定：相同随机种子得到相同字节，另一随机种子得到不同字节；没有表则没有键；在600 s步长上共8760 h，随机种子37和38，三个默认站点各自的实现可用性与既定值相差在6个百分点以内（最差3.3），实现的云量占比与既定概率相差在5个百分点以内（最差2.1）；余量等于预算减去两次衰落，且每一步的可用状态等于余量非负；该模块中没有不可移植的数学调用；过长的运行和错误的步长被拒绝） |
| TRK-2-18轨道数据文件读取器与火星斜坡式2-way多普勒模型 | DSN轨道数据文件（TRK-2-18）的读取器：36字节的记录组（文件标签、标识符、轨道数据、各测站斜坡、时钟偏差、摘要、文件结束），以及每条轨道数据记录中的自1950年起算的时间标记、下行与上行时延、观测量、测站、数据类型、频段、有效性、通道、航天器、46位参考频率和压缩时间；斜坡的起止时间、速率和起始频率。在此之上，还有斜坡式2-way X波段多普勒模型（积分的上行斜坡、含Shapiro效应和对流层的往返光行时、经IAU 2006/2000A CIO链和IERS EOP的DSN测站、测站时间），以及火星轨道器批处理定轨（GMM-3场、第三体、SRP、阻力）。 | ExternalDataset | 某一子声明经过外部核对，但整项能力由建模部分组合而成，因此该能力仍为建模级——DSN导航数据调理流程随文件生成的PDS3标签（NASA PDS Geosciences Node，MRO-M-RSS-1-MAGR-V1.0），对照在读取器存在之前于xval/mro-odf/PREREGISTRATION.md中预先登记的判据核对。之所以为MODELLED，是因为有一项已登记的判据（文件尾表的行数，文件中为121，标签中为120）未达到；标签在此处内部不一致。第2阶段（xval/mro-od/PREREGISTRATION.md，修订A1和A2先于计分结果）：由MRO导航团队重建结果（mro_psp5，NAIF）预测的多普勒，在开发中未使用的过境弧段上与观测到的带斜坡的2-way多普勒相符到12.5 mHz，判据达到；所登记的定轨在计分弧段上失败（正规矩阵不正定），没有产生轨道，因此轨道判据未达到。第2次运行（xval/mro-od/PREREGISTRATION-RUN2.md，阻尼估计器，同一弧段和判据，计分修订R2-A1已在docs/revisions中披露）收敛：估计轨道与重建结果相差0.36 km RMS（最大0.53 km），判据达到，但拟合后多普勒RMS为48.6 mHz，对照30 mHz的判据，未达到，因此该行仍为MODELLED。不包括的内容：没有任何估计轨道达到全部已登记的判据；电离层、太阳等离子体以及大部分天线偏移（在开发过境上拟合了1.5 m的径向偏移）均未建模。 | odf (parse_odf, Odf, OdfObservation, OdfRamp, seconds_1950); mars_od (DopplerModel, RampTable, compress_two_way, MarsDynamics, fit, fit_damped); naif_kernel (SPK type 1); gravity_pds (SphericalHarmonicField::from_shadr) | tests/mro_odf_reader_label_oracle.rs（一份真实的MRO ODF，2007-304/305，对照其PDS标签：记录数、分组位置、测站、起止时间和数据类型均成立；文件尾表的行数相差一，属标签不一致，已作为发现固定）；odf::tests（手工构建的记录往返，1950历元）；tests/mro_odf_short_arc_od_oracle.rs（受数据限制，输入的SHA-256已固定，需要含真实数据的月度CI：由MRO导航重建结果mro_psp5预测的多普勒，在计分的DSS 63和DSS 14过境上，12.5 mHz RMS，判据30 mHz，达到；所登记的定轨没有产生轨道，已作为发现固定；使用阻尼估计器的第2次运行，另行登记：轨道相对mro_psp5为0.36 km RMS和最大0.53 km，达到，拟合后多普勒48.6 mHz，对照30 mHz，未达到，已作为发现固定；SPK类型1读取器对照CSPICE，5e-7 m）；mars_od::tests |
| 基于陀螺和星敏感器的乘性EKF姿态估计 | Lefferts-Markley-Shuster乘性EKF：本体系姿态误差和陀螺偏置状态，以陀螺速率减去偏置估计并采用Farrenkopf离散过程噪声（角度与速率随机游走）进行传播，星敏感器更新采用Joseph形式的残差2 vec(q^-1 q_st)，以及乘性重置；还有Farrenkopf离散陀螺与星敏感器模拟器。aocs类型可以基于其估计值闭合控制回路。 |
InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——内部自洽：滤波器的归一化估计误差平方，对照在蒙特卡罗随机种子上由同一套传感器模型仿真的真值；以及姿态和偏置估计的收敛。不包括的内容：没有与任何外部估计器或飞行数据比较（Basilisk 2.9.1没有MEKF模块）；传感器模型是教科书式的，不含失准、标度因子或星敏感器视场效应。 | aocs_mekf (Mekf, GyroSim, attitude_error, spd_solve6); aocs_kind (estimator) | aocs_mekf::tests::mekf_is_consistent_over_monte_carlo_seeds（40个随机种子，后半段的六自由度NEES均值在4.5至7.5以内）；aocs_mekf::tests::star_tracker_updates_bound_the_attitude_error；aocs_mekf::tests::attitude_error_is_the_body_frame_small_angle；aocs_kind::tests::estimator_loop_runs_and_reports_consistency |
| 孔径的导航与通信占空比 | 一次运行接收一份联系计划（aos_s/los_s窗口列表，每个窗口请求孔径用于导航或通信，使用与passes::predict_passes输出相同的窗口词汇，由aperture_duty::windows_from_passes转换）、孔径数量和一条明确的仲裁策略，并返回导航占空、通信占空、空闲占空以及每次会话的中断。策略是一项输入，有文档化的默认值（navigation-priority；另有communications-priority和非抢占的first-come-first-served），报告中带有解析后的策略、其完整定义以及占空和中断的定义，因为不附带其仲裁规则的占空数字是不可复现的。调度是对窗口边界做的精确区间扫描，因此恰好在下一个窗口开始处结束的窗口从不发生争用，而导航、通信和空闲的孔径秒数在这一次扫描中被独立累计。可作为aperture-duty-cycle场景类型运行 |
InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——内部自洽：在同一次扫描中由不同表达式算出三个量，再要求它们闭合。导航孔径秒数、通信孔径秒数和空闲孔径秒数分别累加——空闲部分按每个基本区间的 (apertures − |served|) 累加，绝不作为余数——其总和被断言等于apertures × horizon_s，边界划分有误、区间重复计数或遗漏都会立即破坏这一等式；每个会话的服务时间另外被要求加回到两项服务总量。调度器的结构性质是测量出来的，而不是假定的：对三种策略，在200个伪随机计划上断言服务时间随孔径数不递减（对不可抢占策略并不显然，多一个孔径会改变之后每个边界上谁持有什么），边界运算在恰好相接／重叠一秒的那一对上固定，否则差一错误会藏在那里。通过预测器的桥接对照passes::predict_passes输出核对：在只有一个孔径且没有竞争服务时，导航孔径秒数等于预测器自身汇总的过境时长。不声称有外部参考基准，也不存在这样的基准：该能力取代的是手算，而不是被拿来对照手算核对；所附的接触计划是示意性的，不是实际飞行的；没有任何运行中的调度器发布附带仲裁规则的“计划加答案”对——在未说明策略下算出的占空比，无法与在已说明策略下算出的相比，而策略依赖性是测量出来的（同一计划上的导航占空比为100/150对50/150）。转向和切换时间、数据量、缓冲状态、能量和链路闭合在报告标签中被明确排除，而不是被悄悄建模 |
aperture_duty | aperture_duty::tests（一个窗口恰好在下一个窗口开始时结束，则二者不竞争，将其提前一秒则恰好多损失一秒——差一防护；超出孔径数的重叠窗口使排名较低的会话中断，竞争区间已固定；仲裁策略决定哪项服务持有孔径，三种策略的数字都在同一个计划上固定；先到先服务不抢占已持有孔径的会话；在起始时仲裁失败的会话会在孔径空闲时获得孔径；三种占空比涵盖了3种策略 × 4种孔径数下的每一个可用孔径秒；增加孔径绝不增加任何会话的中断，在200个伪随机计划 × 3种策略 × 每种孔径数上测量；孔径足够每个会话使用时完全没有中断；报告时段对计划做裁剪并设定占空比分母；预测的过境列表无需第二种窗口类型即可成为接触计划；所附计划的占空比数字是一个和两个孔径下的引擎输出；报告写明产生这些数字的策略；每个报告数字都带有单位和来源类别；该场景可复现，并声明自身为MODELLED；该场景拒绝它无法调度的计划）；api::tests::aperture_duty_cycle_kind_round_trips_through_the_dispatch |
| 月面导航射频压制干扰（逐卫星J/S） | 在示意性的、取自公开来源的Moonlight/LCNS类星座之上，月面（或抬高的）干扰源作用下，月面经纬坐标用户的月球原生干信比、有效C/N₀ 和失锁。它组合了开放的压制干扰链（j_over_s_db、effective_cn0_dbhz、rx_antenna_gain_db、lock_status、q_factor、nominal_cn0_dbhz、free_space_path_loss_db）与开放的月球天空几何（lunar_service::LunarConstellation加topocentric、lunar::selenographic_to_mcmf）；不重新推导任何几何或辐射度量。与地球的jamming类型不同，信号一段不是固定的接收功率：每颗卫星的各向同性接收功率是其自身链路预算的EIRP − FSPL（斜距），所以J/S随月球距离和仰角逐卫星变化。对每条可见（历元，卫星）链路各输出一行（每条链路一行），格式为JSON以及 *.table.csv制品，并在旁边印出构成J/S之差的两个接收功率；汇总性能指标放在该表之旁，决不取代该表。可作为lunar-jamming场景类型运行 |
ReferenceImpl | 与同一代码库中的另一套独立实现核对——独立于被测单元，但不具外部权威性——针对仓库内独立代码路径的组合交叉核对：每条链路的J/S都被重新推导为两次链路预算之差，所用为linkbudget::received_signal_power_dbw，其自由空间损耗是单一表达式20·log10(4πRf/c)，而不是jamming::free_space_path_loss_db所用的三项之和——两者在每一行上都相符到< 1e-9 dB（实测最差情形7.11e-14 dB，即浮点舍入）。它所组合的底层干扰链已在tests/gnss_denied_jamming_resilience_reference.rs中另行获得外部锚定（对J/S和有效C/N₀ 做独立的numpy/scipy重新推导，固定到Kaplan & Hegarty第9.4节，以及JammerTest 2024实测C/N₀，Zenodo 10.5281/zenodo.15910563）；它所组合的月球几何是lunar_service/lunar几何，各有其自己的参考基准。此处核对的闭式恒等式：干扰机距离减半，则每一行恰好增加20·log10(2) dB；J/S对用户天线视轴增益恰好不变，而C/N₀ 恰好随该增益变化；仰角掩蔽不改变任何保留行的任何一位。该行本身仍为ReferenceImpl／建模级：不存在可供验证的实测月球干扰测评活动，且该星座是示意性的、来自公开来源的Moonlight/LCNS类几何，不是实际飞行星历 | lunar_jamming (composing jamming, lunar_service, lunar) | lunar_jamming::tests（17个库测试：j_over_s_equals_the_difference_of_two_independent_link_budget_runs；the_report_prints_both_link_budget_legs_so_the_difference_is_checkable_from_it；the_scenario_reports_one_j_over_s_row_per_visible_satellite_and_never_a_median；a_single_median_j_over_s_would_misreport_the_outcome_that_the_table_reports；a_closer_jammer_raises_j_over_s_by_exactly_the_free_space_loss_difference；a_more_distant_satellite_is_the_weaker_signal_so_it_carries_the_higher_j_over_s；j_over_s_is_invariant_to_the_user_antenna_boresight_gain；a_narrowband_jammer_leaves_no_higher_effective_cn0_than_broadband_at_equal_js；a_selenographic_jammer_gets_its_range_from_the_shared_lunar_geometry；a_strong_enough_jammer_takes_every_lunar_link_below_the_tracking_threshold；no_jammer_is_a_clean_sky_lunar_baseline_with_an_undefined_j_over_s；raising_the_elevation_mask_can_only_remove_rows_never_change_the_ones_that_remain；every_emitted_numeric_field_has_a_unit_and_a_provenance_class；the_csv_table_carries_every_row_of_the_json_table；the_run_is_deterministic_and_the_dispatch_surface_is_populated；bad_inputs_are_rejected_rather_than_producing_a_number）；api::tests::lunar_jamming_kind_round_trips_through_the_dispatch_with_a_per_satellite_table |
| 带有由实测C/N₀ 散布得到的不确定带的月球拒止等值线 | lunar-jamming报告不再把拒止等值线建立在单个标量上。它在逐卫星表之上输出完整的实测期望信号C/N₀ 分布：n、最小值、p05、p25、中位数、p75、p95、最大值、均值、样本标准差，以及样本自身的不对称度 (p95 − median) − (median − p05)，并置于逐链路各行之旁，各行不变。随后，等值线按这些顺序统计量逐一给出，同时采用引擎认可的两种拒止判据（BOTH），绝不以其一取代另一：现行的功率比判据（J/S = 30 dB，与attack_surface和tracking_loop使用的阈值相同，也是已发布的月球链路压制干扰表中denial一列背后的判据），以及失锁判据（有效C/N₀ 降到tracking_threshold_dbhz），本报告自身的links[].status一列即以此评分。每个等值点都在拒止平面的两条轴上给出：在场景的干扰距离下所需的干扰源EIRP，以及在场景的EIRP下的拒止距离，因此这个带是绘制等值线图所用的同一坐标轴上的一个区间。带的边缘就是（ARE）contour(p05) 和contour(p95)：同一个闭式映射作用于样本自身的分位数，不是拟合到样本上的sigma，也不是中位数 ± k·stdev，报告在数值旁的band_definition字符串中如此说明。stdev是为保持连续性而输出的，不被任何部分使用。C/N₀ 已处于或低于跟踪阈值的分位数没有有限的拒止J/S；这些列输出为null并附带计数的原因，而不是输出为无穷大或被截断的半径 |
InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——对照引擎自身正向函数的内部自洽，这是该能力所能诚实声称的全部。每个等值线点都是一次闭式反演，每次反演都通过把其答案推回报告各行所采用的正向函数来核对：J/S列经jamming::effective_cn0_dbhz（必须返回tracking_threshold_dbhz，相符到< 1e-9 dB-Hz），距离列经jamming::free_space_path_loss_db和jamming::j_over_s_db（相同的J/S，相符到< 1e-9 dB），EIRP列经jamming::j_over_s_db，取场景自身的距离。等值线还被进一步核对为拒止集合的边界，而不是其内部的一个点——lock_status依严格不等式失锁，因此判定经测量在等值线两侧各1e-4 dB的J/S范围内由DEGRADED翻转为LOST，差一个epsilon的等值线会通不过这一检查。最强的检查是逐链路而不是逐分位数：把同一映射应用于每一行自己的C/N₀，可精确复现报告的状态列——在文档记载的工作点（kind = lunar-jamming，除jammer.range_m = 25,000 m外所有输入均取默认值）上，38行中的38行有0处不一致，其中26行为LOST，12行不是。单调性是测量出来的，而不是假定的：在 [tracking_threshold + 1e-3, 80] dB-Hz范围内取20,001个样本，对严格递减的距离和严格递增的所需功率有0次违例，因此该区间带的分位数排序得到了演示，而不仅是断言。有意不采用ExternalDataset，Validated也随之不采用：不存在可供对照拒止半径的实测月球干扰测评活动，该星座是示意性的、来自公开来源的Moonlight/LCNS类几何，而不是实际飞行星历，且等值线的输入（EIRP、干扰机功率、天线增益、噪声温度）是具代表性的量值。也曾考虑ReferenceImpl并同样予以否决——反函数与正向表达式是同一套代数的两个读法，因此往返检验能发现转录和符号错误，但不是独立实现；称其为交叉核对，就成了借用独立性，而矩阵的不变量正是为防止这种做法而设。该区间带所带来的是经测量并引用的，而不是断言的：在该工作点上，单一标量等值线为27.402916 km，并使全部38行都落在25 km的被拒止一侧，而区间带21.256108 .. 29.921360 km含有该工作点，因此报告的是该表实际显示的分裂。这两个判据经测量也互相不一致——功率比区间带（38.186527 .. 53.691675 km）根本不含25 km——因此两者都被印出 | lunar_jamming (denial_js_db, range_for_free_space_path_loss_m, Cn0Distribution, DenialContourPoint, ContourBand, DenialContour; inverting jamming::effective_cn0_dbhz, jamming::j_over_s_db and jamming::free_space_path_loss_db) | lunar_jamming::tests（10个库测试：the_contour_is_the_exact_inverse_of_the_functions_the_rows_were_scored_with；the_band_is_the_measured_quantiles_pushed_through_the_contour_not_a_sigma；the_asymmetry_the_band_carries_is_the_samples_own_shape_bent_by_the_criterion；the_contour_is_monotone_in_cn0_measured_over_a_dense_sweep_not_assumed；the_band_recovers_the_split_verdict_the_single_scalar_contour_lost；the_distribution_is_the_tables_own_order_statistics_and_keeps_the_rows；a_link_already_below_the_threshold_gets_a_null_contour_point_not_a_number；a_clean_sky_run_has_no_contour_at_all_rather_than_an_empty_one；the_denial_threshold_is_the_same_thirty_decibels_the_rest_of_the_engine_uses；the_units_block_describes_the_contour_and_names_nothing_the_report_omits） |
| 跨模态完好性监测器的检测能力 | hybrid-optical-rf报告说明跨模态卡方监测器实际上能检测（DETECT）到什么，而不只是说明它通过无故障情形：在场景所述的虚警概率和漏检概率下，每个受监测轴（东、北、天、钟）的最小可检测偏差、其两侧的检测能力曲线、实际统计量首次越过阈值时的无噪声偏差倍数，以及在所述速率下对偏差斜坡的检测时间。还通过真实的监测器注入故障，并将其返回的统计量与解析预测一并报告 | InternalConsistency | 与其自身的闭式／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——两个内部参考基准，没有外部数据集。(1) 闭式往返：最小可检测偏差由对非中心卡方尾部在非中心参数上求反得出（raim::pbias），并通过把所得非中心参数在监测器自身门限处代回raim::noncentral_chi2_cdf加以验证，其结果必须返回P_md。(2) 注入对解析：把一个偏差写入某一轴的射频估计，并重新运行cross_raim::run_cross_raim，因此与解析非中心参数比较的统计量是监测器自己算出的，而不是重新推导的。对统计量本身带随机种子的蒙特卡罗作为第三项检查保留在测试中；它有意不放入报告，因为采样估计会更慢，也无法逐位复现。不采用ExternalDataset：该量是本监测器在本场景sigma分配下的检测功效，而MDB所依据缩放的sigma量值是建模级的代表性输入，不是测量值。也曾考虑ReferenceImpl并予以否决——蒙特卡罗采样的是解析所描述的同一统计量，因此能发现转录和系数错误，但不是监测器的独立实现。0.30第2轮（预先登记0135a9e4），受阻（仍为MODELLED）：SciPy 1.18.1的chi2/ncx2/brentq在五种配置上复现了报告的门限（在5.4e-12以内）、逐轴MDB、功效曲线、交越倍数和斜坡检测时间（在5.3e-10以内）；注入故障的统计量没有独立参考基准，且sigma量值是建模级输入，因此范围界定有待所有者作出决定 | hybrid_integrity | hybrid_integrity::tests（检测功效曲线从零故障时的虚警率，一直到最小可检测偏差处的1 − P_md；将最小可检测偏差在监测器自身所用的门限处代回noncentral_chi2_cdf，返回P_md，相符到1e-9，对每一个轴并经公共辅助函数均如此；实际注入射频估计的偏差使监测器自身的统计量恰好移动手算的b²/(σ_rf² + σ_opt²)；无噪声的偏差在 √(T/λ*)×MDB之上被捕获，在其之下被漏检，注入的梯度跨越该交越点；检测功效在故障量值上单调，且以MDB倍数计在四个轴上相同；对监测器统计量做带随机种子的200,000样本蒙特卡罗，在曲线上四个点处于4σ 以内复现解析功效；定时MDB被固定在定时告警限值之上，这是经测量得到的弱点，而不是特性；Wilson-Hilferty分位数经测量与监测器的精确门限相差约4%，据此记录了未采用它的原因；斜坡数字恰为MDB/速率，并与速率成反比，非正速率报告为null而不是零）；tests/hybrid_fault_power_scipy_oracle.rs（report_detection_power_matches_scipy_chi2_and_ncx2；report_detection_power_matches_scipy_with_comparable_sigmas） |
| 切换后协方差重新增长与告警限值的对比 | hybrid-optical-rf报告公开了滤波器的过程噪声模型，并说明切换后的解在告警限值之内能维持多久：对两个切换方向，报告给出切换后遗留的各轴协方差，在所述的随机游走过程噪声下向前传播，并报告覆盖系数缩放后的1σ 达到水平、垂直和授时告警限值的时间、哪一个限值最先起作用、方差倍增时间常数，以及一条括住该穿越的抽样滑行剖面。过程噪声PSD、覆盖系数和告警限值都是带有文档化默认值的输入 | InternalConsistency | 与自身的闭式／解析恒等式核对——能发现转录和系数错误，但不是外部参考基准（oracle）——没有外部参考基准（oracle）。穿越时刻是随机游走方差增长的闭式解，测试根据报告自身公布的数值独立重新计算，而不是取自输出端的内部量。起始协方差与已有交接块此前报告的迹逐位锁定一致，因此滑行段不会传播无人见过的协方差。过程噪声PSD是MODELLED的代表性输入，穿越时刻与它们成正比变化，缩放测试把这一点作为实测性质陈述，而不是作为声明。ExternalDataset被有意拒绝：滑行时间直接取决于两个经模型计算的PSD以及本身就具代表性的告警限值，而且没有可供比较的实测月球光学／射频交接滑行数据。若要在此引入外部参考基准（oracle），需要一条已发表的、针对可比接收机的交接后协方差增长或守时（holdover）精度曲线，并说明其过程噪声模型，且核对至某一容差 | hybrid_integrity | hybrid_integrity::tests（滑行段从交接块所报告的协方差迹出发，两个方向均如此，因此重放的对角线不会偏离所报告的交接值；所报告的穿越时刻根据报告自身的交接sigma、过程噪声PSD和覆盖因子重新计算，边界在穿越前一刻处于告警限值之内，在穿越后一刻处于其外；滑行时间与过程噪声PSD严格成反比，告警限值收紧时缩短；PSD为零的滑行报告null而不是零时间，因为“永不”不等于“立即”；输出的剖面恰好穿越一次，并夹住所报告的穿越时刻；方差加倍时间与告警限值穿越时间相互区分，在严格的光学阶段之后相差八个数量级，在宽松的射频阶段之后相差不到一个数量级；离开光学模态比离开射频获得更多滑行时间，差值恰为协方差之差除以水平增长率；random_walk_time_to_limit区分已在限值之外、在t时刻穿越和永不穿越三种情形） |
| 月球几何导出中的偏离视轴天线方向图 | 逐卫星几何导出在每个（历元，卫星）上给出卫星处（AT THE SATELLITE）的偏离视轴角，以及由真实的均匀照射圆口径（Airy）方向图得到的朝向站点的发射增益，并把该方向图下的波束内计数，与对称的增益-波束宽度近似（θ_3dB[deg] = √(31000/G_lin)）下的波束内计数并列报告，二者之差作为显式修正，分别以链路数、每历元卫星数和最差的单个历元给出。该近似隐含的两个孔径效率都已输出（对其所引用的70·λ/D度规则为0.641，对均匀圆口径为0.920），因此它悄悄假定的效率被陈述出来，而不是由人推断。默认关闭：仅当同时给出导出站点和孔径时才出现该块 | InternalConsistency | 与自身的闭式／解析恒等式核对——能发现转录和系数错误，但不是外部参考基准（oracle）——混合情形，并且分开列示而非合并。底层的方向图经过外部验证，保留其独立的一行（tests/validate_p1_orbital_footprint.rs中的scipy.special.j1测试夹具，误差< 0.05 dB，此处另有通过二分法定位、而非预先假定的已发表艾里半功率横坐标x = 1.61634）。几何则与闭式三角形三角学核对，其写法不同于被测的点积。真实波束被近似圆锥包含这一点是推导出的代数结果（每 λ/D为28.019/√η 对29.479度），因此当 η ≤ 0.9035时修正量只能非正。但波束内的计数本身没有外部参考基准（oracle）：没有任何已发表的表格给出Moonlight/LCNS类星座壳层中有多少颗卫星使南极站点落在给定天线的半功率波束内，而且该星座是示意性的公开来源近似，不是在轨飞行的星历。因此，在文档所述工作点上测得的差异——真实方向图下波束内链路为0条，近似下为28条，每历元 −2.33颗卫星，最差历元3，评估链路共76条——是关于该近似的MODELLED发现，作为回归字面量锁定（最近的一行距任一波束边缘0.069°，比任何末位差异高出四个数量级），不是经外部验证的覆盖数值。仅凭方向图自身的外部锚点就把该行标注为ExternalDataset，将是借来的验证，而矩阵不变式正是为防止这种做法而存在的。0.30第2轮（预先登记d9755d28），受阻（仍为MODELLED）：SPICE几何与SciPy贝塞尔函数在在轨飞行轨道器状态的6,336行数据以及文档所述工作点上复现了偏轴角（最差3.0e-5度）、艾里增益和波束内标志；但在飞行几何上，标志按卫星身份而分裂（最近的链路距波束边缘1.66度），5度可见性只作为标志检查，而不是数值仰角，对称近似标志把31000/G经验法则用于一个已验证的角度，却没有验证该法则本身，隐含的效率没有参考基准（oracle）；范围界定有待所有者决定 | lunar_service, antenna | antenna::tests与lunar_service::tests（通过对方向图二分法定位的半功率穿越与已发表的艾里x = 1.61634相符，并给出精确的1.02899·λ/D宽度，记录下常规的1.02系数对应 −2.955 dB而非 −3.010 dB；方向图自主轴到第一零点在400个点上严格递减；隐含效率的代数往返至1e-12，并复现0.641 / 0.920；偏轴角在20个点上与tan θ = R·sin γ/(r − R·cos γ) 相符，两个极限均达1e-12；近似圆锥逐行包含真实波束；总体计数等于其所汇总的逐行标志，修正量等于二者之差；每一行的判定都可仅由所输出的报告重新计算；每个输出的数值字段和布尔字段都带有单位和来源类别；不可能的口径不输出任何块；未配置天线时，导出保持其原有的六个键，改动的叶子为0个，移除的为0个）；tests/validate_lunar_export_offboresight_spice.rs（flown_orbiter_export_matches_spice_geometry_and_scipy_pattern；documented_working_point_matches_anise_propagation_and_scipy_pattern） |
| 干扰下的跟踪环失锁与欺骗拉出 | 由环路动力学而不是功率比算出的失锁：载波（Costas）和码（非相干超前/滞后）的1σ 热噪声抖动对C/N₀ 的关系（含平方损耗），对照所述规则3σ_PLL + θ_e ≤ 45° 和3σ_DLL + 斜坡滞后 ≤ d/2码片；掉锁和重新锁定的C/N₀ 阈值，并指明起约束作用的环路，其迟滞由更宽的牵入带宽推导（DERIVED）而不是断言；由带确认驻留的双阈值锁定检测器得出的声明失锁时间，与物理的相位逃逸时间（Viterbi平均周跳间隔，因跨越数百个数量级而以log₁₀ s表示）分开报告；受害方环路能够跟随的最大码滑移和载波多普勒变化率；以及环路动力学所隐含的拒止半径（DENIAL RADIUS），与现有的功率比半径并列报告，二者的带符号之差作为单独命名的字段。可作为tracking-loop场景类型运行 |
ReferenceImpl | 与本代码库内另一独立实现核对——独立于被测单元，但不具外部权威性——引擎自身的sdr相关器（sdr::correlate / synth_if / CaCode）在带种子的合成中频信号上按标定的C/N₀ 逐步推进，这是一条独立的代码路径，通过对采样IQ做数值相关而不是通过代数抖动表达式得到相同数值，因此是另一条路径而不是重述；另有周跳项所用的标准制表修正贝塞尔I₀ 值。环路理论依据Kaplan & Hegarty第8章，周跳时间依据Viterbi/Gardner。该行仍为ReferenceImpl/MODELLED：交叉核对位于同一代码库内，而bessel_i0检验验证的是一个特殊函数，而不是跟踪模型，因此据此提升该行等级将是自我标榜。ExternalDataset需要一个带有真值C/N₀ 和带标注失锁时刻的原始中频数据集（TEXBAT/OAKBAT类）；本代码树中没有此类数据，而且即使有IQ，这些数据集也不公布逐历元的环路状态真值，因此所宣称的失锁时刻只能与另一台接收机的锁定检测器对照验证，这是一种模型选择而不是参考基准（oracle）。环路带宽、积分时间、相关器间隔、牵引比、驻留时间、干扰机功率和天线增益都是代表性的频段数值，不是数据手册数值。0.30第2轮，GNSS-SDR 0.0.19（GPL-3.0，作为程序运行）在独立生成的中频信号上（预先登记6ef7698c，测量方法的修订已披露），一项发现（仍为MODELLED）：闭环PLL和DLL抖动在35至45 dB-Hz范围内相符在8 % 以内，10 Hz/s动态应力相符在1 % 以内，一阶码斜坡滞后相符在2 % 以内；在30 dB-Hz时，PLL抖动高出21 %，DLL抖动低32 %，实测的15度规则门限比引擎高1.5 dB，二阶环路的周跳频率比一阶周跳时间界高0.5至2个数量级。0.30修订：Costas周跳时间现采用环路信噪比rho/4（半周周跳）；默认的jitter_table log10_mean_time_to_cycle_slip_s在25.47 dB-Hz门限处由11.58降至2.10 | tracking_loop（由sdr、jamming组合而成） | tracking_loop::tests（开环Costas鉴别器抖动，对照在带种子的合成中频信号上逐步推进的sdr::correlate，3个合并的噪声实现 × 900个历元，在35-45 dB-Hz范围内相符至0.63%，要求平方损耗项在可分辨之处的拟合至少比无平方损耗形式好3倍；约32 dB-Hz的反正切鉴别器饱和被断言而不仅仅是陈述，从而锁定有效性界限；闭环 σ 与4000个历元上逐步推进的sdr Costas环路相符至3.7%；一阶DLL斜坡滞后与逐步推进的sdr DLL相符至0.17%；bessel_i0与制表的I₀ 相符至7.4e-8；滞后宽度需落在 [5·log₁₀ r, 10·log₁₀ r] 内，覆盖4个比值 × 2个积分时间 × 3个带宽）；api::tests::tracking_loop_kind_round_trips_through_the_dispatch；tests/tracking_loop_gnss_sdr_oracle.rs::finding_is_pinned |
| 由VLBI时延计划得到的月面点坐标协方差，与地球测站的协方差分开 | 第三种基准选择all-stations-fixed，保持所有地球测站不变，仅估计信标（BEACON）的月固坐标：这正是月面点不确定度实际被引用时的配置，因为地球测站坐标是时延模型的输入，而不是其未知量。之所以存在这一选择，是因为测站级协方差和月面点协方差是由杠杆臂 ρ/B分开的不同量（DIFFERENT QUANTITIES），而此前没有任何机制阻止把其中一个当作另一个来引用。输出的beacon_link块给出 ρ、最长基线、杠杆臂、均分关系的月面点形式c·σ_τ·(ρ/B)·√(g/N)、算出的逐坐标信标sigma及其比值：每当信标未被估计或矩阵秩亏时，该比值为null，而不是产生误导。B取现有的最长基线（LONGEST），也是最有利的一条，因此该比值只会低估。可作为datum = "all-stations-fixed"配合estimate_beacon = true运行，当信标未被估计时，会被拒绝并附一条指出缺失输入的消息 |
ReferenceImpl | 与本代码库内另一独立实现核对——独立于被测单元，但不具外部权威性——闭式恒等式，没有声称也不存在外部参考基准（oracle）。杠杆臂对照 ρ/B核对，两种均分形式相互对照核对至1e-15——它们是代数恒等式，因此只能发现接线错误，别无其他，并如此标注。实质性结果是MEASURED的而不是断言的：来自固定基线的时延只约束信标的方向，因此视线分量只通过近场距离项进入信息矩阵，测试从所输出的谱中读出由此产生的各向异性，而不是推导它。算术-调和平均不等式使 √(p/trace(M)) 成为硬下限，因此各向同性均分的链路只会低估，而计算值与均分值之比恰好就是它所舍弃的各向异性。在弦长为10726.748 km的Goldstone类／Canberra类站对上MEASURED：在112个抽样日中，有36天在10° 遮蔽角下完全没有相互可见的历元，在包含49个采样的时间表中最多相互可见17个，而在73个可行日中，三分量比值从113.9× 到高出四个数量级，中位数1513×，若限定在视线方向不被压缩的两个横向方向，则为3.94× 至25.8×，中位数7.8×。本行不主张的内容：把其中任何数字当作真实测评活动的性质。它确立的是：地表点量现在是计算得出而不是假定的，并且不能悄然与站点级的量互换。仍为ReferenceImpl/MODELLED：不存在可供验证的已发表月球VLBI地表点协方差，站点和信标位置是示意性的而不是实际测量的，星历、时钟、对流层和地球定向参数均保持固定，因此这是针对缩减参数集的克拉美-罗界，其本身就偏乐观。同一量在核函数路径上（信标位于DE440月球）在其自己的行“…, kernel path”中得到验证；在这条解析路径上，最小的信标sigma比该行的SPICE参考基准（oracle）低3.9 %，这就是该行仍为MODELLED的原因 | lunar_vlbi_fim（由lunar_vlbi、fim、cio、lunar_frame、frames组合而成） | lunar_vlbi_fim::tests（7个库测试：每种基准面写法都经parse/as_str往返，未知写法被拒绝；保持所有站点而不含信标的情形被拒绝，并给出点名estimate_beacon的错误；杠杆臂被断言等于 ρ/B，信标均分被断言等于站点均分乘以它，二者均达1e-15，另断言杠杆臂超过10，使两个预算在此几何下不会混淆；测试夹具公布的基线锁定为10726.748 km，其49个采样的时间表被断言产生严格少于49个相互可见观测；单一基线上的信标谱经测量至少跨越五个数量级，所得比值依据算术-调和平均不等式断言高于1，实际高于100；站点加信标的布局被断言秩亏，两个计算字段均为null，而经模型计算的对照量仍予报告。另外对测试夹具本身设有防护：拼接在表数组之后的顶层键会变成站点数据，因此断言拼接点，并检查解析出的场景带有该键——失效模式是一次运行悄然使用了与测试所指名的配置不同的配置） |
| 月球差分PNT：修正链路的残差预算 | 差分修正在其被计算的历元与被使用的历元之间会增加的三项，此前每一项都作为未建模的余量留空：参考站测量误差（跨卫星相关，与基线无关，位置传递约为1:1，可证明不被DOP放大）；修正老化（冻结的轨道误差矢量，被重新投影到引擎自身的传播器在一个时延之后把卫星放置的视线方向上，加上由已校准幂律得到的c·σ_y(τ)·τ 时钟漂移）；以及在精确的 ±(orbit_err + clock_err) 满量程上、方差为step²/12的均匀链路量化。同时在距离域和位置域报告，置于现有残差和保护级之旁，决不取代它们，并在单一数字之旁给出时延曲线 | InternalConsistency | 与自身的闭式／解析恒等式核对——能发现转录和系数错误，但不是外部参考基准（oracle）——闭式恒等式与自洽性：均匀量化器的step²/12方差，精确的 (GᵀG)⁻¹GᵀRG(GᵀG)⁻¹ 协方差传播在 σ 相等时化为 σ·PDOP，作为 û_user ≈ û_ref之结果的测量项1:1传递，以及关闭某一项时的求积闭合。与orbit::dop的PDOP交叉核对共用 [−û, 1] 法矩阵，因此它是一致性检查，并如此标注，而不是独立的参考基准（oracle）。没有可用也没有声称的ExternalDataset：没有月球表面站有已发表的测量精度，没有月球差分修正链路有已发表的时延或报文格式，量化结果是闭式而不是测量。RTKLIB——已是单差和加权最小二乘核函数的外部代码参考基准（oracle）——可以配合故意测错的基站来验证1:1的测量传递，但那是基于同一一阶视线代数的独立代码。量值为MODELLED：测量默认值是本crate自身的月球坐标系实现分配值，而不是实测站点，时延和比特数是ILLUSTRATIVE输入，广播星历误差向量本身的增长则完全没有建模——这在所输出的老化律字符串中有说明，因为它是最可能在真实链路中占主导的项 | lunar_dpnt | lunar_dpnt::tests（一项纯加性防护，其键集差异恰为{correction_link, units}，所有原有数值与变更前取得的字面量逐位一致；测量误差不随基线去相关，而轨道项则会，并且在基线为零时仍然存在，而此时轨道项恰为零——这是能发现把该项接到错误位置的结构性检查；1 m的站点误差按1:1传递，并被证明不被DOP放大；时延为零时逐位复现未老化的残差，残差随时延单调变化，输出的曲线等于直接运行；量化步长每增加一位恰好减半，且 σ² = step²/12，满量程跟踪所注入的量值；依次关闭每一项会得到其余两项的求积；各卫星 σ 相等时恰好传播为 σ·PDOP，且该PDOP与orbit::dop相符；每个输出字段都带有单位和来源类别，双向检查） |
| 月球参考站覆盖与精度地图 | 对月球差分PNT模型在南极用户网格和一天历元上的蒙特卡罗扫描（lunar-station-coverage类型）：对位于已知南极站点的差分参考站，逐点并在整个区域上，给出修正后与未修正的位置误差分位数（3-D、水平、垂直），可用性以及对每个不可用历元的原因（user_lt4、station_missing_sat），相对于运行前所述阈值的覆盖，DO-229E保护级，每个方位扇区的覆盖半径，以及在站点和最差点上的修正链路预算。不是对任何真实系统性能的陈述；与任何机构无隶属关系，也未经其认可 |
InternalConsistency | 与自身的闭式／解析恒等式核对——能发现转录和系数错误，但不是外部参考基准（oracle）——算术由独立的numpy脚本对导出的算例重新计算（scripts/gen_lunar_station_ref.py，numpy 2.5.4；预先登记于tests/fixtures/lunar_station/PREREGISTRATION.md，在9caedf97中于首次运行前单独提交）：在所有误差项开启的20个算例上，可见集合和状态完全一致，原始距离误差相符至1.4e-14 m，位置误差向量及其量值相符至1.4e-9 m，对照1e-6 m的判据，且各点的p95与numpy.percentile逐位相同；站点修正未达到其1e-9 m的判据（最差3.73e-9 m，20个算例中有15个），连带修正后的距离误差也未达到：以60位算术核对，双方都在精确值的双精度舍入范围之内，测量项是两个1e7 m距离之差，其末位单位为1.86e-9 m；如实记录，不加调整。在一个点、一个历元和一次试验时，该类型精确化约为lunar-differential-pnt类型。误差模型、去相关模型和所有门限都是本项目自有的或为ILLUSTRATIVE；此处没有任何内容是对任何真实系统的陈述 | lunar_station（基于lunar_dpnt、lunar_service） | tests/lunar_station_coverage_reference.rs（one_point_one_epoch_one_trial_reduces_to_lunar_differential_pnt：在有无接收机噪声两种情形下均达1e-12 m；zero_baseline_floor_is_zero_in_every_trial：0达1e-9 m；survey_floor_matches_the_survey_transfer_prediction：p95落在运行前所述的5 % 范围内；coverage_is_non_decreasing_in_the_threshold；corrected_error_grows_with_distance_along_an_azimuth；three_satellites_are_unavailable_with_a_reason_and_no_error；a_satellite_the_station_does_not_see_is_reported；deterministic_for_a_seed_and_moved_by_another；the_work_guard_refuses_an_oversized_grid；the_bundled_scenario_states_a_source_for_every_input；the_result_is_labelled_modelled_with_the_honesty_statement）；tests/lunar_station_numpy_oracle.rs（预先登记的numpy重新计算，连同其未达标一并记录）；lunar_service::tests::south_polar_ring_grid_is_the_published_comparison_grid；tests/lunar_differential_pnt_reference.rs以及注册表和跨平台基准值均不变（加性）；tests/field_units_global.rs（每个输出字段都有说明，无豁免） |
| 由所述剖面或极区DEM得到的月球地形地平线掩模 | 为lunar-station-coverage类型（参考站及每个用户点）以及moonlight-service-volume网格及其逐卫星导出站点（每个导出行新增clears_terrain）提供按站点的、随方位变化的地平线掩模，采用0.36天际线表格式（skyline::Skyline，沿方位线性，在360 deg处回绕；同一站点上所述剖面与DEM地平线按逐点最大值组合）：可以是带来源标注的 [terrain] station_horizon或user_horizon，和/或在南极立体投影DEM上（LRO LOLA网格化极区布局，由固定其大小和SHA-256的描述符读取，或带有 [terrain] dem_tile_path的经纬度realdata::lola_dem图块，并回显其SHA-256）沿月球球面上的大圆、以精确曲率、从所述桅杆高度、按所述方位步长和距离做射线步进得到的地平线。当卫星越过平坦的mask_deg以及其方位上的地平线时，它在某站点计入；如果某个历元在某点被地平线挡到不足四颗卫星，而平坦掩模下为四颗，则该历元被计为不可用原因terrain_masked。所附DEM是公有领域LOLA LDEM_75S_240M产品的一块裁剪，经5 x 5块均值重采样到1200 m（data/lunar-dem/NOTICE.md）。未提供时，每个站点保持平坦掩模，每份文档逐字节相同 | InternalConsistency | 与自身的闭式／解析恒等式核对——能发现转录和系数错误，但不是外部参考基准（oracle）——闭式曲面（InternalConsistency）：裸球体的地平俯角，球面上高原中的一个撞击坑（观测者位于其中心和偏离中心处），以及解析圆锥与其自身的栅格化。在真实裁剪区上，独立的numpy光线投射（scripts/gen_lunar_terrain_ref.py，numpy 2.5.3；预先登记于tests/fixtures/lunar_terrain/PREREGISTRATION.md，在edbb9b02中于脚本出现之前单独提交）在五个站点上相符：站点高度达1.0e-11 m，全部1800个地平仰角达5.5e-10度，对照1e-6的判据，截断光线计数完全一致；这检查的是算术，不是地形。没有复现任何已发表的极区地平线或光照数字：内置的1200 m裁剪区平滑掉了已发表光照研究所分辨的亚公里级起伏，因此DEM地平线是基于重采样真实DEM的MODELLED视线，不是经验证的地平线。站点和星座仍为ILLUSTRATIVE；此处没有任何内容是对任何真实系统的陈述 | lunar_terrain（基于skyline、lunar_service::topocentric_basis）；lunar_station；lunar_service（coverage_masked、masked_visible） | lunar_terrain::tests（bare_sphere_horizon_is_the_dip：光线步进在每个方位角上复现 -acos(R / (R + a))，达1e-3度；a_cone_on_a_lat_lon_tile_matches_the_analytic_cone：同一圆锥采样到0.005度的经纬度图块上，与解析圆锥相符至0.25度；a_lat_lon_tile_is_none_outside_and_wraps_longitude；crater_in_plateau_matches_the_closed_form：球面上平底撞击坑，观测者位于中心以及偏离中心4 km和7 km处，对照闭式的坑缘仰角atan2((R + H) cos s - (R + a), (R + H) sin s)，其中s来自球面坑缘穿越方程，在每个方位角上达0.01度；rasterised_cone_matches_the_analytic_cone：栅格化到200 m极射赤面投影网格上并经网格采样器读出的圆锥，与解析圆锥相符至0.25度；projection_round_trips_through_the_rasteriser_layout；bilinear_reproduces_a_plane_exactly；stated_horizon_goes_through_the_skyline_rules；an_empty_skyline_is_exactly_the_flat_test）；tests/lunar_station_terrain.rs（without_terrain_the_document_has_no_terrain_keys；a_zero_horizon_under_a_positive_mask_is_the_flat_run，两种类型均适用；a_horizon_only_removes_satellites_and_a_wall_removes_everything：user_lt4保持其平坦情形下的计数，地平线所耗去的历元为terrain_masked（可用性本身可能上升，因为地平线可以遮挡站点看不到的卫星），站点处89度的地平线则使任何卫星都不可用；bad_terrain_sections_are_refused；the_vendored_crop_loads_and_is_oriented_as_the_source：Shackleton和Haworth撞击坑底部低，Malapert山丘高，镜像则不然；the_station_site_horizon_from_the_crop；service_volume_dem_points_outside_the_crop_keep_the_flat_mask；a_lat_lon_dem_tile_gives_the_station_the_crop_horizon：由内置裁剪区重采样的图块给出站点的裁剪区地平线，达0.22度（界限0.5度，运行前确定），附带图块回显和单位，而dem_path与dem_tile_path同时给出则被拒绝；the_export_site_is_masked_by_the_terrain：每个导出行当且仅当可见且不低于其方位角上的站点地平线时才越过地形，几何不移动，CSV仅在有地形时才增加该列；the_horizon_matches_the_preregistered_numpy_ray_cast）；tests/prediction_frozen.rs以及注册表和跨平台基准值均不变（加性） |
| 月球参考站的多路径与接收机硬件项 | lunar-station-coverage的可选 [receiver] 段（LRS-02）：用户处和站点处随仰角变化的多路径sigma(el) = a + b exp(-el / el0)（RTCA DO-229机载函数形式，默认a = 0.13 m、b = 0.53 m、el0 = 10 deg；在月球上每个值都是示意性（ILLUSTRATIVE）的），用户处为白噪声，站点处为历元间的一阶Gauss-Markov（rho = exp(-dt / tau)）；超前减滞后DLL热码噪声sigma = L_c sqrt(B_L d / (2 C/N0) (1 + 2 / ((2 - d) T C/N0)))；用户处和站点处在一次试验内保持不变的逐通道通道间偏置。站点项进入其修正，用户项进入原始测量和修正后的测量，各自使用自己的带随机种子的流。未提供时，每份文档不变 | InternalConsistency | 与自身的闭式／解析恒等式核对——能发现转录和系数错误，但不是外部参考基准（oracle）——闭式以及模型自身抽样的统计量（InternalConsistency）：DLL公式对照手算，DO-229形式，两台接收机的零基线之差，高斯-马尔可夫滞后1相关。没有可供比较的月球多路径或接收机测量；这些数值为ILLUSTRATIVE，此处没有任何内容是对任何真实接收机的陈述 | lunar_receiver；lunar_station | lunar_receiver::tests（multipath_is_the_do229_form；dll_noise_matches_a_hand_computation：在45 dB-Hz、0.5 Hz、d = 1、20 ms时为0.825279 m；bad_sections_are_refused）；tests/lunar_station_ext.rs（receiver_absent_or_silent_is_the_plain_run；zero_baseline_multipath_is_the_difference_of_two_receivers：样本sigma sqrt(2) a在6 % 以内；station_multipath_is_gauss_markov：滞后1相关exp(-dt / tau) 在0.01以内，单位方差在2 % 以内；inter_channel_biases_are_constant_over_a_trial）；tests/prediction_frozen.rs以及基准值均不变（加性） |
| 月球参考站星历误差在修正时延内的增长 | lunar-station-coverage的可选输入orbit_err_growth_m_per_s（LRS-03）：在计算之后latency_s才应用的修正，会漏掉广播轨道误差的增长g latency_s，其中g为各向同性，3-D RMS速率，按每颗卫星和每次试验在其自己的带随机种子的流上抽取（距离1-sigma速率tau / sqrt(3)），叠加在冻结误差的视线重新投影之上。未提供时，每份文档不变。已发表声明比较的K5附录，单独预先登记，在0.001、0.01和0.1 m/s下运行K5（示意性，ILLUSTRATIVE） | InternalConsistency | 与自身的闭式／解析恒等式核对——能发现转录和系数错误，但不是外部参考基准（oracle）——增长项的闭式sigma以及一阶传播检查（InternalConsistency）。K5补充（tests/fixtures/lunar_station_published/ADDENDUM-LRS03.md，在59d88248中单独预先登记）：K5在每个速率下均未通过，修正后的p95 3-D误差为369.8 m、2315 m和22797 m，对照1.5 m的判据（无增长时记录为292.96 m），与运行前所述一致。没有公开来源给出月球增长速率：ILLUSTRATIVE | lunar_station（orbit_growth_range_sigma_m） | tests/lunar_station_ext.rs（growth_absent_or_zero_is_the_frozen_error_run；the_growth_term_has_the_closed_form_sigma：开启增长与关闭增长的链路误差之差，其样本sigma为rate tau / sqrt(3)，在1600次抽样上相符至6 % 以内；linear_growth_is_the_first_order_propagated_error：以树内二体积分器从场景轨道传播的速度误差dv，在60 s和600 s时使位置移动dv tau，相符至1 % 以内）；tests/lunar_station_published_oracle.rs::k5_growth_addendum_run（已忽略，即所记录的补充） |
| 月面参考站解算模式：高度约束、三颗卫星、静态用户窗口 | lunar-station-coverage（LRS-06）的可选 [solution] 部分：一行高度伪观测up . dx = e_h，按所给的1-sigma加权并与距离观测行联合，仅在启用该约束时才允许最少三颗卫星；并在最近window_epochs个历元上做加权最小二乘解算，各历元共用一个静态位置、每个历元一个钟差（等同于滤波器对同一数据、无过程噪声的静态位置所给出的答案；各历元的误差按相互独立处理）。若缺省，则快照解算及所有文档均保持不变。这是对已发表声明比较的补充，采用与原文献相同的解算方式，并单独预先登记 | InternalConsistency | 与自身的闭式／解析恒等式核对——能发现转录和系数错误，但不是外部参考基准（oracle）——快照约化以及求解器的闭式算例（InternalConsistency）。补充（tests/fixtures/lunar_station_published/ADDENDUM-LRS06.md，在001ca100中单独预先登记），采用1 m高度约束、三颗卫星和6个历元的窗口（ILLUSTRATIVE设置；来源陈述了滤波器、高度约束和三颗卫星，但没有给出它们的设置）：K1至K5未通过，K6通过，6项中1项通过，与所记录的运行一致；R300修正后的p95 3-D误差由280.6 m降至2.11 m（水平0.90 m，未计分），覆盖率仍为0。窗口的独立性假设对其有利。不是对任何真实系统的陈述 | lunar_solution；lunar_station（solution_figures） | lunar_solution::tests（one_epoch_without_height_is_the_snapshot_solve：等于lunar_dpnt::position_error_vector_from_range_errors，达1e-8 m，宽松的高度行不改变任何结果，严格的高度行则锁定高度误差；three_satellites_need_the_height_row；a_window_shares_the_position；bad_sections_are_refused）；tests/lunar_station_ext.rs（the_default_solution_mode_is_the_snapshot_solve：每个数值的相对误差达1e-6；height_aiding_and_a_window_do_what_they_say）；tests/lunar_station_published_oracle.rs::solution_style_addendum_run（已忽略，即所记录的补充） |
| 月面参考站的精度与覆盖率：与已发表声明的对照 | 在已发表的月面差分参考站资料所给的公开假设下运行lunar-station-coverage类型（四颗导航卫星位于24 h冻结椭圆轨道，10 m 95 % SISE，0.30 m码噪声，1 s与600 s的修正延迟，亚分米级的测站测量，已发表的示例测站位置，300 km与600 km的南极圆），并依据运行前预先登记的六条单侧判据，对照原文献的数值声明评分：整个南极在p95亚米级的覆盖（K1、K2），修正后p95达到亚米级和分米级（K3、K4），在600 s延迟下仍保持亚米级（K5），以及基线从10 km到500 km时精度保持不变（K6） | ExternalDataset | 某个子声明已经外部核对，但整体能力由经模型计算的部分组合而成，因此该能力仍属“由模型计算得出”——参考基准：五个公开来源的数值声明，其URL、检索日期、SHA-256和许可证登记在tests/fixtures/lunar_station/SOURCES.md中（arXiv:2602.08432v3；IOAG地月空间PNT研讨会2025和2026年幻灯片；UNOOSA ICG WG-B月球PNT，2024年6月），并附页码转录于tests/fixtures/lunar_station_published/CLAIMS.md。判据、算例和输入已预先登记于tests/fixtures/lunar_station_published/PREREGISTRATION.md（修订2，05bf9a19，在运行前单独提交）。0.36首次运行，一项发现（仍为MODELLED）：6项判据中1项通过。两个圆圈上的覆盖率均为0.00，对照 >= 0.95，修正后的p95 3-D误差为280.6 m（300 km），时延600 s时为293.0 m，对照<= 1.5 m。分米级判据（K4）在来源所述0.30 m码噪声下无法通过，这反映的是来源之间的冲突，而不是模型结果。K6通过（比值1.39，对照<= 1.5），但作为两个由几何主导的数字之比，它在任何方向上都不构成关于去相关的证据。原因：这些卫星的轨道根数并未公开，在ILLUSTRATIVE的树内轨道根数下，用户与站点在5度以上共视四颗卫星的历元仅占8.2 %（300 km）和6.3 %（600 km），且几何接近奇异（未修正p95为3.8 km，来源则为< 10 m）。来源的仿真使用了滤波器、高度约束和共视的三颗卫星，而快照类型并未对此建模。因此该比较既不证实也不否定已发表的“整个南极亚米级”。它表明的是：本模型的结果取决于未公开的轨道。不是对任何真实系统的陈述；与任何机构均无隶属关系，也未获其认可 | lunar_station（基于lunar_dpnt、lunar_service） | tests/lunar_station_published_oracle.rs::recorded_finding_one_of_six_bars_passes（所记录的数字对照已登记的判据）；tests/lunar_station_published_oracle.rs::published_claims_comparison_run（已忽略，在release下约7 s：重新运行六个已登记的算例并断言所记录的数字） |
| 含多颗卫星同时故障假设的ARAIM | araim_reference::add_v42_subset_plan：ADD v4.2的子集确定规则（P_THRES、FC_THRES，受监测子集按移除数量从少到多排列），从成对推广到至多max_order个卫星和星座事件的同时组合，先验为精确的P_no fault prod q_e；add_v42_protection_levels_to_order在其上运行ADD v4.2的保护级路径（阶数2恰好就是现有路径）。raim::araim_subset_raim（需主动启用）：在该假设集上的先进RAIM，每个受监测子集在完好性风险求和中对应一个 (p_fault, T, b, sigma) 模式，不可观测的子集移入未监测风险，预算按ADD对未监测风险的分配进行缩放，并在检测到故障时报告归一化分离最大的子集。需要比max_order更深子集的先验会被拒绝，绝不截断 | InternalConsistency | 与自身的闭式／解析恒等式核对——能发现转录和系数错误，但不是外部参考基准（oracle）——内部一致性（InternalConsistency）：2阶约化到经MAAST核对的ADD v4.2路径，先验的独立重新推导，以及构造的2颗卫星故障。除成对情形外，没有进行过MAAST或RTKLIB运行，因此更深层的假设集以及子集RAIM的保护级没有经过外部核对。araim_subset_raim与araim_dual_raim共用同样的简化（完好性与精度共用一个sigma，一个钟，普通正态尾部）：它不符合ADD | araim_reference（add_v42_subset_plan、add_v42_protection_levels_to_order）；raim（araim_subset_raim、SubsetRule） | tests/raim_multi_sv_subsets.rs（deeper_orders_change_nothing_when_pairs_suffice；triples_are_refused_at_order_two_and_planned_deeper：N_fault,max >= 3，未监测的风险在P_THRES之内，剔除3颗或更多卫星的子集被监测，且超过10个被监测的先验被独立重新推导为P_no fault q^k，达1e-12；a_two_satellite_fault_is_found_as_a_pair：无故障时不告警，2颗卫星上30 m的偏差被检出，其子集为归一化分离最大的卫星对）；tests/araim_reference_vectors.rs和tests/integrity_araim_stanford_oracle.rs均不变（二阶路径即经MAAST核对的路径） |
| RAIM与时钟守时（holdover）性能指标并列 | 时钟类型的可选 [integrity] 部分（clock_integrity::run）：根据给定的站点和星座预设（geometry::sky_geometry），在GNSS时间线未被拒止的每个完好性历元，对高于截止角的卫星做快照RAIM（raim::snapshot_raim：奇偶校验卡方检验、斜率保护级），残差为所给sigma的带种子高斯噪声，并可附加所给的偏差；另有独立的integrity_fom块，含逐历元的判定、保护级和可用性。被拒止的历元报告为不可用，绝不外推；守时性能指标保持不变，缺省该部分时输出逐字节一致 | InternalConsistency | 与自身的闭式／解析恒等式核对——能发现转录和系数错误，但不是外部参考基准（oracle）——内部一致性（InternalConsistency）：保护级即snapshot_raim的保护级（后者已在其自己的行中与RTKLIB核对验证），在同一几何上重新计算；无故障和注入故障下的行为。天空是代表性的预设几何（不是带日期的历书），残差是合成的，sigma、告警限值和概率是所陈述的输入；此处没有任何内容是对真实接收机可用性的陈述 | clock_integrity（run、sky_at、IntegrityCfg）；scenario（Scenario::integrity）；report（RunResult::integrity_fom）；api（时钟分派） | tests/clock_integrity.rs（the_block_is_separate_and_absent_by_default：守时（holdover）数字不变，111个被拒绝的历元不可用且没有保护级，runs > 1时被拒绝；protection_levels_are_the_snapshot_raims_on_the_same_sky：每个采样历元的HPL和VPL与同一预设天空上零残差的snapshot_raim完全相等，且无故障运行不触发告警；a_stated_bias_is_detected_while_it_lasts：60 m的偏差恰好在其覆盖的10个历元上告警；every_integrity_field_has_a_unit）；clock_integrity::tests；时钟基准值不变 |
| 空间、含噪声、多族的地月空间弧长可观测性 | 在空间六状态CR3BP（而非平面四状态）中，跨DRO、L2晕轨道和L2近直线晕轨道各族的地月空间弧长可观测性阈值，测量噪声进入Gramian，并报告两项判据，因为不存在唯一诚实的判据：其一是已发表的秩判据，可证明它对同方差测量sigma不变（白化把可观测性矩阵乘以一个标量，相对奇异值谱，因而秩、亏秩和条件数都不变）；其二是可估计性判据，即首领星初始状态的形式1σ 位置不确定度降到给定界限以下的第一个弧长，它才是会随噪声变化的那一个。每个阈值都带有它所处的历元网格区间；未达到的判据为null并附原因。平面模式仍为默认，平面模式下会拒绝面外各族，而不是把它们压平成无法表示它们的状态 | InternalConsistency | 与自身的闭式／解析恒等式核对——能发现转录和系数错误，但不是外部参考基准（oracle）——一种对部分主元的高斯消元独立行阶梯秩，确认每一项六状态秩的判定——这是另一种算法，与被测的特征值／SVD路径不共享任何代码。它所组合的6×6 CR3BP状态转移矩阵，另有对照SciPy变分积分的ReferenceImpl参考基准（oracle），而晕轨道／NRHO初始条件来自一个校正器，该校正器复现了已发表的L2南向9:2 Gateway轨道。现有的平方根信息滤波器环节被明确不计为佐证：它使用相同的雅可比矩阵并化约为同一法矩阵，因此它是两台数值机器之间的一致性检查，所输出的扩展标签也如此说明。没有外部锚定，因此ExternalDataset被拒绝，而不是从STM的行中借用：门限弧长本身取决于MODELLED的星座设计、历元网格，并且可MEASURED地——最多达40×——取决于奇异值容差。已发表的平面2.09 h在rel_tol = 1e-6时被精确复现，且其本身依赖容差（1e-4时为10.25 h，1e-8时为0.42 h），这是判据的性质，而不是轨道的性质。没有公开数据集针对选定的地月空间星座公布弧长可观测性门限。实测结果：空间六状态门限对L2 NRHO为22.17 h，对L2晕轨道为40.42 h，而对已发表声明所据以推导的平面DRO族则不存在——秩为4（满秩为6），基准亏秩2，有两个恰为零的特征值，这是任何弧长都无法恢复的结构性缺陷 | cislunar_observability、observability_gramian、intersat_range、cislunar_srif | cislunar_observability::tests与observability_gramian::tests（默认文档通过其JSON、摘要和SVG的FNV-1a逐位锁定，断言显式默认值为空操作，并断言8个扩展键不存在，使该快照不会被重新生成为自我比较；加性的units块通过剥离并对照其出现之前锁定的常量重新求哈希而排除在冻结之外，这证明而不是假定没有任何已发布内容发生移动；在 σ = 0、0.1、1、10、100 m下断言同方差sigma下的秩不变性；断言 σ_pos随 σ 严格线性缩放，相对误差达1e-6；断言DRO零空间恰为z和 ż 坐标轴，并区分2个成因——共面航天器之间的距离行有 û_z = 0，而CR3BP的面外块在z = 0时恰好解耦；空间雅可比矩阵对照中心有限差分，并对照本crate独立的3-D距离变化率观测量；面外族在平面模式下被拒绝） |
| 运行式的地球定向预测误差，按预测值对终值实测 | 在尾随窗口上做最小二乘的偏置加速率拟合，再加上主要周期项：UT1取周年、半周年和两个主要带谐潮，极移取Chandler、周年和半周年项；外推时沿用窗口内最后一个残差：这是IERS Bulletin A所用的一类方法，取代已发表预测时段所依据的持续性预测器。以唯一诚实的方式评分：用不晚于T的快速Bulletin A各行构造T+h的预测，对照稍后发布的Bulletin B在T+h的终值来衡量，并在同一历元集合上、对照同一批终值，并列给出持续性预测的评分。没有已发布终值的目标历元会被舍弃，而不是改用快速列重新评分；窗口无法约束的周期项会被报告为已拒绝，并附其实际跨越的周数；不完整的窗口会被拒绝，而不是悄悄缩短 | ReferenceImpl | 与本代码库内另一独立实现核对——独立于被测单元，但不具外部权威性——三条独立路径，没有一条是已发表的预测精度数字。（1）一个系数已知的解析信号——这是检验周期性机制的唯一方式，因为没有任何已提交的序列长到足以容纳年周期项。（2）教科书式的闭式最小二乘解，其代数不同于被测的矩阵求解，在真实行上进行。（3）2026年真实产品所发布的、真实归档的Bulletin A预测行，按预报时长逐项作为一致性统计量而明确不是误差来比较：1天时为0.256 ms，2天时为0.695 ms，3天时为1.252 ms，9天时漂移到3.885 ms。因此这是Bulletin A的同一类别，在短预报时长上接近，而不是Bulletin A本身。预测值与最终值之间的残差是对真实IERS行MEASURED的真实量，但其量级只对照比较的方向来检查，从不对照IERS公布的精度数字——读取真实产品只是来源，不是参考基准（oracle）。实测：第1天业务预测器给出的月固系误差为3.78 m，而持续性预测为11.39 m（3.01×），第2天为10.23 m对21.72 m（2.12×），第3天为20.33 m对30.57 m（1.50×）——而超过三天后更差（5天时0.87×，10天时0.43×），报告如实输出这一点，而不是只展示对其有利的预报时长。没有复现：自回归残差滤波器和制表的带谐潮汐约化，365天的业务窗口在已提交的数据下无法达到，并且本仓库中不存在该序列任何更早的已归档版本——因此归档版本表不报告任何行，而不是对合成的一行打分。0.30外部比较，一项发现（仍为MODELLED）：在178期已归档的Bulletin A上，按本crate默认的15天窗口对照同一批最终值打分，预测器的UT1 MAE在1至10天为Bulletin A的2.4x至12.6x（判据1.5x），10天时为5.32 ms，超出第2届EOP PCC的0.36至3.13 ms范围；极移为Bulletin A的1.5x至1.85x（仅在6和7天时处于1.5x之内）；21项预先登记的条件中有19项未通过。对路径（3）的更正：与之比较的2026年产品行带有IERS的I（实测）标志，而不是P，因此那些一致性数字是对照实测的快速值，不是对照Bulletin A预测。0.30第2轮，一种解析去除带谐潮汐的最小二乘加自回归预测器，在第1轮的判据下对照178期已归档的Bulletin A（预先登记c93605b4），一项发现（仍为MODELLED）：21项条件中有12项成立；UT1 MAE在2至10天为Bulletin A的1.73至2.11x（判据1.5x），而极移在每个预报时长上都在1.27x之内。0.30修订：离线输入现已按IERS标志分类，路径（3）的一致性数字是对照真实Bulletin A预测的（对照快速行时为0.256/0.695/1.252/3.885 ms，在1/2/3/9天 -> 0.133/0.421/0.839/2.786 ms） | frame_eop、realtime_frame_eop | frame_eop::tests、realtime_frame_eop::tests和tests/operational_eop_predictor_reference.rs（在365天窗口下解析信号系数的恢复达1e-9；偏置加速率的拟合在真实行上等于闭式普通最小二乘斜率和截距，达1e-12；两个前瞻检测器破坏发布历元之后每一行的快速UT1和极移列——保持Bulletin B最终值不变——并要求逐位相同的输出，经变异验证：当拟合屏障恰好放宽一天时，会使10个测试变红；独立重建的历元列表；某一目标的Bulletin B块被置空，并显示该历元离开了该表；在6、15、150和365天窗口下检查项的准入；单调的行数；以及对默认报告的变更前冻结快照，逐字段断言且不留容差，并额外断言该快照不含新键，使其不会被悄然重新生成为自我比较）；tests/operational_eop_predictor_bulletin_a_oracle.rs::predictor_mae_against_bulletin_a_and_the_pcc_range_finding；tests/operational_eop_ls_ar_bulletin_a_oracle.rs::ls_ar_predictor_against_bulletin_a_finding；tests/eop_prediction_beyond_table.rs（超出最后一行的可选扩展EopSeries::with_ls_ar_prediction：表内回答逐位相同，预报行等于ls_ar_predict，超出表的坐标系参数遵循预报而不是截断；内部一致性） |
| 由观测活动得到的月面坐标系基准 | 七参数Helmert基准由模拟观测活动传播得到，而不是由注入的变换恢复得到。地球测站按明确的计划观测一份有来源的月面信标目录；月面VLBI延迟偏导数累积成信标坐标Fisher信息矩阵，并通过Helmert设计矩阵A = [I₃ | [p]ₓ | p] 推送为H = AᵀM_bA，因此所报告的基准精度是观测计划的函数，对延迟sigma严格呈线性，并通过报告所MEASURED的天平动随弧长单调变化。基准亏秩是研究对象，而不是脚注：每次运行都会给出秩、亏秩、条件数、谱、七参数基下的不可观测方向、即使满秩时最弱的方向，以及各参数在其中所占的份额，而观测活动未约束的任何参数都会以NULL并附状态发布。信标误差相关性是实测的，而不是假设的：测站固定时恰好为零，测站被估计时则连同其代价一并给出。可作为lunar-frame-campaign场景类型运行 |
ReferenceImpl | 与本代码库内另一独立实现核对——独立于被测单元，但不具外部权威性——闭式恒等式和一条仓库内的独立路径，没有声称外部参考基准（oracle）。Helmert设计——该模块中唯一新增的导数——通过对lunar_frame_realise::apply_helmert做中心有限差分重新推导，这条路径与解析形式不共享任何表达式。它所组合的累积是lunar-vlbi-fim的，其雅可比矩阵已在那里对照lunar_vlbi::vlbi_delay_s做了有限差分，其线性代数核函数则在tests/fim_observability_reference.rs中另行对照numpy做了外部锚定——本行不借用其中任何一种地位。物理参考基准（oracle）是结构性的而不是数值性的：信标时延偏导是两个近平行单位向量的近场差，因此被确定得最差的平移方向必须是指向地球的体固方向，测试把计算出的答案对照另行MEASURED的方向来断言。实测：由测评活动推导的平移sigma为6.3975 m，而注入变换场景的恢复误差为0.3125 m（前者收紧20.5×），而旋转和尺度则相反，分别宽松2.32× 和13.5×——注入路径假定一个各向同性sigma，因此把其误差均匀分摊到七个参数上，而时延观测量并非如此。秩为7/7，但条件数为3.8e5，其中一个方向有99.57 % 是纯粹指向地球的平移，比其他任何方向差四十倍。本行不主张的内容：测评活动的数字在绝对意义上是正确的。它确立的是：该数字现在由时间表、几何和误差模型推导得出，而不是来自预先植入的答案。仍为ReferenceImpl/MODELLED：不存在已发表的月球VLBI测评活动加基准协方差的配对，站点网络和时延sigma是ILLUSTRATIVE输入（信标星表有来源，测评活动则没有），观测被视为相互独立，而真实时段中邻近扫描之间的对流层和时钟是相关的，星历、时钟、对流层和地球定向参数均保持固定。0.30外部比较，一项发现（仍为MODELLED）：在每一个信标雅可比行都由NAIF SPICE光行时重建的情况下（DE440、ITRF93、MOON_ME；预先登记50863551），时间表、Helmert秩、基准sigma（在4.7e-3之内）、条件数、最弱方向（0.07度）、天平动扫描和弧段排序在六个场景上相符，处于预先登记的1 % / 0.2 / 0.05度之内。在已提交的引擎雅可比矩阵上，NumPy在站点固定时相符至3e-14。在站点被估计时，二者相差6.8e-6，而预先登记的为1e-9，其条件数前提是错误的（Helmert条件数2.1e8；独立的NumPy路径彼此相差3e-6；引擎1e-9伪逆回退的贡献未被排除），因此该行不据此预先登记而提升等级。0.36在按条件数缩放的判据下重新登记（预先登记b887eb05；t = max(1e-12, 10 kappa 2^-53)，来自联合信息及其Helmert约化的条件数），一项发现（仍为MODELLED，NOT MET）：第0步排除了伪逆回退是造成6.8e-6差距的原因（在六个原始场景中，Helmert矩阵上游没有任何矩阵发生回退，最紧的裕度为2.6倍），SPICE环节在全部六个场景上仍然成立，NumPy在八个场景中的六个上相符于判据之内（默认、两种弧段、3x时延sigma、共线缺陷，以及2026-12-01的全新站点固定运行；最差为其判据的0.13）。它在stations_estimated上未通过（基准sigma最高6.8e-6，条件数9.1e-6，舍弃独立性的范数3.5e-6，对照t = 5.9e-7），而在全新日期上南极信标没有观测，因此信标信息秩亏（两个全新场景中Helmert矩阵上游均发生伪逆回退），未改动的NumPy参考基准（oracle）无法评估stations_estimated_fresh（奇异矩阵）。结果：docs/design/evidence/mr05-lunar-datum-cond/RESULTS.md | lunar_frame_campaign（由lunar_vlbi、lunar_vlbi_fim、fim、lunar、lunar_frame_realise、frames、cio、lunar_frame组合而成） | lunar_frame_campaign::tests（21个库测试：Helmert设计对照lunar_frame_realise::apply_helmert的中心有限差分——该基准正是为之而设的模块，它不计算导数，因此锁定 [p]ₓ 符号约定——全部84个设计项相符至< 1e-6；纯网络平移被读回为纯平移，泄漏到其余6个参数的量< 1e-6；基准sigma对时延sigma严格线性，在3× 的变化下对全部七个参数达1e-8；16 h弧段测得比24 h更差，48 h弧段测得更好，所输出的天平动扫描顺序相同；断言最差的平移轴就是另行测得的指向地球的体固方向的主轴，并且比其他轴差 > 5×，这是求解器对其一无所知的物理参考基准（oracle）；三个共线信标产生一个缺陷，每个基准sigma均为null，零空间方向按7参数基底输出；站点固定时offblock_fraction和信标间相关恰为0.0，站点被估计时两者均 > 0；比较块的注入变换数字被证明等于该场景独立运行的结果，相对误差达1e-14，而不是抄录而来；一项防护，确保文档中任何地方都不出现注入／恢复的基准；月球坐标系实现的输出对三种输入形态按json‖summary‖svg的FNV-1a-64逐字节锁定，指纹在工作开始之前取得）；tests/lunar_vlbi_campaign_spice_oracle.rs::lunar_frame_campaign_finding_stations_estimated_p2_precision（受控；严格的lunar_frame_campaign_matches_spice_geometry_and_numpy仍被忽略）；tests/lunar_frame_campaign_mpmath_oracle.rs::lunar_frame_campaign_datum_matches_mpmath_extended_precision（发现；创始人决定2026-10-02，选项A：该行仍为MODELLED，不借用另一行的地位；对照50位mpmath参考基准（oracle），预先登记804662d5，引擎在站点被估计时的基准sigma处于其先验后向误差界之内，在2024-01-01偏差9.7e-6，而1e-9的判据低于任何双精度路径所能达到的水平，最好的NumPy QR投影偏差5.5e-9；该证据支持另一行“站点被估计时的月球坐标系基准协方差，对照50位扩展精度”）；tests/lunar_frame_campaign_pinv_fallback.rs::finding_step0_fresh_beacon_information_falls_back（已锁定）；tests/lunar_frame_campaign_cond_bar_oracle.rs::finding_p2_condition_scaled_bar_not_met_on_the_estimated_scenarios（已锁定） |
| 地月空间弧长阈值的独立估计器佐证 | 一个批量最小二乘估计器，在与秩对弧长表所用的同一历元网格的递增前缀上，由模拟的星间测量恢复首领星的初始状态，其测量偏导数取自组合前向模型的中心有限差分。它不使用测得该阈值时所用的任何机制：没有解析雅可比行，没有变分状态转移矩阵，没有奇异值或特征值分解，没有秩容差，没有平方根信息滤波器；它只共用动力学、初始条件、标量观测量和历元网格，这些在所发出的文档中都有指明。两项判据，均做扫描：无噪声恢复（对应秩）和蒙特卡罗可估计性（对应可估计性，对照已知真值测量，而不是由协方差预测）。可作为cislunar-arc-recovery场景类型运行 |
ReferenceImpl | 与本代码库内另一独立实现核对——独立于被测单元，但不具外部权威性——本代码库中另一个估计器，采用不同的算法和互不相交的代码路径：带有限差分偏导的非线性加权高斯-牛顿法，其判定读作以km和mm/s计的MEASURED状态恢复误差。它与格拉姆矩阵的秩与协方差路径没有任何共同表达式，且这种分离由源文本防护强制保证，而不是仅仅断言。在已发表的平面DRO网格上实测：可估计性判据为CORROBORATED——实测的蒙特卡罗边界为5.739130 h，形式边界为5.739130 h（比值1.0000），实测RMS在21个弧长上复现了形式1σ，几何平均比值为0.9804。秩判据未得到印证，不能作为可恢复性边界：估计器从0.782609 h起即可恢复，而格拉姆矩阵给出2.086957 h，比值0.375，并且在1.826087 h——秩读数打分为3（满分4）的最后一个前缀——恢复到先验位移的1.96e-5。恢复边界在其自身界限的三个数量级上不动，而秩门限在rel_tol的四个数量级上从“永不”延伸到0.782609 h，二者在rel_tol = 1e-8时恰好重合。该跨度最初记录为达到0.260870 h；该数字是人为假象，由一次秩读数产生，它把低于f64噪声底的2个测量行所产生的4个方向计入，现已在此更正，而不是任其留存。秩读数现在由西尔维斯特不等式约束并附带输出理由，更正后的跨度恰好在独立估计器恢复的弧长处饱和，这加强而不是削弱本行的交叉验证：已发表的1e-6是保守的奇异值约定，不是关于可恢复性的陈述。空间上模式相同：NRHO为9.290323 h对21.677419 h，晕轨道为22.978723 h对39.829787 h，二者的可估计性均恰好相符。平面DRO六状态在任何弧长下都无法恢复，由一个对此一无所知的估计器独立复现了该族的结构性基准缺陷。没有外部锚定——动力学和初始条件与被测分析共用，也没有公开数据集公布这样的门限——因此ExternalDataset被拒绝 | cislunar_arc_recovery、batch_ls | cislunar_arc_recovery::tests和tests/cislunar_arc_recovery_reference.rs（两个边界及其比值锁定在已发表的网格上；实测误差曲线逐行与形式协方差比较，设有逐行二倍界和几何平均界；一个反面对照——平面DRO六状态——断言该判据会失败，并且未正则化的估计器在超过1e6 km时发散，而不是返回一个看似合理的小误差；在每个前缀上断言参数化不变性，相对误差达1e-3；一项源文本防护，剥离注释、字符串字面量和测试模块，然后对任何提及雅可比矩阵、STM、SVD秩或SRIF机制之处判为失败，并通过注入被禁止的调用做了变异验证；一项仅限测试的检查，确保有限差分等于解析行，因此线性化已知良好，而解析路径仍不出现在估计器中；逐字节断言确定性；已发布的cislunar-observability文档按键集、规范指纹和摘要行锁定） |
| 由实际检索到的星座几何得到的月面服务体积 | 接受表格化的月心状态星历（对SPK/BSP内核求值的结果）或ephemeris_path之后的已发表星座定义，对其运行相同的覆盖率 / DOP / 保护级扫描，并给出由此推出的 σ_URE测距要求，与保持不变的示意性开普勒及摄动结果并列，两者之差作为单独命名的量。每个数字都带有出处类别，区分由内核导出、由已发表轨道根数导出和由模型计算得出的三类，使下游引用时绝不会把它们混淆 |
InternalConsistency | 与自身的闭式／解析恒等式核对——能发现转录和系数错误，但不是外部参考基准（oracle）——几何是外部的并经哈希：三个测试夹具，其数字仅来自附有URL、检索日期和SHA-256的文档，可由已提交的生成器重新生成，这些生成器核对上游哈希，并且在不符时中止而不是输出数字——LANS互操作演示参考星座（NASA NTRS 20250009447，SHA-256 d1b916be…）、LNCSS案例研究（NAVIGATION 70(4) navi.613，CC BY，SHA-256 4e294687…），以及经Horizons由JPL自身重建的星历核函数求值的、LRO、Danuri、Chandrayaan-2和CAPSTONE的真实在轨飞行航天器星历。公开不存在任何月球导航星座核函数——Moonlight/LCNS、LCRNS和LNSS并未在轨，NAIF对它们没有发布任何内容——也没有杜撰。推导得出的 σ_URE需求没有外部参考基准（oracle）（没有人公布在该服务体积内50 m月球HPL所要求的测距精度），因此它对照自身的代数恒等式检查，并且独立地，通过在所计算的需求下重新运行整个扫描并确认可用性在该处翻转来检查。MEASURED：已发表的8颗卫星设计在100 % 覆盖率下需要 σ_URE 2.9044 m，而示意性星座在37.85 % 覆盖率下为0.3591 m——按计划规则R4，对已发表数字的修订达8.09×。定性结论依然成立（LNIS类30 m仍不能闭合50 m南极HPL），但缺口被夸大了八倍。5颗卫星的LANS演示产生零个保护级样本——五颗卫星无法提供单故障假设集所需的六颗可见卫星——需求字段不存在而不是被捏造；对四个真实航天器在0 % 覆盖率下同样如此。InternalConsistency是诚实的那一类：输入数据是外部的并经哈希，但本行所涉及的量只对照自身验证。0.30外部比较，一项发现（仍为MODELLED）：对照navi.613在346个网格点上的LNCSS案例研究统计，12项可用性统计中有4项落在预先登记的2个百分点之外（案例A：-4.0、+22.5和 -3.6 pp；案例B：-12.1 pp）。可能的原因：根数在错误的坐标系中读取，15天的二体开普勒对照论文未说明的力模型，以及无法由正文复现的网格。PDOP部分无法评估（LANS没有印出数值统计）；比较测试以忽略状态提交。0.30第2轮，一项发现（仍为MODELLED）：对照一个计算整份报告的Orekit 12.2 / Hipparchus 3.1参考基准（oracle）（Orekit传播、DOPComputer可见性与DOP、Hipparchus组合的MHSS保护级、逐样本求解的需求；预先登记d3ce97b2），在全部五个检索到的几何和两个网格上，160个值中有155个在预先登记的判据之内相符（2 pp、5 %、1 %），包括LNCSS A和C的sigma_URE需求（案例A双方均为3.879072208 m）以及LANS和轨道器不存在的需求。致密网格上的LNCSS B在其最差样本统计上未通过（sigma_required为0.000923对0.001511 m，hpl_max为1.63e6对0.99e6 m），其中近奇异几何（PDOP约1e6）放大了米级的位置相符；其p95需求相符（1.6343对1.6357 m）。最差样本需求在退化几何上是病态的。对照navi.613：12项中仍有4项落在2 pp之外（已锁定） | lunar_ephemeris、lunar_service | lunar_ephemeris::tests（格式和坐标系解析；拉格朗日插值在节点处精确，并在线性轨迹的非节点处精确；ICRF根数采用IAU 2015约化，并与显式的icrf_to_iau_moon应用逐字节相等；真近点角↔平近点角相对于正向开普勒求解往返一致；格式错误的文件被拒绝并指明原因）。lunar_service::tests（ephemeris_path未设置时，报告的键集和SHA-256被锁定；开普勒行等于独立运行的开普勒结果，逐字段一致；恒等式 σ_required · HPL_max / σ_URE = AL，然后在所计算的需求下端到端重新运行，达到100 % 的保护级可用性，而高出该需求1 % 的重新运行则达不到；两个新块所输出的每个数值字段都从所产生的JSON中遍历，检查单位和来源类别；已提交的测试夹具逐颗卫星与其来源表相符；超过表末尾的时间范围被拒绝）；tests/lunar_service_requirement_orekit_oracle.rs::lncss_b_dense_finding_is_unchanged；tests/lunar_service_volume_orekit_oracle.rs::service_volume_matches_orekit_on_identical_ephemeris_and_grid |
| 为每个报告的量声明单位和出处 | 一份机器可读的模式，为每个场景报告的每个数值字段给出单位、出处类别和定义；另有一个全局唯一的闸门，运行每一种已登记的场景类型，并在所发出的数值字段缺少其中任何一项时失败。出处词汇是封闭的，每个类别都带有一个证据等级，其中两个类别被有意映射到inherits-scenario-label和depends-on-input，而不是被指派一个该类别无法决定的等级 |
InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——所输出的文档本身：每个数值叶节点都必须能对应到该文档自身units块中的一个条目。没有外部的单位登记表可用来核对某个已声明的单位，因此已声明的单位只是经过审阅的断言，而不是经过核实的结论——该检查关口核实的是完整性和格式良好性，而非真实性；说它已与外部参考核对是不对的，因为没有任何外部依据能确认m是名为_m的字段的正确单位。曾对当时所述的1,434个字段做过一次独立的名称后缀交叉核对：在带有表示单位的后缀的691个字段中，40个与所声明的单位不一致，且这40个全部已得到解释（每秒后缀、最小值、孔径秒、牛顿米与看似纳米的后缀相对），因此没有发现错误的单位。该交叉核对此后未再重新运行，而覆盖范围已超出当时的范围——这里保留的是实际测得的数字，而没有按当前总数重新表述。在该次变更时（0.27.0），覆盖范围从56种类型中的7种增至61种中的60种，字段从1354个中的389个增至1,744个中的1,742个（docs/field-units-schema.json，由一项过期检查保持其为最新）。没有任何类型仍未覆盖（上限0，FUT-28，0.36）：最后一个是sweep-nd，其两列由调用方指定键，因此它们的单位是数据；现在它们被描述为mixed - see note，每个位置的单位均从被扫描证据包自身的units表读入key_units和metric_units（或取自坐标轴所声明的unit，两者同时存在时必须与证据包的一致；两者都不存在时为null，如实说明而不作猜测）。cislunar-observability是它之前的最后一个，在其已发布的文档增加units块后即从清单中移除：此前把units列为禁用键的可加性固定检查，现在证明这一新增确属可加——把该块删除后，文档仍然哈希为它出现之前就已冻结的那两个常量，因此如果已发布的值在这项新增之下发生了变动，检查仍会失败。这项工作还发现了现有代码中的十二处单位或文档缺陷，按R1予以报告而未修复 |
field_schema | tests/field_units_global.rs（所有61种已登记类型均会运行，每种一种文档形态：每个数值叶节点都必须能对应到该文档自身units块中的一个条目；格式有误的条目对每一种类型（无论是否豁免）都计为缺失，因此占位符换不来任何覆盖；豁免清单不得超过其固定的上限，清单中列出的类型若实际上已被完全覆盖，则该检查关口失败，使清单无法被凑数，而运行器表中缺少某个已登记类型也会失败，使新的证据包无法不经检查就混入——这一点确实发生过，在这项工作开始之后新增的两种类型都被它查了出来；对“已描述但未定义”的积压项实行单向棘轮；以及对已提交的schema文档的过期检查）；field_schema::tests |
| 月面参考站大地测量：对照五阵列基准新增的后向反射器与VLBI信标 | lunar-llr-datum场景上可选的extra_reflectors和extra_beacons输入会增加一个station_geodesy块：来自已归档月球激光测距时段的五阵列Helmert信息，加上在所述站点新增的后向反射器（在测距站位于其地平线以上的已归档标准点历元上测距，每个点使用该标准点已归档的权重）和新增的VLBI信标（由lunar-frame-campaign网络与计划观测，地球测站固定，经由lunar-vlbi-fim延迟偏导）对七参数基准所增加的信息，重新求解，并给出每个Helmert参数前后的1-sigma、其比值、前后的范数以及Fisher差的极端特征值。缺省或为空时，报告保持不变 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——仅为内部一致性：新增的每个站点都是一个不同的点，激光测距或固定站VLBI时延只涉及一个点，因此其信息A_p^T M_p A_p是半正定的并且会累加；该测试依此检查Fisher差值和每一个方差。五阵列结果即现有的真实数据行，保持不变。新增的反射器沿用为现有五个阵列安排的历元，这是一份ILLUSTRATIVE的安排；新增信标的网络、安排和时延标准差则是ILLUSTRATIVE的lunar-frame-campaign输入；该站点是一个ILLUSTRATIVE的南极位置。南极站点所见的地球很低地贴近地平线，或者根本看不到，现有的视角测试对此已有表述；两个站点都不是被连续测距的。这些数字是缩减参数集的Cramer-Rao界，不是已求解的基准，也不是对任何真实站点的陈述 | lunar_llr（基于lunar_frame_campaign::beacon_information、schedule_for和solve_datum_information、lunar_vlbi_fim） | tests/lunar_station_geodesy.rs（empty_or_absent_extra_lists_are_bit_identical：空列表与基线示例给出的默认报告和摘要逐字节相同；an_added_site_never_increases_any_variance：H_after - H_before的最小特征值不小于零，精度为最大特征值的1e-9，每个after/before的sigma比值至多为一，且两个新增站点均被观测到；the_rest_of_the_report_is_the_five_array_result；every_station_geodesy_field_has_a_unit；a_beacon_list_inside_the_campaign_block_is_refused）；scenarios/lunar-station-geodesy-baseline.toml与scenarios/lunar-station-geodesy-with-station.toml（相同的已归档安排和相同的VLBI campaign块） |
| 闸门完整性：绿灯就意味着它所说的 | 针对验证过程本身的三项结构性防护，各自堵住一类曾以间歇性或虚假红灯的形式进入规范闸门的缺陷。（1）Rust源码中每个构造出来的临时路径都必须带有每次调用唯一的组成部分；进程号会被拒绝，因为cargo把库测试作为同一个进程的并行线程运行，而进程号为它们全体所共用。（2）每一个逐字节或哈希固定都必须在自身旁边或其模块头部声明它涵盖什么、又有意排除什么，这样，一项跨领域的变更就能一眼看出哪些固定在其范围之内，哪些已经悄然变成整个仓库范围的变更检测器。（3）只有完整套件才能声称绿灯：scripts/gate.sh运行cargo test --all，在中间没有管道的情况下捕获真实退出码，并写出一份回执，注明提交、集成二进制数、测试数和耗时；推送前检查会拒绝这样的推送：在干净的工作树上，没有任何有效回执指明其提交。可重复性由scripts/check-repeatability.sh另行抽样，它把库套件运行N次，并在通过的测试集合不一致时失败。 |
InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——闭式：每个防护措施都在一个固定的已知有缺陷的代码片段（必须触发）和一个固定的已知无缺陷的代码片段（必须保持静默）上运行，两者都是检测器无法影响的字面常量。这两个已知有缺陷的片段就是F22和F25缺陷的原始形态。这是一个内部基准（oracle），因此该行为MODELLED：它证明这些防护措施能把缺陷与其修复区分开来，而不证明它们所描述的类别已穷尽。它们已声明的盲区——并非路径的共享状态、存放在简短具名常量中的固定值、三次运行也采样不到的罕见竞态，以及任何能写该文件的人都能伪造的回执——已写在tests/source_guards.rs的模块文档和各脚本的头部，而不是留待日后被发现。 | scripts/gate.sh, scripts/check-gate-receipt.sh, scripts/check-repeatability.sh, scripts/install-gate-hook.sh | tests/source_guards.rs（9项测试：两个防护措施覆盖整个源代码树，外加从两个方向为每个防护措施评分的变异夹具——F22模式在两条相互冲突的路径上均被报告，已发布的原子序列修复被接受，半截修复恰好在丢失其唯一组成部分的那条路径上被报告，临时文件句柄和继承的唯一目录被接受，墙上时钟被拒绝；未声明的固定值被报告，已声明的被接受，没有排除项的作用域被拒绝，写在外层测试文档注释中的声明被接受，并且显示不会泄漏到下一个测试；以及每种固定值写法——十六进制、十进制、摘要字符串、字节长度、具名字节数、golden文件——都能被识别，而算法常量、RNG种子和小规模基数检查则不被识别） |
| 组合授时PL：以P0为种子的守时（holdover）穿越 | PL(τ)=max(TPL_handover,HPL(τ))；下半连续PL(0+)≥PL(0−)；K(IR/2) 滑动最大值；τ/τ³/τ⁵ 相位指数 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——性质测试（单调性、切换时不下降）以及针对holdover::coast_phase_variance的指数检查 | src/integrity/composed_pl.rs | integrity::composed_pl::tests（单调、P0下限、K(IR/2)、指数、下半连续性） |
| 组合授时PL：LIL a.s. 包络（不可能性与一致性） | 不存在有限的最坏情形守时（布朗运动的上确界发散）；当IR→0时，按IR分配的HPL与Hartman-Wintner包络一致 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——闭式的几乎必然包络 √(2Dt·lnln t)恒等式，加上HPL主导性检查；Baweja arXiv:2606.24210不可能性接缝 | src/integrity/lil_envelope.rs | integrity::lil_envelope::tests（发散、阈值、IR收紧下的主导性） |
| 异构UTC(k) 可溯源性偏差的完好性上界 | 每个来源的偏差上界b = (U/k_cov)·Phi^-1(1-tail/2) + 老化，把已发表的B类扩展不确定度放大为分配到的完好性尾部；以bias_s的形式桥接到tpl_scalar | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——对过界闭式的独立numpy加标准库statistics复现（InternalConsistency）。BIPM Circular-T [UTC-UTC(USNO)]序列仅是被引用的输入——它正是已经为R4守时覆盖率行独立核对过的同一序列，在此并未重新核对；复现其数值对R2没有任何证明作用。深度完好性尾部是由模型计算得出的。0.30外部比较，一项发现（仍为MODELLED）：在BIPM各实验室的UTC-UTC(k)文件上（102个实验室，105,024行，均带有已公布的不确定度），1e-2尾部处的过界b = 2.576 u被50.8 %的行超出（Clopper-Pearson 95 %：50.4至51.1 %），并在102个实验室中的101个上被超出超过1 %。所公布的u是BIPM对UTC-UTC(k)的测定不确定度，而不是对偏差的界，偏差通常达到u的许多倍；按规定的过界并不能界住真实的UTC(k)溯源偏差。0.30第2轮，对已实现的UTC-UTC(k)偏差的过界，以2015-2022年数据训练，并在2023-2026年的BIPM Circular T数据上测试（预先登记ca0921a4，汇总超出率至多1e-2），一项发现（仍为MODELLED）：汇总超出率为0.0333（82个实验室共20,826行中的694行；去掉按规则没有界的430行后为0.0127）。D9第3轮，汇总的分层老化界（utck_bound），预先登记fb475550，并在自465期起的Circular T各期上做前瞻性评分：尚未运行（第465期于2026-10-12发布，约有285个测试值；预先登记的1000值规则需要期数到约468，且运行需要已归档的2026-09-30各实验室文件，因为BIPM此后已重写了其中113个中的87个） | src/integrity/hetero_budget.rs | integrity::hetero_budget::tests + tests/hetero_budget_reference.rs；tests/hetero_budget_utc_k_oracle.rs::overbound_exceedance_on_real_utc_k_finding（受数据控制：BIPM序列不存在时跳过并给出提示）；tests/hetero_budget_utc_k_realised_overbound_oracle.rs::realised_offset_overbound_finding；tests/utck_bound_prospective_oracle.rs（D9第3轮，前瞻性，尚未运行：Circular T 465于2026-10-12出现，预先登记的1000值规则需要期数到约468） |
| 相关的可溯源性偏差互协方差（共模不安全的分配） | N×N偏差互协方差，对共用同一UTC(k) 实现者的来源，非对角元为rho·b_i·b_j；已证明correlated_fused_bias >= independent_fused_bias（朴素的独立分配会低估融合偏差，从而偏乐观，因而不安全） | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——对互协方差以及相关与独立融合偏差不等式的独立numpy复现（InternalConsistency）。具有代表性的源集合；由模型计算得出的场景。 | src/integrity/hetero_budget.rs | integrity::hetero_budget::tests（correlated_fused_bias_dominates_independent_when_correlated, rho_one_single_realizer_recovers_linear_sum）+ tests/hetero_budget_reference.rs |
| 共模一致性统计量（分离盲区的共享参考故障） | 得分统计量 (1^T Omega^-1 r)^2/(1^T Omega^-1 1) ~ chi^2_1，针对解分离（与1正交的对比）无法看见的共模偏移；共模偏移会使它增大，而两两分离保持平坦 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——对该统计量的独立numpy复现，加上共模注入会使其增大的性质测试（InternalConsistency）。由模型计算得出的场景。0.30第2轮（预先登记f9aa360d），受阻（仍为MODELLED）：numpy 2.3.5的LAPACK gesv在261个已提交的用例上复现了该统计量的值（条件良好时在3.5e-15以内，条件数高达6.1e7时在1.2e-9以内）；chi-square(1)零分布律是被引用的定理，平坦的成对间隔是一个恒等式，没有可供比较的引擎输出，因此范围界定有待所有者作出决定 | src/integrity/gls_commonmode.rs | integrity::gls_commonmode::tests（common_mode_shift_inflates_statistic_but_not_contrasts, post_fit_common_mode_statistic_is_zero）+ tests/gls_reference.rs；tests/gls_common_mode_statistic_numpy_oracle.rs::common_mode_statistic_matches_numpy_lapack |
| 月球基准零空间分类（LLR秩可加性加天平动亏损提升） | 对内部测距基准问题的分类：单次测距观测贡献的秩为1（6维零空间）；origin-X与尺度这一对近乎为零，而物理的DE440天平动把亏损提升为零，但这一对仍近乎退化 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——引擎复现的几何结构，加上闭式的2x2 Schur恒等式；在结构上与Sosnica等人（2025）（arXiv:2510.15484）一致，其报告的量值在此并未复现。该分类是结构性的；真实几何下的相关性/CRLB量值是MODELLED（反射器坐标和朝向保持固定）。0.30外部比较，一项发现（仍为MODELLED）：对照Sosnica等人（2025），距离Fisher的原点-尺度相关性（-0.993 / -0.988）与已发表的-0.97相差在0.05以内，但在该论文自身的五反射器几何上，等权重7参数Helmert相关性为-0.78（已发表的值取决于论文未印出的各反射器误差），而原点CRLB（在3 mm距离噪声下为0.6至1.2 mm）比论文的3.07 cm低96至98 %，而容差为20 %。量值未复现 | lunar_identifiability, lunar_datum | tests/lunar_datum_identifiability_reference.rs（single_internal_range_row_has_six_dim_datum_null_space；extending_the_librating_arc_lifts_the_origin_scale_degeneracy）；tests/lunar_datum_sosnica_oracle.rs::origin_scale_correlation_and_crlb_disagree_with_the_published_geometry |
| 多技术月球基准信息（LLR加月球VLBI加轨道器测距） | 在7参数基准上，针对地球反射器LLR测距、双站月球VLBI差分时延和轨道器到信标测距的基准雅可比行，合并为一个经一致预处理的Fisher阵；演示了偏离径向（轨道器/深度多样）的跟踪能打破origin-X与尺度的退化，而横向VLBI只能间接起作用 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——对各项技术偏导数的解析与有限差分交叉核对（内部）；改进的方向是一个几何事实。信标位置、安排和噪声是MODELLED/具有代表性的（见tests/fixtures/llr_geometry/NOTICE.md）。 | lunar_datum, lunar_identifiability | lunar_datum::tests（LLR/VLBI/轨道器的解析偏导数与有限差分对照）；lunar_identifiability::tests（adding_an_offradial_technique_collapses_the_origin_scale_degeneracy；经由crlb_diag的横向与径向对照） |
| 月球LLR基准几何基础（主轴反射器、地面站、解析测距偏导数） | 以PA本体系米为单位的五个近侧后向反射器阵列，以及以大地坐标表示的LLR地面站；经DE440 PA朝向的反射器本体到惯性系的放置；地球到反射器距离相对4参数基准的解析偏导数；以及仅LLR的Fisher矩阵，它展现了促成7参数分析的月心X与尺度的退化 | ExternalDataset | 某个子论断已得到外部核对，但整个能力由多个由模型计算得出的部分组合而成，因此该能力仍为由模型计算得出——计算在内部得到核对：每个解析偏导数都对照有限差分，零基准的情形对照标称距离。星表则得到外部的独立核对——DE440主轴坐标（Park等人2021，tests/fixtures/llr_geometry/de440_retroreflectors_pa.csv）与DE430表面坐标备忘录的表6（tests/fixtures/lunar_llr/de430_retroreflectors_pa.csv，由tests/fixtures/lunar_llr/generate_de430_retroreflectors_pa.py从经SHA-256校验的PDF中机器提取）交叉核对，两者在1.12 m以内一致，而同样五个阵列的平均地球实现相差672至871 m。退化结构则对照已发表的结果核对：Sosnica等人2025，“Definition and Realization of the International Lunar Reference Frame”，arXiv:2510.15484，该文针对月球主轴坐标系报告了月心X与尺度之间的相关系数r = -0.97，并指出由于这一相关性，LLR无法以优于12 cm的精度到达月球的实际质心。本模块从仅含LLR的Fisher设计中恢复出了同样的结构（|corr(t_x, scale)| 介于0.9与0.9999之间，基准缺陷<= 1）。这一佐证是跨星历表的，而不是往返自证：该论文合并了INPOP21a、DE430和EPM2021，而本模块由DE440天平动驱动。未复现的是量值——这里的相关性约为-0.988，对应他们的-0.97，而4参数CRLB为亚毫米级，对应他们实际达到的12 cm下限，原因是这里把朝向和反射器坐标保持固定，而他们则对其求解。仅为几何和退化结构；不对已求解基准的精度作任何论断。0.30外部比较：本模块中的实测距离部分（reflectors()、stations_itrf()、DE440 PA布设以及质心光行时llr_bcrs_one_way_m）已在其自己的行LLR measured-range model中，对照192个ILRS标准点得到独立核对（RMS 2.81 m，对比10 m）。该行仍为MODELLED，因为实测比较并未检验其论断的其余部分。大地测量站目录stations()把APOLLO舍入到0.001 deg；采用地心光行时时，在同样的点上给出22.7 m（测试reflector_ranges_against_ilrs_normal_points；采用此前逐元素的朝向插值时为96 m）。解析的距离偏导数和仅含LLR的Fisher，是通过llr_range_m和reflector_inertial，利用解析月球级数（ephem::moon_position，与GCRS相差约0.3 deg）且不含光行时计算得出的 | lunar_llr_geometry | lunar_llr_geometry::tests（reflector_and_station_catalogs_are_well_formed, analytic_partials_match_finite_difference, llr_one_way_range_is_earth_moon_scale, zero_datum_reproduces_nominal_range, llr_only_fisher_shows_strong_com_x_scale_degeneracy）；tests/lunar_pa_frame_realisation_guard.rs；tests/llr_datum_degeneracy_reference.rs；tests/lunar_llr_geometry_range_oracle.rs::reflector_ranges_against_ilrs_normal_points |
| 单向月球测距中的距离与钟差退化，以及几何多样性设计律 | 每个节点的径向距离与接收机钟差之间的退化在1 m对3.336 ns（即c的倒数）处是精确的。{scale, offset} Schur补边缘分布（coupled_marginal_fisher）表明，在几何多样的网络中，双向测距对边缘分布的提升，与同样数量的额外单向数据大致相同，而在理想化的单节点情形中，双向的提升要大几个数量级。由此得出的设计律是：在单向测距中，把月球坐标系尺度与时标偏差区分开来的，是几何多样性，而不是双向测距本身；只有在低多样性或单用户情形下，才需要双向或外部时间联系。 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——耦合信息矩阵的Schur补边缘Fisher，以闭式线性代数给出，并对照它所预测的两种极限情形核对。1 m对应3.336 ns的等价关系是通过c对米所作的定义，而不是经验结果。观测网络是具有代表性的由模型计算得出的几何，因此该设计律是对所给几何的陈述，不对任何已部署的月球网络作任何论断。 | lunar_gauge | lunar_gauge::tests（coupled_marginal_well_posed_network_is_psd, coupled_marginal_twoway_equals_more_oneway_in_diverse_network, coupled_marginal_twoway_lift_three_orders, oneway_range_row_has_correct_temporal_entries, twoway_range_row_has_zero_at_offset_and_rate, time_tie_row_equals_pure_offset_vector, rate_tie_row_has_correct_structure） |
| 有代表性的多技术测量菜单与可加的Fisher组合规则 | MeasurementBlock保存一次候选测量活动，其形式为7x7的Fisher信息贡献加一个标量相对成本；block_from_rows由原始基准雅可比行构建一个，使每个块都通过lunar_identifiability::assemble_multi_info得到相同的预处理；combine对所选子集的信息求和，这是正确的规则，因为Fisher信息在独立测量之间是可加的；representative_lunar_menu提供确定性的四块菜单（LLR、横向VLBI月缘信标、近侧轨道器和远侧轨道器）。使用该菜单的受预算约束的设计优化器不属于本crate。 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——Fisher信息在相互独立的测量之间的可加性是一个闭式性质，在此对照独立编写的逐元素求和，以及由它推出的顺序不变性和单调性进行核对。关于证据的说明：组合器此前根本没有测试，而该模块中唯一的测试是把两个信息矩阵直接内联求和，而没有调用它，因此即使组合器已损坏，该模块仍会保持绿色；现在测试经由combine运行，并在其被变异时失败。所有信标位置、轨道器几何、各技术的精度以及相对成本都是具有代表性的选择，而不是任务取值（见tests/fixtures/llr_geometry/NOTICE.md），因此通过该菜单得到的每一项退化度量和CRLB数字，都继承lunar_identifiability::decompose的“由模型计算得出”状态。 | lunar_techniques | lunar_techniques::tests（combine_is_additive_order_independent_and_empty_is_zero——空选择给出零矩阵，单一选择即恒等，一对选择等于独立编写的逐元素求和，且结果与选择顺序无关；adding_a_block_never_reduces_the_degeneracy_metric——增加信息时的单调性；radial_diversity_beats_transverse_for_breaking_the_degeneracy——远侧轨道器块比横向VLBI块更能提高退化度量） |
| 混合提供方用户的跨提供方一致性容差 | consistency_tolerance：把用户位置预算反演为，在参考杠杆臂处，对每个参数的提供方间Helmert一致性要求（origin/scale/rotation），可选择按P1单提供方实现CRLB放大 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——Helmert点雅可比作用的最坏情形三角形界（闭式） | lunar_interop_budget | lunar_interop_budget::tests（随预算的单调性；在各提供方CRLB下的RSS预算缩减；月球杠杆臂处的实例旋转容差；起约束作用的项 = 旋转） |
| 多提供方月球互操作误差预算与坐标系对星历设计律 | interop_budget：在PerProvider / CommonFrameTie / CommonEphemeris约定下，把可消除（共同坐标系联系）与不可消除（动力学）分开，并给出不可消除比例这一设计律度量（在真实DE440/INPOP/EPM上约为0.69：仅有共同的坐标系标记，仍留下占主导的底限） | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——在每种约定下对已独立核对的各对分量取RMS聚合（闭式） | lunar_interop_budget | lunar_interop_budget::tests（CommonEphemeris使预算归零；CommonFrameTie < PerProvider；在真实分量上irreducible_fraction > 0.5；约定的排序） |
| 自主逐节点月球网络上的拜占庭块spark检测/辨识界（T3） | byzantine_bound在逐节点网络几何上实例化了安全状态估计的编码/稀疏可观测性界：拜占庭对等节点会注入它所参与的测量的任意线性组合，网络可检测（DETECTS）任何 ≤ f = block_spark − 1个对等节点的联盟，并可唯一辨识（IDENTIFIES）任何 ≤ ⌊(block_spark − 1)/2⌋ 个的联盟，其中block_spark是堆叠的有效特征P⊥·B_T列秩亏的最小对等节点联盟。对等节点的可检测性是P⊥·B_j的满列秩（FULL COLUMN RANK）（非零但秩亏的块是落入range(G) 而不留下残差的非零攻击），而不仅仅是P⊥·B_j ≠ 0 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——分块spark /安全状态估计界的几何实例化（Fawzi–Tabuada–Diggavi 2014；Shoukry–Tabuada 2016；Donoho–Elad的分块spark 2003；Candès–Tao 2005）——不是Lamport–Shostak–Pease的3f+1共识阈值（“Byzantine”仅指任意/串通故障的模型）。具体的可容忍故障数是具有代表性的网络几何的一项由模型计算得出的性质，通过手工构造的解析用例和计数公式检查其自洽性 | lunar_faultobs | lunar_faultobs::tests — byzantine_c3_rank_deficient_but_nonzero_is_undetectable（非零但秩亏的块 ⇒ block_spark 1、f_detect 0；独立的列 ⇒ block_spark 2、f_detect 1），byzantine_real_network_uniform_bias_is_clock_offset（拥有某节点全部测量的一个对端 = 属于range(G)的钟差误差，不可检测，Gram谱隙清晰），byzantine_redundant_net_identifies_at_least_one（六个独立的单测量对端 ⇒ block_spark 7、f_identify 3），byzantine_analytic_spark_identity_projector + byzantine_detect_identify_relations（P⊥ = I的手工用例固定f_detect = block_spark − 1，f_identify = ⌊(block_spark − 1)/2⌋） |
| 自洽月球星座的自主守时时间规范底限（T4） | holdover_floor确立：在仅由节点间测量相连的自主节点集合中，共同时钟速率（δα_j += 1 ∀j）是位于N(GᵀWG) 中的集合时间自由参数：再多的节点间测距也无法观测它（rate_in_gauge = true，连同共同偏差temporal_gauge_dim = 2）。这就是真正的守时底限：刚性坐标系位置规范在时间上的对应物。加入一个外部绝对速率联系（与网络之外参考的直接链路），就把共同速率从零空间中排除（rate_in_gauge = false，temporal_gauge_dim = 1），证明该底限是真实的规范，不是振荡器模型的人为产物 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——集合时间自由参数论证（Percival 1978；Lewandowski & Thomas 1991），在具有代表性的真实DE440逐节点网络上实例化：对解析的共同速率生成元相对于GᵀWG做相对残差零空间检验，并用打破平局的对比区分真正的规范与振荡器模型的人为产物。具有代表性的由模型计算得出的几何，不是经认证的授时预算 | lunar_faultobs | lunar_faultobs::tests — holdover_floor_self_ref_and_anchored（自参照网络：共同速率位于N(GᵀWG)中，temporal_gauge_dim 2；加入一行外部速率约束后：速率被逐出规范，temporal_gauge_dim 1，共同偏差得以保留） |
| 提供方共同/差分拆分、单一秩亏统一，以及保护间隙斜率（T5 / §0 / g7） | 同一分解 ℝ^{state_dim} = N(GᵀWG) ⊕ range(GᵀWG) 的三个侧面，其中8维基准⊕时标规范为N(G)，而state_dim − 8 = 32个可观测方向为range(G)：（T5）provider_mismatch_split把共同的多提供方偏差（∈ range(G)）归类为不可检测（UNDETECTABLE），需要外部联系，而把差分偏差（∉ range(G)）归类为自监测/可检测（DETECTABLE）；（§0）统一在于，同一个range(G) 盲子空间支配着不可检测的故障类，因此基准规范N(G) 与故障盲子空间range(G) 是同一种几何，而不是两种；（g7）slope返回Brown保护间隙斜率 ‖Π_obs Δx̂‖ / ‖P⊥b‖_W，对故障b ∈ range(G)（估计器受到破坏而奇偶为零）趋于 ∞，对可检测故障则有限 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——在具有代表性的真实DE440逐节点网络上的闭式奇偶投影/伪逆代数：共同/差分分解、N(G) ⊕ range(G)的统一以及Brown（1992）的保护间隙斜率，全都由距离湮灭P⊥·G = 0推出。具有代表性的由模型计算得出的几何，不是经认证的保护级 | lunar_faultobs | lunar_faultobs::tests — provider_mismatch_split_common_undetectable_differential_detectable（共同偏差不可检测，差分偏差可检测），slope_infinity_in_range_finite_detectable（g7：b ∈ range(G)时斜率 ∞，b ∉ range(G)时有限），pernode_rank_is_state_dim_minus_eight（§0：rank(GᵀWG) = state_dim − 8，8维规范就是整个零空间，谱隙 >1e6） |
| 带PASS/FAIL和裕度的ITU-T电信同步模板 | 转录的限值：ITU-T G.8272（07/2025）PRTC-A/B，G.8272.1（2024）Amd. 1（07/2025）ePRTC锁定与ePRTC-A守时（包括表3时间误差包络），G.8273.2（2023）Amd. 2（11/2025）T-BC/T-TSC A-D类，以及G.8271.1（2022）Amd. 3（05/2025）参考点C，每个区间按表中所述为开或闭，并略去每一项“待进一步研究”的条目；每项检查给出判定和约束点上的裕度，以及超出每个预算的时间。可作为telecom-timing场景类型运行 |
InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——对所列各项建议书的转录（可从itu.int免费下载），每项限值都附有其表或条款，并连同每个未确认或未实现的条目一起列于docs/TELECOM-TIMING.md；这些表所蕴含的断点连续性恒等式在测试中得到检查。这是一份附带内部一致性检查的标准转录，不是一致性测试，也不是外部验证。0.30第2轮（预先登记970003ee），受阻（仍为MODELLED）：这些建议书作为实例数值印出的十个模板数值和十三个ePRTC-A守时数值（G.8272图1-2，G.8272.1 Amd.1第8.2.1条和图V.1-V.3，G.8271.1 Amd.3图7-2至7-4）在不到半个印刷单位的范围内得到复现，其中大多数是表中的常量或断点；G.8271.1图7-2在1.3 s处标注200 ns，与其自身的表7-1（197.5 ns）不符。G.8273.2的A-D类限值没有印出的实例数值，而G.8272.1 ePRTC锁定断点的标注（位于实心构造线上）按预先登记的选择规则被排除，因此这些仍然只是转录 | telecom_timing (MASKS, eprtc_a_holdover_limit_ns, check_curve, check_mask) | telecom_timing::tests（mask_boundaries_follow_the_tables_exactly——开端与闭端，G.8271.1表7-3中 τ = 400 s的间隙，各表所蕴含的每个断点处的连续性；a_curve_exactly_on_the_limit_passes_and_just_above_fails；eprtc_a_holdover_envelope_follows_table_3；a_coarse_record_is_not_evaluated_against_a_filtered_mask）；tests/telecom_timing_reference.rs（telecom_timing_kind_round_trips_through_the_dispatch）；tests/telecom_masks_itu_printed_values.rs（mask_values_match_the_numbers_the_recommendations_print；figure_7_2_label_at_1_3_s_is_not_its_own_table_value） |
| ITU-T频率同步漂移产生模板（G.811、G.812、G.8262、G.8262.1） | 为telecom-timing类型提供七个恒温MTIE和TDEV漂移产生模板：G.811（09/1997）PRC（自主）、G.812（06/2004）I、II和III型、G.8262（10/2024）EEC选项1和2，以及G.8262.1（11/2025）eEEC（锁定模式），包括表中所写的幂律片段（8 τ^0.5之类），每个区间按印刷所示为开或闭，通过条款所述的10 Hz滤波器测量（取为在采样之前施加）；参考场景scenarios/telecom-synce-eec.toml把一台自由运行的OCXO对照三个EEC模板。未实现：变温容许量、守时、瞬变、抖动，以及G.811的频率精度 |
InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——对所列各项建议书的转录（于2026-10-13从itu.int下载），每一行都已对照文本重新读过，所印系数所蕴含的断点连续性已在测试中给出界限（例如40 · 10^0.4 = 100.48 ns，对照G.812表4的100 ns平台）。这是一份附带内部一致性检查的标准转录，不是一致性测试，也不是外部验证。G.812（06/2004）被列为已被预先发布的08/2026版取代，G.811有Amd. 1（04/2016）；两者均无法读取，因此均未核对。自由运行的OCXO场景在相对于环路时间常数较长的观测间隔上高估了振荡器的贡献；它对任何设备时钟都没有说明。 | telecom_timing (MASKS, Segment::tau_exponent, MeasurementFilter::LowPass10HzAtSource, MaskCondition::Autonomous) | telecom_timing::tests (g811_prc_masks_follow_clause_6_1; g812_masks_follow_tables_3_4_6_and_7; g8262_masks_follow_tables_1_3_4_and_5; g8262_1_eeec_masks_follow_tables_1_and_3; a_linear_piece_is_evaluated_without_powf; wander_masks_pass_a_quiet_white_fm_flicker_series; wander_masks_fail_the_same_series_scaled_up) |
| 读成归一化相位序列的时钟日志格式（RINEX时钟、TimeLab ASCII、TAPR TICC） | clock_log::read_input：一个解析层，把RINEX时钟文件（某个指定时钟的AS/AR记录，版本2以及3.00至3.04）、TimeLab式ASCII相位或频率日志，或TAPR TICC时间戳或间隔日志，转成统一的相位网格，tau0由声明、由头部或由中位间隔给出，每个间隙、离网格读数和重复都被计数，并有拒绝、最长连续段或线性的间隙策略；以可选方式接入电信授时序列（[series.clock_log]，增加一个clock_log块）和时钟类型（[clock_log]，增加一个measured块，含ADEV、TDEV和MTIE、表的SHA-256和相位的SHA-256；runs = 1）。没有该表时，两种类型逐字节相同 |
InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——已在tests/fixtures/clock_log/PREREGISTRATION.md中预先登记（单独提交，159334f2，早于夹具的出现）；结果记录于RESULTS.md。三份带随机种子的合成日志，每种格式一份（一份TICC日志含三个历元的间隙，一份RINEX含需忽略的第二个时钟），由同一作者依据docs/CLOCK-LOG-FORMATS.md编写的独立读取器回读：网格、间隙和填充计数相等，最大相位差为0 s（判据1e-13 s）。allantools 2024.6的oadev、tdev和mtie在该相位上，于其所评估的每个平均因子处，相对一致到2.5e-14（判据1e-10）；它不评估引擎所报告的整个记录上的MTIE，因此每份日志的这一点没有基准（oracle）价值，按所述措辞的判据在该处并未达到。MODELLED：日志是合成的，且读取器基准（oracle）与作者相同；未与仪器产生的真实TimeLab、TICC和RINEX时钟文件作比较 | clock_log (read_input, MeasuredPhaseReport, MEASURED_UNITS, TELECOM_LOG_UNITS); telecom_timing (SeriesInput::clock_log); api (clock kind [clock_log]) | clock_log::tests（按格式手写的日志：头部、分隔符、单位、频率积分、TICC通道与模式、间隙与策略、拒绝）；tests/clock_log_allantools.rs（预先登记的比较：b1_each_log_reads_to_the_reference_phase；b2_adev_tdev_and_mtie_agree_with_allantools；b3_a_telecom_series_read_from_a_log_equals_the_same_samples；b3_the_clock_kind_measured_block_is_opt_in） |
| 读成归一化相位序列的时钟日志格式linuxptp（ptp4l、phc2sys、ts2phc）和chrony（tracking、statistics） | clock_log::read_input支持格式ptp4l、phc2sys、ts2phc、chrony-tracking和chrony-statistics：linuxptp伺服行所记录的偏移（ns，采用该行自带的括号内时间戳，在伺服首次报告s2之前的读数被略去并计数），或chrony tracking或statistics日志的偏移（s，按列位置，UTC日期和时间），经与其他格式相同的间隙策略成为统一的相位网格；来源选择器（clock）指定若干接口、时钟或地址之一；这些日志供给电信授时序列、时钟类型和守时测试类型 |
InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——为Kshana编写的夹具，依据各守护进程公开的行布局，数值为虚构（夹具文件夹中的NOTICE.md）；没有读取任何来自真实安装的日志，也没有基准（oracle）把该解析与另一个读取器相比较，因此在各守护进程版本之间有差异的布局仍可能被拒绝或被误读。由相位序列馈入的估计器，就是在上面各行中对照allantools已与外部参考核对的那些估计器 | clock_log (parse_linuxptp, parse_chrony, grid_timed_offsets) | clock_log::tests（ptp4l_reads_the_locked_offsets_in_ns；linuxptp_reads_only_the_named_program；ts2phc_gap_is_refused_or_filled；linuxptp_reads_syslog_prefixed_lines_and_picks_an_interface；linuxptp_refuses_a_servo_that_never_locks_and_backwards_stamps；chrony_tracking_reads_the_local_offset_in_seconds；chrony_statistics_needs_a_source_when_there_are_two；chrony_columns_of_the_other_log_are_not_read；clock_selector_is_refused_for_timelab_and_ticc_only），基于tests/fixtures/clock_log/linuxptp_chrony/中的夹具 |
| 由运营方提供的时间误差记录评分的守时测试 | holdover-test类型：时间误差记录（linuxptp、chrony、TICC、TimeLab或RINEX时钟日志，或time_s,time_error_ns数据对）在运营方声明的GNSS移除和恢复两个时刻处被拆分为基线、守时和恢复三步；基线对照为锁定时钟编写的ITU-T模板度量，守时对照为守时或自主时钟编写的模板、ePRTC-A守时包络和时间误差预算度量；守时部分报告系统所保持的最小二乘频率偏差，恢复部分报告 |TE| 是否以及何时进入所述的带并在所述驻留时间内保持其中，以及峰值和最大阶跃。每项限值都是电信授时类型所转录的那一项；这两个时刻是运营方的陈述，未经核实 |
InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——对由公式构造的记录做手工计算，这些公式的斜率、阶跃、极值和恢复时间在运行之前就已知（测试中写明了它们），并对照上面电信授时各行的模板、包络和预算。没有对真实守时做过实验室测量评分，也没有与任何外部基准（oracle）比较，因此该类型不对任何时钟或系统作任何论断；在任何按时钟等级给出的数字可以被提升之前，需要一家授时实验室合作方 | holdover_test (HoldoverTestScenario, recovery, linear_fit); telecom_timing (check_mask, check_envelope, budget_results) | holdover_test::tests（the_record_is_split_at_the_stated_times；holdover_figures_match_a_hand_computation；recovery_is_timed_from_the_restoration；masks_are_measured_on_the_step_their_condition_names；a_record_with_no_baseline_says_so；bad_inputs_are_refused_with_the_reason；the_report_carries_the_label_the_units_and_no_conformance_word；a_ptp4l_log_is_scored_end_to_end） |
| 空间服务体积及以外的GNSS信号可用性，与ICG SSV手册对比 | gnss-ssv类型的可用性扫描：逐星座（GPS、GLONASS、Galileo、BDS、QZSS、NavIC）以及合并后，至少有一个信号和至少有四个信号的（用户，历元）对所占的份额，以及最长中断，对象是位于球面上的用户（手册的2,562点全球球壳，14天，间隔1分钟）或位于轨迹上的用户（GEO、HEO、月球转移），由手册附录C的开普勒轨道、参考偏离视轴角之内恒定的最小辐射功率、球体加50 km的地球遮挡以及C/N0阈值得出；用户天线取自手册的表B10 |
ExternalDataset | 某个子论断已得到外部核对，但整个能力由多个由模型计算得出的部分组合而成，因此该能力仍为由模型计算得出——ICG空间服务体积小册子（UN OOSA ST/SPACE/75，2018）本身就是一次仿真，在运行之前已提交的预先登记（xval/gnss-ssv/PREREGISTRATION.md；结果见xval/gnss-ssv/RESULTS.md，由tests/ssv_booklet_results.rs固定，包含未达标项）之下与之比较。第1次运行按预先登记的读法：最小辐射功率常量和月球判据一致（S0、S6达到判据）；上层与下层SSV、射频阈值、GEO和HEO的判据均为NOT MET，几乎都出在GLONASS上，小册子在表B2和B6中给出20和28度，在表4.2中给出26和34度。采用表4.2角度的诊断变体，在上层SSV、下层SSV和六个GEO任务的每个单元中都一致（它不取代第1次运行；射频、HEO和月球单元仍然未达标）。实测的GPS L1面板方向图未能被参数化的替代模型复现（RMS为6至9 dB，判据为3 dB）。一致说明小册子所述的方法得到了复现，而不是说明GNSS信号确实如此表现 | ssv (constellations, geom, sweep, pattern, check) | ssv::geom::tests（the_grid_has_the_booklets_2562_points_on_the_unit_sphere；the_interval_form_equals_the_general_predicate；a_user_behind_the_earth_is_blocked_and_one_beside_the_limb_is_not）；ssv::sweep::tests（a_small_shell_run_is_internally_consistent；pdop_of_a_regular_tetrahedron_like_set_is_finite_and_a_flat_set_is_not）；ssv::pattern::tests（table_b10_antenna_reads_as_gain_against_angle_from_the_boresight） |
gnss-ssv类型中，掠射GNSS信号的临边射线电离层、等离子体层和大气效应，以及弱信号接收机设计 |
沿发射机与用户之间的直线射线积分的Chapman电离层、Gallagher型等离子体层和中性大气（折射率弯曲、氧吸收、散焦）：斜向总电子含量、其等离子体层部分、附加时延、切点高度以及掠射链路上的损耗；以及一个弱信号接收机设计（相干与非相干积分、数据比特限制、辅助、多普勒搜索），它根据捕获和跟踪环路模型确定C/N0阈值 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——测试中的闭式和已发表的量级（Chapman层的峰值和地表临边的折射弯曲，GPS到GEO射线上几个TECU的等离子体层）；接收机设计复用捕获和跟踪环路模型及其测试。没有把实测的临边探测数据或弱信号接收数据与之比较 | ssv (limb, weak) | ssv::limb::tests（the_chapman_layer_peaks_at_its_height_with_its_density；the_surface_limb_bends_about_one_and_a_third_degrees；plasmaspheric_tec_is_a_few_tecu_for_an_equatorial_gps_to_geo_ray）；ssv::weak::tests（longer_integration_lowers_the_acquisition_threshold；aiding_narrows_the_search_and_the_loop；a_conventional_receiver_is_far_above_the_ssv_signal_levels）；ssv::scenario::tests（the_limb_medium_adds_statistics_and_can_cost_signals；a_weak_signal_receiver_replaces_the_fixed_threshold） |
| 面向高轨和月球转移轨道航天器的星载GNSS导航滤波器 | gnss-ssv类型的[navigation]模式：九状态扩展卡尔曼滤波器（位置、速度、接收机钟差和钟漂、一个太阳辐射压尺度），作用于伪距，其可用性、噪声和C/N0与扫描所用的链路几何一致；真值积分计入J2、太阳和月球第三体引力以及带阴影的辐射压，滤波器对J2和第三体建模并估计辐射压；报告GNSS轨道之内和之上的位置与速度误差、最长的测量间隙以及平均NEES |
InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——模拟的真值对照滤波器自身的估计（一致的滤波器的归一化估计误差平方均值，对位置而言约为3），以及固定随机种子下的确定性。没有与飞行或已记录的高轨GNSS数据比较；太阳和月球是低精度的圆轨道替代模型 | ssv::nav (run_nav, Ekf) | ssv::nav::tests（the_filter_converges_where_signals_are_plentiful_and_is_deterministic；the_covariance_is_consistent_with_the_error；without_signals_the_filter_coasts_and_the_gap_is_reported）；ssv::scenario::tests（navigation_and_formation_run_and_report） |
| 基于GNSS的大椭圆轨道多航天器编队相对导航 | gnss-ssv类型的[formation]模式：主星和副星各自运行绝对滤波器；副星相对主星的位置，一方面由绝对估计相减得到，另一方面由一个相对滤波器估计，该滤波器作用于两颗航天器都跟踪的信号的单差伪距，相对动力学为两条非线性轨道之差 |
InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——与绝对滤波器相同的模拟真值：相对滤波器相对于真实相对状态的误差，以及检查它至少不比把两个独立的绝对定位结果相减差。没有与飞行编队数据比较 | ssv::formation (run_formation, RelEkf) | ssv::formation::tests（differencing_beats_subtracting_absolute_estimates_and_is_deterministic）；ssv::scenario::tests（navigation_and_formation_run_and_report；formation_needs_navigation_and_one_mode_only） |
从发射到再入的一串任务阶段的导航与授时误差预算（mission-thread） |
mission-thread类型：由多个阶段组成的文档，每个阶段是八种已注册类型之一，按顺序运行，6x6协方差、时钟和坐标系依所述规则向后交接（carry；inflate，在直线模型上对所述间隔施加白加速度噪声；reacquire，先航位推算，再取来源下限，绝不低于它，也绝不复位）；GCRF、MCI和MCMF之间的坐标系转换以及经由TT的时间标度转换，各为单独的预算行，月球状态取自可选的DE440星历裁切文件，并以解析级数作为所述的后备；相对既定需求的余量、最薄弱环节、事件和一张时间线图。每个数字要么是既定输入，要么是对既定输入的建模 |
InternalConsistency | 对照自身的闭式或解析恒等式进行检查，能发现转录错误和系数错误，但不是外部参考基准（oracle）——测试中的手算（直线协方差增长、平均恒星自转、长期月球时钟速率），以及仅针对月球状态，已提交的DE440星历截取对照固定的JPL Horizons数值（最差2.6 m和7e-6 m/s）。没有任何任务数据与该链路作比较；其各阶段是各自独立的行。该文档是一条给定的链路，输入为ILLUSTRATIVE，仅使用公开资料，且没有任何机构背书 | mission_thread (scenario, handover, conversions, budget, phase) | mission_thread::scenario::tests::a_thread_runs_hands_over_converts_and_names_the_weakest_link; mission_thread::scenario::tests::bad_documents_fail_with_the_reason; mission_thread::handover::tests::inflate_never_shrinks_a_sigma_and_matches_the_hand_calculation; mission_thread::handover::tests::reacquire_sets_an_axis_to_the_floor_only_where_the_floor_is_smaller; mission_thread::conversions::tests::mci_mcmf_round_trip_returns_the_state_and_the_covariance; mission_thread::conversions::tests::tt_to_ltc_shifts_bias_and_drift_by_the_secular_rate_and_back; mission_thread::conversions::tests::the_committed_kernel_cuts_agree_with_pinned_horizons_values; tests/field_units_global.rs (the report's units block) |
发射与上升至停泊轨道，含GNSS捕获与衰落（launch-ascent） |
launch-ascent阶段：带白加速度噪声的匀速位置与速度协方差（航位推算等级）、在捕获时间之后且在所述衰落之外施加的、具有所述精度的GNSS定位解、由同一批定位解校准的偏差加漂移时钟，以及停泊轨道入轨状态 |
InternalConsistency | 对照自身的闭式或解析恒等式进行检查，能发现转录错误和系数错误，但不是外部参考基准（oracle）——测试中的Riccati稳态和预测的手算。这里没有对运载火箭或接收机建模；每个数值都是给定的输入 | mission_thread::earth::launch (LaunchAscent) | mission_thread::earth::launch::tests::with_gnss_the_sigma_settles_near_the_fix_and_an_outage_lets_it_grow; mission_thread::earth::launch::tests::before_acquisition_the_sigma_only_grows_and_a_longer_acquisition_is_worse; mission_thread::earth::launch::tests::a_phase_that_does_not_list_gnss_never_uses_it; mission_thread::earth::launch::tests::bad_models_and_entries_are_refused; mission_thread::earth::filter::tests::repeated_updates_reach_the_riccati_steady_state |
在各传感器弧段上，近地轨道内到对接包络的相对导航（leo-rendezvous） |
leo-rendezvous阶段：目标LVLH轴系中的相对状态，采用闭式Clohessy-Wiltshire转移矩阵、带白加速度噪声的6x6卡尔曼协方差，以及方差为传感器在当前距离处方差的位置更新，覆盖所述传感器的各弧段（ILLUSTRATIVE 的光学相机、激光雷达和无线电测距形式）；对接窗口是从相对sigma保持在捕获包络之内的时刻到该阶段结束的时间。追踪器的绝对协方差原样交接，并有一行说明这一点 |
InternalConsistency | 对照自身的闭式或解析恒等式进行检查，能发现转录错误和系数错误，但不是外部参考基准（oracle）——测试中对预测与更新的单轴手算；Clohessy-Wiltshire转移即cw_dynamics对照独立数值积分所检验的那一个。传感器为ILLUSTRATIVE，没有与任何真实交会作比较 | mission_thread::earth::rendezvous (LeoRendezvous); cw_dynamics; mission_thread::sensors | mission_thread::earth::rendezvous::tests::the_relative_sigma_falls_through_the_legs_and_opens_a_docking_window; mission_thread::earth::rendezvous::tests::without_relative_sensing_the_sigma_only_grows_and_no_window_opens; mission_thread::earth::rendezvous::tests::the_covariance_recursion_matches_a_one_axis_hand_calculation; mission_thread::earth::rendezvous::tests::bad_models_and_a_duration_mismatch_are_refused; mission_thread::sensors::tests::the_cross_range_error_grows_with_range_and_the_floor_dominates_up_close |
地月转移注入与地月巡航：含跟踪更新的平均状态与协方差传播（tli-and-cruise） |
tli-and-cruise阶段：平均状态由引擎的Cowell传播器给出（地球点质量和J2、作为第三体的太阳和月球；月球取自任务链的DE440星历文件（在其覆盖该航段时），太阳取自解析级数）；协方差由该传播的前向差分状态转移矩阵给出（每个航段一次名义运行加六次扰动运行），并带白加速度噪声；TLI点火的大小与指向误差；gnss-ssv定位解，其可用性和PDOP来自沿一条充当该弧段的密切轨道所做的空间服务体积扫描；沿地心方向的距离与距离变化率跟踪，按地面网络占空比缩放，并采用Joseph形式更新 |
InternalConsistency | 对照自身的闭式或解析恒等式进行检查，能发现转录错误和系数错误，但不是外部参考基准（oracle）——测试中的Liouville定理（保守部分的状态转移矩阵行列式为一）和更细的差分；平均状态与下一行中的公开轨迹作了比较，二者不符。点火误差、更新和协方差没有与任何东西作比较 | mission_thread::earth::tli_cruise (TliCruise); propagator; ssv::sweep | mission_thread::earth::tli_cruise::tests::the_stm_is_symplectic_for_the_conservative_part_and_matches_a_finer_difference; mission_thread::earth::tli_cruise::tests::with_no_tracking_the_covariance_is_the_stm_propagation_of_the_entry_and_the_burn; mission_thread::earth::tli_cruise::tests::range_tracking_shrinks_the_line_of_sight_and_leaves_the_plane_of_the_sky; mission_thread::earth::tli_cruise::tests::the_thread_kernel_serves_the_moon_inside_its_window_and_the_series_outside; mission_thread::earth::tli_cruise::tests::gnss_ssv_fixes_are_applied_where_the_sweep_finds_four_signals; mission_thread::earth::tli_cruise::tests::a_phase_that_lists_a_source_the_model_lacks_is_refused_and_unknown_keys_too |
再入界面协方差、走廊概率、峰值减速度和着陆足迹（entry） |
entry阶段：tli-and-cruise的返回滑行段，不点火，终止于再入界面；飞行路径角及其sigma由完整协方差经有限差分梯度得出；该角处于所述走廊之内的概率；在名义角和走廊两个边缘处的峰值减速度，取自引擎的平面弹道质点再入（检测跳出），并与Allen-Eggers闭式解并列；着陆足迹由所述的下程灵敏度和穿越轨道面的界面协方差得出。未对升力、制导或热流建模 |
InternalConsistency | 对照自身的闭式或解析恒等式进行检查，能发现转录错误和系数错误，但不是外部参考基准（oracle）——测试中的手算（角度sigma是垂直速度sigma除以速度；走廊内的高斯质量）。平面再入是引擎自带的，Allen-Eggers形式是闭式对照；没有与任何已飞行的再入作比较 | mission_thread::earth::entry (Entry); reentry | mission_thread::earth::entry::tests::the_flight_path_angle_and_its_sigma_follow_the_velocity_error_over_the_speed; mission_thread::earth::entry::tests::the_corridor_probability_is_the_gaussian_mass_inside; mission_thread::earth::entry::tests::the_phase_reports_the_interface_the_corridor_the_peaks_and_the_footprint; mission_thread::earth::entry::tests::the_steep_edge_peaks_higher_and_a_limit_below_it_is_flagged; mission_thread::earth::entry::tests::bad_corridors_unknown_keys_and_burn_keys_are_refused |
某任务阶段的地面网络覆盖与跟踪占空比（mission-thread的[ground_network]） |
地面网络叠加层：设有最低仰角的测站、飞行器在所述几何下的可见性（再入状态按带J2的二体问题飞行，巡航段取月球位置，或取所述占空比）、每次损失所述时间的测站切换，以及传给该阶段地面跟踪更新率的最终占空比；任何测站都不可见的最长间隔是一条预算行 | InternalConsistency | 对照自身的闭式或解析恒等式进行检查，能发现转录错误和系数错误，但不是外部参考基准（oracle）——测试中的天顶与对跖点几何检查，以及远处目标的预期可见性。没有对任何真实的网络、天线或调度建模 | mission_thread::earth::ground_network | mission_thread::earth::ground_network::tests::a_vehicle_over_a_station_is_seen_and_one_on_the_other_side_of_the_earth_is_not; mission_thread::earth::ground_network::tests::the_moon_is_in_view_of_three_well_spread_stations_most_of_the_time; mission_thread::earth::ground_network::tests::handover_losses_reduce_the_duty_and_never_below_zero; mission_thread::earth::ground_network::tests::a_stated_duty_is_passed_through_and_bad_documents_are_refused; mission_thread::scenario::tests::the_overlay_sets_the_tracking_duty_of_a_phase_that_lists_ground_tracking |
月球轨道上对接的相对导航（lunar-orbit-rendezvous） |
lunar-orbit-rendezvous类型与阶段：在弧段上对两个飞行器做联合批处理Gauss-Newton估计（二十一个参数：两者的状态，以及持续存在的信号在空间中的位置偏差，含共同部分和独立部分），按四分之一、二分之一和整段弧段逐步扩展并采用步长减半，输入为每个飞行器的一个绝对定位解（AFS导频码跟踪界，ILLUSTRATIVE 的中继集）和一个交联测距，采用该库的月球力模型；平均归一化估计误差平方、圆轨道上的Clohessy-Wiltshire检验，以及向后交接的6x6协方差 |
InternalConsistency | 对照自身的闭式或解析恒等式进行检查，能发现转录错误和系数错误，但不是外部参考基准（oracle）——预先登记下的自洽性（xval/mission-thread-lunar/PREREGISTRATION.md，结果和估计器的演变历史见RESULTS.md）：相对状态的平均NEES为5.85至5.93，判据区间为5.2至6.8，在四种配置下均如此，在第四种估计器设计上MET，此前三种序贯滤波器设计均未达标；真值和估计器共用同一个力模型，因此这说明不了任何模型误差。它所共用的传播器在下面一行中与LRO和CAPSTONE作了比较 | lunar_rendezvous (LunarRendezvousScenario); lunar_phase; mission_thread::lunar | lunar_rendezvous::tests::b1_mean_nees_is_inside_the_registered_band_in_all_four_configurations; lunar_rendezvous::tests::circular_cw_check_is_within_the_pre_registered_bar; lunar_rendezvous::tests::same_seed_gives_identical_documents; lunar_rendezvous::tests::b6_handover_without_a_measurement_only_propagates; mission_thread::lunar::tests::every_phase_runs_and_returns_a_modelled_outcome; tests/mission_thread_lunar_oracles.rs |
月球极区着陆点的着陆散布预算（lunar-descent） |
lunar-descent 类型与阶段：针对动力下降的五状态逐轴惯性误差模型（位置、速度、加速度计偏差、倾斜、陀螺偏差），由 AFS 定位（独立或差分，含时钟辅助的三中继情形）、地形相对定位（引擎在合成地形上的地形导航匹配器，或在 LOLA DEM 上带孔径问题规则的 Cramer-Rao 界）以及月球时间辅助，并给出蒙特卡洛触地椭圆 |
InternalConsistency | 对照自身的闭式或解析恒等式进行检查，能发现转录错误和系数错误，但不是外部参考基准（oracle）——测试中的闭式惯性漂移、被复用类型自身的结果，以及3σ 椭圆的标定（椭圆内比例与其期望相符）。没有与任何已飞行或已试验的着陆作比较 | lunar_landing (LunarLandingScenario); lunar_phase; terrain_nav | lunar_landing::tests::b4_with_no_aid_the_landing_error_is_the_closed_form_inertial_drift; lunar_landing::tests::b4_each_aid_reports_exactly_what_the_reused_kind_gives; lunar_landing::tests::b3_ellipse_calibration; lunar_landing::tests::a_plane_gives_no_fix_the_aperture_problem; lunar_landing::tests::a_bowl_matches_the_closed_form_bound; lunar_landing::tests::three_relays_make_the_fix_depend_on_the_clock |
月球极区按站点和季节划分的地表定位与授时可用性（lunar-surface） |
lunar-surface 类型与阶段：每个站点和季节的中继可用性与 PDOP、地球与太阳可见性以及受驯服的地表时钟，并带有 moonlight-service-volume 的地形天际线；单站点运行与该类型的可用性和 PDOP 逐位一致 |
ReferenceImpl | 对照本代码库内一个独立的实现进行检查，独立于被测单元，但不具外部权威性——在测试中，单站点时与现有类型完全相等，并通过单调性检查。中继星集合为ILLUSTRATIVE，没有与任何地表测量作比较 | lunar_surface_map (LunarSurfaceMapScenario); lunar_phase | lunar_surface_map::tests::b5_equals_the_service_volume_for_a_single_site; lunar_surface_map::tests::b5_equals_the_service_volume_with_the_real_terrain; lunar_surface_map::tests::terrain_never_adds_availability; lunar_surface_map::tests::timing_is_at_least_either_source_and_the_season_moves_the_earth_and_sun; lunar_surface_map::tests::same_inputs_give_identical_documents |
从月球极区站点到入轨轨道的动力上升（lunar-ascent） |
lunar-ascent 类型与阶段：沿航迹带有比力的动力上升过程中运行的五状态逐轴惯性误差模型，由 AFS 定位和月球时间辅助，报告传递至轨道的入轨位置与速度协方差以及发动机关机散布（仅报告，不传递） |
InternalConsistency | 对照自身的闭式或解析恒等式进行检查，能发现转录错误和系数错误，但不是外部参考基准（oracle）——测试中的闭式惯性漂移和单调性检查。没有与任何已飞行的上升作比较 | lunar_ascent (LunarAscentScenario); lunar_phase | lunar_ascent::tests::with_no_aid_the_insertion_error_is_the_closed_form_inertial_drift; lunar_ascent::tests::the_aid_never_hurts_and_the_velocity_is_carried_with_its_correlation; lunar_ascent::tests::a_stale_tt_clock_costs_a_three_relay_fix; lunar_ascent::tests::the_same_inputs_give_identical_documents |
| 月球力模型传播对照公开的重建月球轨道器和地月轨迹 | 各月球类型共用的传播器（GRAIL GL0660B，阶次150，地球和太阳作为第三体，相对论，DE440月球定向），与LRO（24 h，10分钟采样）和CAPSTONE（一个6.5天的周期，一小时采样）的JPL Horizons公开轨迹比较，判据在运行前已固定于一个已提交的文件中 | ExternalDataset | 某一子声明经外部核对，但整项能力由模型计算得出的部分组合而成，因此该能力仍为已建模——JPL Horizons对LRO和CAPSTONE的航天器星历，对照xval/mission-thread-lunar/PREREGISTRATION.md中预先登记的判据（修订1至6）。LRO：MET，最大3-D差异33 m，径向RMS 2.4 m，判据分别为500 m和60 m。CAPSTONE：NOT MET，末端位置差异136.8 km，判据为25 km，近心点差异28.4 km，判据为10 km，原因未能分离。该行为已建模，是因为CAPSTONE的判据未达到，且该比较检验的是共用的传播器，而不是任何滤波器、信号或预算 | lunar_od (LunarForceModel); precise_od; mission_thread_lunar_oracles (example) | tests/mission_thread_lunar_oracles.rs::the_stored_numbers_meet_or_miss_the_registered_bars_as_recorded; tests/mission_thread_lunar_oracles.rs::the_fixtures_match_their_recorded_hashes |
地月平均状态传播对照公开的阿尔忒弥斯 I 轨迹（tli-and-cruise） |
tli-and-cruise阶段的平均状态传播（Cowell，地球点质量和J2，作为第三体的太阳和月球，月球取自DE440裁切文件），与阿尔忒弥斯 I 在72 h滑行弧段上的JPL Horizons公开轨迹比较，起点为2022-11-16 18:00 TDB，每隔12小时取一个历元，判据在运行前已固定于一个已提交的文件中 |
ExternalDataset | 某一子声明经外部核对，但整项能力由模型计算得出的部分组合而成，因此该能力仍为已建模——JPL Horizons目标 -1023（NASA导航的实飞TLI后轨迹），对照xval/mission-thread/PREREGISTRATION.md中预先登记的判据（修订1仅更改请求的时间跨度）。NOT MET，并按未达标断言：最大位置差异45.3 km，判据为5 km；72 h处速度差异0.249 m/s，判据为0.05 m/s。在给出判定之后写成的诊断，把未达标归因于参考轨迹中五次脉冲式速度阶跃，大小为0.09至0.22 m/s（预先登记的该时间窗内无点火的判断是错误的）；在其余67小时内，模型复现下一小时状态的中位数误差为0.38 m。仅检验一条滑行弧段的平均状态：不涉及协方差、滤波器、更新或其他阶段 | mission_thread::earth::tli_cruise; propagator; mission_thread_oracle (example) | tests/mission_thread_oracle.rs::the_stored_numbers_miss_the_registered_bars_as_recorded; tests/mission_thread_oracle.rs::the_diagnostic_places_the_miss_in_five_impulsive_events_not_in_the_force_model; tests/mission_thread_oracle.rs::the_kernel_cut_and_the_recorded_inputs_match_their_hashes |
| 冷原子干涉仪误差项：拉曼激光相位噪声、波前曲率偏差和条纹模糊度解算 | inertial::cai_error_terms（库函数，尚不能从场景类型调用）：方脉冲三脉冲干涉仪的拉曼相位权重函数（Cheinet等，2008，式8）及白相位闭式解 (pi/2)^2 S_phi0/tau_R，并提供适用于任意谱的数值方法；回射延迟无法抵消的激光频率噪声（Le Gouet等，2007，式9至11）；热原子云的纯离焦波前偏差sigma_v^2/R及其随探测半径的减小；经典加速度计辅助下以及两个询问时间下的错误条纹级次概率erfc(pi/(sqrt(2) s))，及其反函数 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——测试中，每个闭式都对照一条独立的数值路径（精确传递函数和延迟滤波器的频域求积、针对波前偏差对原子取的蒙特卡罗、针对条纹指数对发次取的蒙特卡罗）及其极限情形。有一个已发表的实例数值：Cheinet等人2008（arXiv:physics/0510197，第IV节）指出，在tau_R = 20 us时，每发1 mrad需要低于-111 dB rad^2/Hz的白Raman相位噪声；仅白噪声项给出0.99 mrad（该文用其式17推出该电平，含闪烁加白噪声）。这是内部一致性加一个实例数值，不是外部验证；高阶像差和任何具体激光器的噪声均未建模 | inertial::cai_error_terms | inertial::cai_error_terms::tests (raman_transfer_short_pulse_limit_matches_the_acceleration_transfer_function; white_raman_phase_closed_form_matches_quadrature; short_pulse_band_limited_closed_form_matches_quadrature; cheinet_2008_white_phase_noise_requirement_is_reproduced; delay_term_closed_form_matches_exact_filter_quadrature; defocus_phase_is_position_independent_and_tilt_cancels; curvature_bias_monte_carlo_matches_closed_form; curvature_bias_limiting_cases; classical_aided_resolution_monte_carlo_matches_closed_form; multi_t_resolution_monte_carlo_matches_closed_form; ambiguity_limits_and_inverse) |
| 基于公开数据手册的振荡器守时（holdover）预设 | 四个预设：OCXO（Microchip OX-208）、铷钟（Microchip 8040C）、铯钟（Microchip 5071A高性能管）和CSAC（Microchip SA.45s），各自带有其数据手册的阿伦偏差上限、老化和温度界限；对白噪声、闪烁噪声与随机游走频率噪声做非负最小二乘拟合，并缩放以包络每个数据手册点，闪烁下限不低于最长 τ 的数值，另有线性老化和正弦温度项，合成为GNSS丢失之后带随机种子的守时（holdover） | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——输入数字取自四份具名的Microchip数据手册（文档编号和URL见每个预设和docs/TELECOM-TIMING.md）；作为内部检查的有闭式老化斜坡和拟合的包络性质。这些数字如何变成噪声模型——拟合、下限规则、30天的月、线性的温度读法——是建模上的选择；没有任何预设是对某台设备的测量。0.30第2轮，针对实测设备的单侧判据（预先登记a01c491c），一项发现（仍为MODELLED）：ESA MGEX最终钟差中的IGS站THU2 Symmetricom 8040C，其阿伦偏差为铷预设的0.35至0.87，而守时误差为其1.07至1.60；5071A记录在直到1000 s处位于铯预设之外（测量白相位噪声，在1 s处为30倍），在守时中也是如此（1.15至8.74）；最差的2011年产SA.45s在1 s处为CSAC预设的1.26倍；OX-208没有实测记录（受阻） | telecom_timing (PRESETS, fit_noise, with_flicker_floor, synthesize_holdover); models (ClockModel) | telecom_timing::tests（every_preset_carries_a_named_datasheet_and_figures；the_noise_fit_envelopes_every_datasheet_point；pure_aging_matches_its_closed_form——离散老化斜坡在一天内与(1/2)·D·t² 相差在0.1 %以内；same_seed_same_series_and_hash_different_seed_different_series）；tests/oscillator_presets_measured.rs（caesium_finding_pinned；rubidium_finding_pinned；csac_finding_pinned；ocxo_preset_has_no_measured_record） |
| 自由运行的时钟离开某个按时间编排的时隙保护间隔所需的秒数，以及使其保持在间隔之内的定位更新节奏 | slot-timing类型：预测误差E(t) = k·√(σ₀² + σ_x²(t)) + (|y₀| + |c_T·ΔT|)·t + ½|D|t²，反解得出越限、剩余时间、扣除定位更新延迟后的重新同步间隔以及每天的定位更新次数，每一项逐一列出并指明起主导作用的一项；时钟来自六个ClockClass默认值（新增TCXO、OCXO和RAFS，各引用一份数据手册）、电信授时预设、内联数据手册或实测记录；越限超出来源最长平均时间的，标记为外推 |
InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——各项单独的闭式，以及独立的holdover::holdover_seconds求根；数据手册数字取自具名文档（docs/SLOT-TIMING.md）。等级默认值依赖于假定的红噪声下限，数据手册来源是最大值的包络，因此两者都不是对任何设备的测量 | slot_timing (predicted_error_s, breach_after_sync_s, terms_at, slot_budget, ClockNoise::from_datasheet, SlotTimingScenario); clock_state (ClockClass::Tcxo, Ocxo, Rafs, source) | tests/slot_timing_igs_holdout.rs（10颗GPS Block IIF卫星钟，14天的IGS最终钟差：8颗在1.5判据以内，G25和G30乐观至多约2倍，已固定）；tests/slot_timing_ocxo_holdout.rs（一台实测OCXO：留出的预测从不乐观，为实测越限的0.59至0.70；样本内为0.98至1.17；没有定位频率项时，样本内预测在每个阈值下都是乐观的）；slot_timing::tests（fix_frequency_uncertainty_alone_is_linear_in_time；reduces_to_the_holdover_inversion——每个等级对照holdover::holdover_seconds，精度1e-9；white_fm_with_fix_error_has_its_closed_form；flicker_floor_alone_is_linear_in_time；ageing_alone_is_quadratic_in_time；frequency_offsets_add_in_magnitude；the_error_at_the_breach_is_the_guard；datasheet_fit_envelopes_every_point；datasheet_classes_match_their_presets_at_one_second；a_breach_beyond_the_datasheet_is_flagged_as_extrapolated；the_report_carries_the_result_and_a_unit_for_each_field） |
| 轨道上接收机在GNSS欺骗干扰（spoofing）下的授时保护级 | orbital_timing::orbital_timing，可作为slot-timing类型的欺骗干扰（spoofing）部分调用：圆轨道速度和周期，地面欺骗源每次过境能触及卫星的最长时间，钟辅助的监测下限和CUSUM检测延迟，条件保护级（下限加检测延迟内的滑行），在规定的最大斜坡速率下欺骗源在卫星离开其覆盖区或独立检查运行之前累积的牵引量，以及每次地面接触或星间链路检查是否独立于一个地面欺骗源 |
InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——归约为现有的授时保护级，以及圆轨道和球形地球的可见性闭式。以检测到为条件，一个地面欺骗源以所述的斜坡速率，在非自转地球上进行头顶过境；未在轨道上的受欺骗接收机上验证 | orbital_timing (orbital_timing, visibility_half_angle_rad, max_pass_s, crosslink_neighbour_is_outside_footprint) | orbital_timing::tests（reduces_to_the_terrestrial_tpl——当时钟没有闪烁、白相位或随机游走项时，恰好等于tpl::timing_protection_level_ns；leo_geometry_matches_its_closed_forms；crosslink_independence_follows_the_footprint；an_independent_check_caps_the_ramp_before_the_pass_ends；a_crosslink_inside_the_footprint_does_not_count；a_ramp_below_the_reference_is_never_detected） |
| 在脚本化干扰源时间线下，带有各频段J/S和有效C/N0的L波段频谱瀑布图 | spectrum类型：L波段功率谱密度的频率-时间网格（热噪声下限k T_sys，其中T_sys = T_ant + 290 K (F - 1)，各信号取接口规范的最小接收功率，以及带开关时间的连续波、窄带、线性调频和匹配噪声干扰源），每个单元在其频率格和行上取平均（线性调频对完整和部分扫频精确取平均，干扰源按占空比取平均），每行的各频段有效C/N0 = [1/(C/N0) + sum (J/S) kappa]^-1，各频段J/S、带内J/S，以及带C/N0条的SVG瀑布图。报告含有与jamming类型在相同链路输入下的链路的交叉检查 |
InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——归约为现有jamming类型的抗干扰方程和链路预算（同一份代码，在相同输入上调用），以及k T0 F噪声底的闭式。其下的信号频谱是上面已与外部参考核对的那一行；干扰源功率、时间线和前端带宽是场景输入，频谱是连续的（没有扩频码谱线），并且没有自动增益控制、消隐或天线方向图作用于干扰源。仓库中没有实测的受干扰频谱可用来核对这一复合结果。jamming类型的Q表（CW和窄带为1，宽带和扫频自0.36起为2：教科书取值，固定到navsignal闭式）与本模型的CW值一致，而与它为匹配C/A的噪声（1.5）和无带内归一化的平坦零点到零点噪声（2.2）所推出的值不同；报告会打印两者 |
spectrum (SpectrumScenario, SpectrumModel::bin_psd_w_per_hz, SpectrumModel::band_state, effective_cn0_multi_dbhz, system_temp_k, Jammer::power_fraction_in, Jammer::duty) | spectrum::tests（agrees_with_the_jamming_kind_chain——J/S等于jamming::j_over_s_db，有效C/N0等于jamming::effective_cn0_dbhz，其中Q = 1/(R_c kappa)，精度1e-9 dB，以及jamming类型自身测试的32.105 dB锚点；noise_floor_is_kt0f；chirp_window_splits_whole_and_partial_sweeps；duty_weights_partial_rows；demo_scenario_runs_and_denies_l1_while_l5_survives；defaults_run_with_no_jammer；bad_inputs_are_refused） |
| 取自Standish表1的天王星和海王星、冥王星，以及行星速度 | 天王星和海王星的位置取自Standish表1（在公元1800年至2050年内为默认），冥王星取自当前JPL页面不再列出的1992年表1行，以及每颗行星的日心速度：二体导数采用根数所蕴含的平均运动，再加上近日点、倾角和升交点变化率引起的椭圆转动 | ExternalDataset | 某个子论断已得到外部核对，但整个能力由多个由模型计算得出的部分组合而成，因此该能力仍为由模型计算得出——已对照JPL Horizons DE441（同样的已提交夹具）测得，但并未独立核对：表1所述的天王星和海王星的数字，相对DE441日心位置被超出多达2.0和5.2倍（海王星对质心位置则达标，这表明该拟合并非日心的），该页没有给出冥王星的误差，速度也没有已发表的界。表2a/2b达到其对天王星和海王星自身给出的数字，并已涵盖在已与外部参考核对的那一行中 | ephem (standish_state, StandishElements::state_at_mean_anomaly, Planet::Pluto); solar_system (position_label) | tests/solar_system_horizons_reference.rs（standish_table1_uranus_and_neptune_exceed_the_nominal_error：固定在标称经度误差的2.04和5.16倍，小于六倍；pluto_from_the_1992_row_is_measured_not_validated：在39角秒和1.14e9 m以内；standish_velocities_track_horizons_to_one_percent：最差为速度的3.7e-3）；ephem::tests（standish_velocity_is_the_derivative_of_the_position；pluto_has_no_table2_row_and_no_stated_error） |
| 月球和七颗主要卫星（火卫一、火卫二、伽利略卫星、土卫六）的位置 | 地心月球取自Montenbruck & Gill级数（其每世纪 -1.3972度的项已使其归算到J2000春分点），火卫一、火卫二、木卫一、木卫二、木卫三和木卫四的行星中心位置与速度取自JPL太阳系动力学平均根数，在各卫星的拉普拉斯平面中，平经度变化率取自IAU同步自转速率（该表给出的周期位数太少，无法保持相位），土卫六取自IAU自转模型（卫星位于沿体固x轴负方向、平均距离处），因为土卫六所印的拉普拉斯平面一行即使在其自身历元也不能复现Horizons | ExternalDataset | 某个子论断已得到外部核对，但整个能力由多个由模型计算得出的部分组合而成，因此该能力仍为由模型计算得出——已对照JPL Horizons卫星星历（DE441、MAR099、JUP365、SAT441）测得，这些星历连同查询和检索日期一起提交在tests/fixtures/solar_system/horizons_satellites_icrf.csv中；平均根数或自转模型布设都没有已发表的精度，因此固定的判据只能捕捉回归，而不能起到验证作用。平均根数省略了共振摄动和太阳摄动，火卫一的长期加速度也未建模 | ephem (satellite_state, Satellite, SatelliteMethod, moon_icrf, moon_icrf_velocity); ephem_provider (AnalyticSolarSystem) | tests/solar_system_horizons_reference.rs（moons_track_horizons_to_the_measured_angles：2000至2040年间从行星看去所见的最差角误差，火卫一5.65 deg，火卫二0.38，木卫一0.40，木卫二1.63，木卫三0.22，木卫四0.27，土卫六3.31；geocentric_moon_tracks_horizons：0.046 deg）；ephem::tests（moons_sit_at_their_mean_distance_and_move_at_their_mean_speed）；ephem_provider::tests（earth_and_moon_balance_about_their_barycentre） |
| 每个太阳系天体的物理常数，以及整个系统的报告 | Body新增水星、金星、木星、土星、天王星、海王星、冥王星、火卫一、火卫二、木卫一、木卫二、木卫三、木卫四和土卫六（引力参数、参考半径、已发表时的J2及其所参照的半径、IAU极点和本初子午线）、一个名称查找，以及一条BodyFacts记录（NAIF编码、类别、母天体、赤道半径和平均半径）；solar-system类型对全部十八个天体报告这些，连同位置、光行时和一圈的轨道轨迹，每个天体标注为VALIDATED或MODELLED |
InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——对已发表常数的转录，每个常数都在其被定义之处注明出处：引力参数取自JPL Horizons天体记录和JPL卫星物理参数表，半径取自JPL物理参数表（IAU WGCCRE 2015），极点和本初子午线取自IAU制图坐标与自转要素工作组（平均值，不含T速率项和周期项），J2取自Smith等人2012、Iess等人2018和2019，以及Jacobson 2009和2014。检查的是内部一致性（木星自转周期对照System III速率，每个J2对照其参考半径），而不是对照外部基准（oracle）。0.30第2轮：GM值取自gm_de440，火卫一和火卫二的根数取自pck00011，因此新增的十四个天体的84个常数中，现有0个与NAIF不同（原为12个），这是一项转录检查，不计入计数。0.36：新增十四个天体的IAU天体固连定向和GM已拆出，归入各自的VALIDATED行（“新增十四个太阳系天体的IAU天体定向和引力参数”）；本行保留其余部分。J2和平均半径是被引用的，而不是已与外部参考核对的；报告中的位置取决于它们自己的行；而报告中地球、月球和火星的prime_meridian_deg仍采用惯例常数（与IAU_<BODY>相差至多6.6e-3、2.8e-2和9.6e-4 rad）。0.30修订：火卫一GM 7.087e5 -> 7.087546066894452e5，火卫二9.62e4 -> 9.615569648120313e4，天王星5.7939506103e15 -> 5.793951256527211e15，海王星6.83509997e15 -> 6.835103145462294e15，冥王星8.69326e11 -> 8.696138177608748e11 m³/s²；火卫一赤道半径13.1 -> 13.0 km；prime_meridian_deg现已包含二次项和周期项 | body (Body::by_name, Body::facts, Body::prime_meridian, SOLAR_SYSTEM, BodyFacts); solar_system (SolarSystemScenario, position_label) | body::tests（every_catalogue_body_resolves_by_name_and_carries_its_record；a_zonal_field_is_referenced_to_its_sources_radius；retrograde_rotators_have_negative_rates_and_periods_match_the_iau_rate）；solar_system::tests（defaults_report_all_eighteen_bodies_with_tracks；earth_heliocentric_distance_is_one_au_and_period_one_year；a_planet_track_closes_on_its_orbit_and_starts_at_the_epoch_position；moons_orbit_their_planets_at_their_mean_distance；pluto_outside_its_table_is_an_error_not_a_guess；every_emitted_number_has_a_unit）；tests/body_constants_naif_oracle.rs::only_the_conventional_constants_of_other_rows_differ |
| 以本地星座和来自地球的深空链路，对任一太阳系天体周围进行定位 | body-pnt类型：按名称选定的天体周围的轨道器或表面着陆器，利用来自该天体周围沃克导航星座的单程伪距（二体轨道，含该天体J2的长期漂移，用户钟差未知）以及可选的来自地球的无钟差双程测距进行导航，地球的方向和距离在每个历元取自解析星历；被该天体球体遮挡的视线和一个表面高度截止角；每个历元的仅星座GDOP和PDOP（orbit::dop），含地球行与不含地球行的形式位置不确定度，以及两种情形各自带随机种子的高斯-牛顿定位解（batch_ls::gauss_newton），连同天体到地球的光行时和往返时间 |
InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——闭式与自洽性：中继周期的开普勒第三定律，运行中保持不变的轨道半径和地表半径，增加一次测量永不增大形式不确定度，以及带随机种子的误差与协方差相符。中继轨道忽略第三体（木星对绕木卫二的中继的引力未建模），噪声是所述电平的高斯噪声，测量模型是瞬时的，因此这并未对照任何任务的导航数据验证 | body_pnt (BodyPntScenario, formal_sigma, fix_error); orbit (dop); batch_ls (gauss_newton); mars_pnt (chord_clears_sphere); mars_frame (bodyfixed_to_inertial) | body_pnt::tests（relay_period_is_keplers_third_law_for_the_body；an_orbiter_keeps_its_radius_and_a_lander_sits_on_the_surface；the_earth_range_never_worsens_the_formal_uncertainty；seeded_fix_errors_are_consistent_with_the_formal_sigma：每个定位误差相对其自身形式sigma的均方根位于[0.6, 1.5]内；earth_light_time_is_minutes_at_mars_and_the_run_is_deterministic；defaults_run_around_mars_and_every_number_has_a_unit） |
| 围绕任一中心天体、面向大规模任意多星座设计的覆盖和精度因子地图 | constellation-design类型在两个固定算例之外：显式设计和多壳层设计，每次运行含多个星座且每个星座一个接收机钟，由天体常数给出的地球、月球和火星，北斗预设（已建模中圆轨道相位和118度E的倾斜地球同步轨道穿越），每个单元的可见卫星数、GDOP、PDOP、HDOP、VDOP和可用性，降采样的星下点轨迹，以及一个星下点纬度可见性预筛选，可在不到一秒内对10度网格运行5 000颗卫星的设计 |
InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——内部一致性：暴力仰角扫描、手工计算和orbit::dop的归约，以及闭式的Walker和地球同步几何。带可选长期J2的二体轨道，局部垂线沿半径方向的球形天体，仅有几何可见性（没有信号功率、卫星健康状态、地形或第三体摄动），且各系统之间的相对相位取自不同的参考历元，因此它不是任何日期的快照。0.30审查，一项发现（仍为MODELLED）：这些预设在100 %处达到已发表的单侧DOP可用性下限（北斗OS性能标准3.0，Galileo OS SDD），但在草稿副本中把引擎的PDOP加倍后，它们仍然达标（最差点99.36 %），因此这些下限连本行所计算量上100 %的误差都检测不出；在运行之后收紧它们将是事后设定容差。要提升等级，需要在相同几何上对DOP值做双侧比较，并预先设定容差。0.30第2轮（tests/coverage_dop_full_oracle.rs，预先登记add671d6），一项发现（仍为MODELLED）：Orekit 12.2的位置、仰角、方位角和地面轨迹，配合gnss_lib_py 1.0.4的GDOP/PDOP/HDOP/VDOP（共同时钟）和numpy逆（每个星座一个时钟），在Galileo、GPS、北斗、Galileo+GPS（各一个时钟）和一个1584颗卫星的地球设计上，每项判据均一致（DOP相对误差在2e-14以内，定位结果、可用性和可见数计数相同）。在月球和火星设计上，根数、位置、可见性和轨迹一致，但在最大PDOP为1434或更高的单元中，DOP超过预先设定的1e-9相对判据（至多8e-6），并且4个单元在数值奇异的几何上差一个定位历元（引擎主元1e-10对numpy秩），因此该行未经验证。0.30修订：TDOP/GDOP参考时钟现为可见的编号最小的星座（constellation-multi-gnss-coverage的全球GDOP最大值2.2236 -> 2.1205，平均值1.122 -> 1.131），各星座的可见数按整数求和 | constellation (coverage, ConstellationDesignScenario, beidou_slots, body_by_name) | constellation::tests（prefilter_matches_brute_force_exactly——每张图和每个计数器都等于用直接仰角测试得到的扫描；five_thousand_satellites_on_a_coarse_grid——5,000颗卫星，打印运行时间和保留的配对测试数；a_clock_per_constellation_needs_one_more_satellite；beidou_geo_and_igso_geometry；lunar_shell_runs_around_the_moon；presets_are_earth_only_and_errors_are_clear；preset_counts）；tests/constellation_availability_published_spec_oracle.rs::presets_meet_the_published_dop_availability（仅作回归检查）；tests/coverage_dop_full_oracle.rs::finding_is_pinned；tests/coverage_dop_gnss_lib_py_oracle.rs（回归） |
| 在同一条共享时间线上跨场景类型串联的任务 | campaign类型的各阶段：每个阶段通过run_toml运行一个或多个现有类型的场景，按各类型预设或显式结果路径把其输出读入具名通道（时钟钟差与保护间隔、平均有效载噪密度比与跟踪下限、垂直保护级与告警限值、位置误差、跟踪的卫星数、告警标志），在阶段起点放置并保持到共同网格上，带有阶段边界和事件；状态通过carry（通道从上一阶段的终值继续）、handoff（上一阶段的某个数写入下一个场景）和end_at（阶段在某次运行算出的时刻结束，例如欺骗干扰监测的检测时间）传递；以及一个测评活动哈希，外加对每个成员结果的摘要 |
InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——对照同类型独立运行的组合恒等式：单阶段campaign逐位复现独立运行的输出，携带的偏移等于上一次运行自身的最后一个采样，而由end_at结束的阶段，其长度恰好就是该次运行的检测时间。跨阶段边界的加性携带和零阶保持是建模上的选择，每个阶段的质量取决于运行它的那个类型；没有任何串联的任务与实测任务作过核对 | campaign (run_campaign_detailed, run_chain, presets, extract, to_svg) | tests/campaign_composition_reference.rs (a_one_phase_clock_campaign_reproduces_the_standalone_run_bit_for_bit, a_one_phase_integrity_campaign_reproduces_the_standalone_run_bit_for_bit, a_one_phase_jamming_campaign_reproduces_the_standalone_run_bit_for_bit——成员结果与独立运行逐字节一致，每个对齐值都等于独立运行的序列；the_chained_mission_hands_state_on_and_ends_the_spoofing_phase_on_detection; a_handoff_writes_the_previous_phase_number_into_the_next_scenario; malformed_campaigns_fail_loudly) |
| 针对任一场景类型的参数扫描和带随机种子的蒙特卡罗集合 | campaign类型的sweep（一至三个任一类型的点分键，取通用扫描的轴值，可在每个节点上选择性地加一个集合）和monte_carlo部分：第k次实现以base_seed + k运行；每个指标报告均值、标准差、最近秩法的第5/50/95百分位数，以及对均值的固定随机种子百分位自助法95% 置信区间（inertial::metric_stat）；指标单位取自被扫描类型自己的units块 |
InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——白频率噪声下相位随机游走的闭式解，方差q_wf tau（NIST Technical Note 1337），用于统计机制；随机种子则以与独立运行逐字节相等来核对。它核对的是引擎自身时钟模型上的集合运算，而不是外部数据集 | campaign (run_sweep, run_monte_carlo, ensemble); sweep (GenericAxis, coords_of, set_dotted_value); inertial (metric_stat) | tests/campaign_composition_reference.rs (a_fixed_seed_ensemble_is_byte_stable_and_each_realisation_is_the_standalone_run; the_ensemble_mean_and_spread_match_the_white_fm_closed_form——200个白频率噪声时钟的随机种子，滑行tau = 3010 s：真实均值0落在所报告的区间内，区间半宽度在1.96 sigma/sqrt(n) 的25% 以内，样本方差落在sigma = sqrt(q_wf tau) = 16.459 ns的双侧99% 卡方区间内；校准集合（CAP-10，预先登记ea451cb5，docs/CALIBRATION-ENSEMBLES.md，tests/calibration_ensembles.rs）：在200个独立集合中，区间覆盖真实均值的有192个（位于Binomial(200, 0.95) 的99 % 区域 [181, 197] 之内），卡方检验通过的有196个，而单随机种子的百分位容差（p05和p95均在0.3 sigma以内）在200个中仅有183个通过，相对于预先登记的190为NOT MET，这是一项对随机种子敏感的检验，如实记录而未放宽；a_one_node_sweep_and_a_one_member_composition_read_the_standalone_number) |
| 共享条件下的多个场景，附合并摘要 | campaign类型的compose部分：具名共享值（例如某个干扰源的功率和位置）写入各成员所绑定的键，运行每个成员，每个指标给出各成员中的最小值、最大值和平均值，并指明对应的成员；各成员的指标单位必须一致 |
InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——与独立运行对照的组合恒等式。共享条件的运算只是记账；物理部分来自各成员类型，各有自己的一行 | campaign (run_compose) | tests/campaign_composition_reference.rs (a_one_node_sweep_and_a_one_member_composition_read_the_standalone_number——单成员组合读出独立运行的数值和结果摘要) |
| 在测评活动参数上对一个指标做有界优化 | campaign类型的optimize部分（CAP-32）：一至三个点分场景键，在lin或log尺度上限定于 [lo, hi]，一个按结果路径读取的指标，目标为minimize、maximize或target；方法为grid（扫描的轴值）或在归一化坐标下的确定性Nelder-Mead单纯形，带箱形投影和标准系数；缺失或非有限的指标记为最差并保留在trace中；runs > 1时，指标为各共同随机种子上的均值；每次评估都是对所指名类型的一次真实运行，列于trace并计入可复现性摘要 |
InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——仅限内部：链路方程的精确 -20 log10(range) 闭式解、同一类型上独立的暴力网格，以及Rosenbrock函数。第1轮的1-D判据为NOT MET（预先登记的区间排除了3 dB的解；优化器停在边界上），记录于docs/design/evidence/cap32-optimize/RESULTS.md，未重新评分。最优解仅在该区间和起点的局部范围内成立；不作全局最优的声明 | campaign::optimize (run_optimize, nelder_mead) | tests/campaign_optimize_reference.rs (预先登记fbe6c8b3，以及第1轮协议未达标之后的441f31bc：p2_prime_interior_target_range_matches_the_closed_form——1-D目标求解在96次评估内与r* = r0 10^((m(r0) - 3)/20) 相差不超过6.1e-15；p3_prime_contour_target_grid_and_nelder_mead与p3_grid_matches_brute_force_and_nelder_mead_does_at_least_as_well——网格方法的最优值与对run_toml独立进行的41 x 41暴力循环按位相等，Nelder-Mead分别在177次和161次评估内至少同样好；p4_nelder_mead_reaches_the_corner_maximum; p5_the_document_is_byte_stable_and_counts_agree; p2_round1_not_met_the_box_excludes_the_closed_form，它固定了所记录的第1轮未达标）；campaign::optimize::tests (nelder_mead_meets_the_preregistered_rosenbrock_bar：f* = 1.7e-20，234次评估；a_non_finite_score_is_never_the_best; the_grid_mapping_is_the_sweeps) |
| 低地球轨道定位、导航与授时信号设计：码跟踪、捕获、GNSS兼容性，以及适用于任何系统的频段权衡 | leo-signal类型：参数化的信号设计（频段、发射带宽、ITU划分；含BPSK(n)、BOC(m,n)、MBOC或平坦谱的捕获、数据和导频分量，功率份额，FDMA子载波，码长和数据速率），来自编译进来的公开预设文件（Xona Pulsar、Iridium STL、Starlink机会信号、CentiSpace、一个通用C波段设计以及通用UHF/L/S/C/宽C设计，每个都带有其来源网址，未公开的数值标注为REPRESENTATIVE）或内联编写；每个信号给出带限功率谱密度、带内功率占比、Gabor带宽、码抖动对C/N0和间距的关系以及测距精度、捕获搜索空间、平方律检测概率以及平均串行和码并行捕获时间、进出GPS L1 C/A、Galileo E1、GPS L5、Galileo E5a、E5b和AltBOC的谱分离系数及C/N0劣化，以及取自频谱类型SSC链的CW、宽带和匹配J/S容限；电离层延迟、自由空间损耗、等C/N0和等EIRP下的测距精度以及干扰容限的频段权衡；以及设计对照所描述测量的定性形状检查 |
InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——上面两行经独立核对的闭式解、平方律虚警恒等式P_d(snr = 0) = P_fa与Holmes平均捕获时间，以及对频谱类型自身SSC链的归约（同一份Jammer::ssc代码）。设计本身是输入：标记为REPRESENTATIVE或WORKSHOP的预设不是已发布的规范，增强型Feher QPSK、码移键控和OFDM频谱均为近似，形状检验比较的是形状，而不是经校准的电平。 | leo_signal (LeoSignalScenario, SignalDesign, Component, Shape, code_jitter_m, gabor_bandwidth_hz, detection_probability, threshold_for_pfa, mean_acquisition_time_s, ssc_leo_into_gnss, ssc_gnss_into_leo, jammer_tolerance, gnss_victim, preset, public_signal) | leo_signal::tests (every_public_preset_parses_and_cites_a_url; detector_reduces_to_pfa_and_grows_with_snr; detection_probability_with_several_looks_matches_the_noncentral_chi_square; mean_time_of_a_perfect_detector_is_half_the_cells; compatibility_ssc_magnitudes_match_independent_quadrature; to_spectrum_band_is_consistent_with_the_design; jammer_tolerance_orders_cw_matched_wideband; e5_centred_signal_hits_e5a_and_e5b_equally; defaults_run_on_the_generic_band_preset; inline_signal_and_bad_inputs)；tests/leo_signal_reference.rs（每个内置的与具体系统无关的场景无需workshop数据即可运行，频段权衡的电离层比值等于 (f_ref/f)^2，其自由空间差值等于20 log10(f/f_ref)，参考C/N0处的抖动介于其Gabor界与不限带宽形式之间，该文件存在时workshop参数场景的E5形状检验是一致的，且没有任何源文件会编译该文件） |
| 带有设计信号和各频段干扰源的多频段频谱瀑布图（UHF、L、S、C） | spectrum类型扩展到L波段之外：频段由预设信号设计给出（绘出每个分量，带限于发射带宽，C/N0和J/S以被跟踪分量为参照），或由自定义载波和调制给出；在同一时间线和色标上、针对任意频率范围的额外瀑布图面板；除CW、窄带、线性调频和匹配噪声外，还有宽带（阻塞式）干扰源；由未改动的谱分离系数链给出各频段J/S和有效C/N0 |
InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——对现有频谱链和压制干扰类型抗干扰方程的归约（单分量频段给出与扩展之前相同的数值），以及各经独立核对行的信号频谱。干扰机功率、时间线、前端带宽和所设计的信号都是输入，所设计的信号在其发射频段处被截断（无带外发射）。 | spectrum (Band::unit_psd, Band::tracked_power_dbw, BandDesign, BandCfg, PanelCfg, SpectrumScenario, Waveform, multi_band_svg); leo_signal (SignalDesign::to_spectrum_band) | tests/leo_signal_reference.rs（多频段瀑布图以四个面板运行，UHF、L5频段、S频段和C频段干扰机各自只压制自己的频段，纯频段运行不因该扩展而改变）；leo_signal::tests::to_spectrum_band_is_consistent_with_the_design; spectrum::tests (agrees_with_the_jamming_kind_chain) |
| LEO-PNT过境及其各频段链路预算，对照所见的MEO GNSS卫星 | leo-pass类型：卫星来自设计的过境、根数、经SGP4的TLE，或来自constellation-design的沃克星座；每个频段和历元给出观测角、距离、闭式距离变化率和距离加速度（每次运行都对照中心差分检查并报告）、自由空间损耗、带等通量、高斯或平坦方向图的EIRP、贴片、半球或全向用户天线、ITU-R P.676-10附件2气体衰减、P.618降雨和闪烁、P.2109建筑物穿透损耗、极化失配、系统噪声温度、C/N0、多普勒和多普勒变化率，以及由Klobuchar或垂直TEC斜向TEC按卫星以下的查普曼分数缩放得出的一阶延迟；过境峰值处带码噪声的无电离层频率对；Galileo或GPS载波，取自其接口文档的接收功率，经同一接收机处理 |
InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——闭式解与自洽性：距离变化率与距离加速度恒等式对照数值导数，等通量增益抵消距离增长，教科书式的极化损耗极限，以及对LEO与GNSS的定性观察（持续数分钟的钟形过境，峰值比平坦的44-51 dB-Hz GNSS载波高出若干dB）。EIRP和方向图是将已发布的接收功率换算成的EIRP，或代表性的选择；气体项采用已被取代的P.676-10简化方法，且没有任何结果与实测的LEO C/N0作比较 | leo_pass (LeoPassScenario); leo_link::geometry (design_pass, link_geometry, numerical_check, SatMotion, UserMotion); leo_link::antenna; leo_link::itu (p676_gaseous_attenuation_db); leo_link (system_noise_temperature_k, cn0_dbhz) | leo_pass::tests (the_leo_pass_is_a_bell_above_flat_gnss; closed_form_doppler_agrees_with_the_numerical_derivative：低于0.01 Hz和0.01 Hz/s；indoor_uhf_suffers_less_building_loss_than_c_band; rain_attenuates_c_band_more_than_s_band; iono_delay_scales_as_one_over_f_squared_across_bands; a_fully_custom_band_needs_no_preset; a_walker_constellation_and_a_tle_satellite_both_run; defaults_run_with_no_preset_named_and_every_number_has_a_unit)；leo_link::geometry::tests (kepler_velocity_is_the_derivative_of_the_position; a_designed_pass_reaches_the_requested_elevation; closed_form_range_rate_and_accel_match_central_differences_for_two_body_motion)；leo_link::antenna::tests |
| 带有所述来源的具名LEO-PNT系统预设，以及一个与系统无关的引擎 | leo_link::presets：通用多频段（UHF、L、S、C）、通用C波段、Xona Pulsar X1/X5、Iridium STL、作为仅多普勒机会信号的Starlink、CentiSpace，以及一个可选的Celeste IOD预设，每个都把来源标注为PUBLIC（附网址）、REPRESENTATIVE或WORKSHOP，工作坊的那一个在可选的Celeste IOD预设文件中，仅当该文件存在时才编译进来；每个频段和轨道在场景中都可覆盖，场景也可以完全不指名任何预设 | InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——对所引用公开数值的转录，以及一项一致性检验：由已发布的最小接收功率设定的EIRP，在平坦方向图下预测的已发布最大值相差不超过0.5 dB。这检验的是距离扩展，而不是对任何卫星天线的独立核对；代表性预设不对任何真实系统作出声明 | leo_link::presets (SystemPreset, BandPreset, all, by_id, gnss_meo); leo_pass (resolve_bands) | leo_link::presets::tests (every_preset_is_sourced_and_self_consistent; only_the_celeste_preset_is_sourced_from_the_workshop)；leo_link::presets::xona_pulsar::tests (the_eirps_reproduce_the_published_minimum_power_at_ten_degrees; a_flat_pattern_lands_the_zenith_power_near_the_published_maximum：与 -139.1 dBW和 -136.2 dBW相差不超过0.5 dB)；leo_link::presets::iridium::tests; leo_pass::tests (a_fully_custom_band_needs_no_preset) |
| 低能耗定位：首次定位时间和每次定位能耗对占空比 | leo_link::energy和leo-pass类型的 [iot] 部分：受多普勒变化率限制的相干积分，到检测门限的平方律非相干累加，在轨道静止用户包络上的多普勒格搜索（冷启动）或辅助窗口（热启动），并行或串行码搜索，冷启动时的导航电文时间，各定位间隔下每次定位的能耗和电池寿命，针对每个LEO频段和GNSS信号 |
InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——所述设计模型的内部自洽：每一项功率、门限和搜索选择都是输入，且该模型忽略比特边沿模糊、漏检和重新捕获。未与实测接收机作比较 | leo_link::energy (fix_budget, duty_curve, IotReceiver, IotSignal); leo_pass (iot_section) | leo_link::energy::tests (stronger_signals_and_smaller_doppler_windows_fix_faster; the_doppler_rate_caps_the_coherent_time; battery_life_grows_with_the_fix_interval_toward_the_sleep_floor)；leo_pass::tests (the_run_is_deterministic_and_bad_inputs_are_rejected) |
| LEO导航电文在过境中途更新，并在切换处做连续性检查 | leo-navmsg中途更新分析：在搜索时间范围内，用户上空最高的一次过境，按全局时间表发出的、使用期以拟合窗口居中的电文，以及在每次切换处的3D位置跳变、钟差跳变、用户伪距跳变、任一可见视线上的最大跳变（天底锥上的闭式解）、前后的距离误差，以及对照某个阈值的PASS/FAIL |
InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——内部自洽（跳变恒等式和锥界对照暴力采样）。门限是输入；没有固定任何已发布的LEO连续性要求 | leo_navmsg (LeoNavmsgScenario::midpass, worst_case_jump, elevation, geodetic_to_ecef) | leo_navmsg::tests::a_mid_pass_update_is_continuous（每次切换的距离跳变都等于距离误差的变化，每150 s更新一次的经修正300 s拟合通过5 cm的门限）；leo_navmsg::tests::a_keplerian_only_update_over_a_long_interval_is_flagged; leo_navmsg::tests::worst_case_jump_bounds_every_line_of_sight（闭式解约束了对该锥的密集采样） |
| LEO导航电文的文档化二进制编码，附量化误差预算 | leo_navmsg::codec：Kshana自己的帧（前导码、版本、模型、长度、载荷、CRC-24Q），涵盖四种星历模型、钟差多项式、SVID、星历数据龄期、频段、健康状态、一组Klobuchar参数、NeQuick-G系数和UTC参数，每个字段都有所述的宽度和步长（field_table），量化时超出范围则拒绝，另有一份预算，给出每个字段改变半个步长时在有效期内引起的最大位置和钟差变化 | InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——往返恒等式和预算本身。该格式是Kshana自己的，以已发布的电文分量和Galileo ICD字段集为参照建模；它不是Celeste或任何其他系统的比特布局（均未公开），因此没有可供独立核对的外部布局 | leo_navmsg::codec (encode, decode, write_payload, read_payload, field_table, quantisation_budget) | leo_navmsg::codec::tests (signed_fields_round_trip_through_the_bit_packer; week8_resolves_near_the_reference)；leo_navmsg::tests::every_model_round_trips_through_the_binary_frame（解码后每个模型与精确电文相差不超过2 mm，重新编码后按位一致，翻转一位会被CRC拒绝）；leo_navmsg::tests::every_field_of_the_budget_stays_under_a_millimetre |
| LEO导航电文的RINEX-4风格和CSV导出 | leo_navmsg::text：RINEX-4风格的块（> EPH记录头，带三个钟差项的卫星和历元行，D19.12广播轨道行），系统字母为L，记录类型为KP16、KRAC、LU22和APOL，每个头部都标注其为Kshana扩展，不属于RINEX 4.02；以及带默认列模式和预设模式的CSV表，各有一个导入器 | InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——往返与日历运算。RINEX 4.02未定义LEO导航记录（IGS RINEX 4.02），因此该布局是有文档说明的扩展，并引用arXiv 2401.17767作为先前工作；不存在可供核对的外部读取程序 | leo_navmsg::text (rinex_export, rinex_import, csv_export, csv_import, calendar, from_calendar) | leo_navmsg::text::tests (calendar_round_trips_and_knows_the_gps_origin; d19_is_rinex_shaped)；leo_navmsg::tests::rinex_and_csv_round_trips（文本块之后每个模型相差不超过0.1 mm，CSV精确） |
| ATOMIC零钟差ECEF多项式，以及合成的五高度LEO模型比较 | leo_navmsg::elements::EphemerisModel的EcefPoly变体：每轴一个ECEF多项式，没有钟差项，相对论项取自 -2 r.v/c^2，对照受控时钟打分。还有模型比较分析（liu_comparison，作用于LIU2025_TABLE），它在论文的五个高度上，对Kshana积分轨道的20分钟弧段拟合22参数模型，并把结果印在已发表的SISRE旁边 | InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——来自InsideGNSS的ATOMIC模型事实（6阶多项式，有效期约一分钟，30 s刷新，时钟受控，24 cm钟差）。这些是描述性事实，没有可供比较的已发布数值。五个高度的表格列出Liu et al. 2025的SISRE（在20分钟弧段上，320、475、786、966和1336 km处分别为8.88、6.21、2.87、2.11和0.75 cm），旁边是Kshana在其自身积分轨道上的拟合（4.25、2.87、2.20、1.25和0.51 cm；比值0.46至0.77），未作固定，因为该论文拟合的是真实精密轨道，真值并不相同。22参数模型及其拟合本身，已在Liu et al. 2025 22-parameter LEO ephemeris model and its fit on real precise orbits一行中以真实轨道作了独立核对。0.30修订：表中数值随论文约定的拟合而改变（GRACE-A 5.40 -> 4.25 cm，GRACE-C 4.12 -> 2.87，Sentinel-2A 2.95 -> 2.20，HY-2A 2.38 -> 1.25，Sentinel-6A 0.70 -> 0.51） | leo_navmsg::elements (EcefPoly, ephemeris_at); leo_navmsg (liu_comparison, LIU2025_TABLE) | leo_navmsg::tests::liu22_beats_the_16_parameter_set_over_a_20_minute_arc; leo_navmsg::tests::the_ecef_polynomial_fits_a_minute_to_millimetres; leo_navmsg::tests::every_preset_resolves_and_the_atomic_preset_selects_the_zero_clock_polynomial |
| 基于LEO多普勒的定位，单星和多星，带钟漂和速度状态 | 以距离变化率为基础、带解析偏导数的批量高斯-牛顿定位（d rho_dot / d r = -(I - u u^T)(v_s - v_u)/rho，d/dv = -u，d/d drift = 1），可选恒定用户速度，对地表用户的高度伪测量，带阻尼的步长；真值处的形式协方差；沿迹、横迹和垂直方向的投影；单次过境精度随用户横迹偏移的变化；最接近时刻。leo-pvt类型的doppler模式增加误差随窗口长度的变化，以及仅多普勒的机会信号模式（starlink-sop预设） |
InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——内部自洽：无噪声恢复，经数值微分的运动学恒等式rho_ddot = (|v|^2 - rho_dot^2 + d.a)/rho，最接近点处多普勒为零，单次过境的镜像解，以及带种子的误差对照形式协方差。Kozhaya、Saroufim和Kassas给出的Starlink数值（NAVIGATION 72(1)，2025：三颗卫星在20 s内约2 m）仅作比较：所建模的接收机在星历完美、所有误差计入30 Hz多普勒sigma的情况下，在同一窗口内的精度要差数倍，且该论文的接收机和测量速率未被复现 | leo_fusion::doppler (solve, formal_covariance, single_pass_geometry, offset_site, closest_approach); leo_fusion::pvt_kind (run_doppler) | leo_fusion::doppler::tests (range_acceleration_obeys_the_kinematic_identity_and_vanishes_doppler_at_closest_approach; noise_free_multi_satellite_doppler_recovers_the_user：精确到1 mm，漂移精确到1e-6 m/s；a_single_pass_has_a_mirror_solution_across_the_ground_track; the_cross_track_error_grows_as_the_pass_goes_overhead; velocity_states_are_recovered_for_a_moving_user)；leo_fusion::pvt_kind::tests (doppler_positioning_improves_with_the_window_and_is_deterministic：加权残差RMS在 [0.8, 1.2] 内，误差低于四倍形式sigma)；tests/leo_fusion_scenarios.rs (leo_doppler_positioning_forms_a_fix_and_the_cross_track_error_explodes_overhead; starlink_doppler_only_mode_runs_without_ranging)；tests/starlink_doppler_published_proxy.rs（对“Unveiling Starlink for PNT”已发布的数据集3百分位（doi:10.33012/navi.685）的预先登记代理检验：使用3颗卫星（47 deg截止角）、无高度辅助、30 Hz，p90 3-D误差在20 s时为92.2 m，在8 s时为870 m，而已发布值分别为2 m和10 m，因此两个两倍以内的判据均为NOT MET，偏高，并按未达标断言；docs/design/evidence/cap11-starlink-doppler-proxy/） |
| 带系统间偏差和各信号误差模型的GNSS与LEO联合伪距定位 | 对任意系统组合的加权最小二乘高斯-牛顿定位，每个系统一个接收机钟（系统间偏差与位置一并估计），或在参考时间尺度上取已知的广播偏移；各测量的sigma由调用方提供，默认为引擎的延迟锁定环热噪声（navsignal::dll_code_jitter_chips），取该仰角的C/N0，并与空间信号测距误差合成；局部大地坐标系中的未加权DOP（GDOP、PDOP、HDOP、VDOP、TDOP）、形式的东-北-天sigma以及偏差sigma；leo-pvt联合模式比较仅GNSS、仅LEO和融合的定位解，并扫描DOP随所加LEO卫星数的变化 |
InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——手工推导的四星DOP（一颗卫星在天顶，三颗在地平线上彼此相隔120 deg，其法方程矩阵可手算求逆），带自身时钟的系统加一颗卫星不增加任何几何的结构恒等式，位置、时钟和偏差的无噪声恢复，以及带种子的误差对照协方差。仅为内部检验；未与接收机的输出作比较。0.30外部比较，一项发现（仍为MODELLED）：在一个多GNSS的IGS日（ABMF 2018-05-13，GPS和Galileo C1C，广播星历，Klobuchar）上，系统间偏差与RTKLIB v2.4.2-p13 rnx2rtkp一致（在0.30广播群延迟修正之后，中位数差为 -0.11 ns，之前为 -0.35 ns；判据1 ns），但在280个历元中，仅有93.6 %（修正之前为93.2 %）与ITRF2020坐标相差在3 m以内，未达到预先登记的95 %。RTKLIB自身在同一数据上也只达到88.2 %，因此该判据超出了该测站和该日单频广播定位的能力，而不是求解器之间的差异；该比较测试已提交但被忽略。0.30第2轮，在未改变的3 m / 95 % / 1 ns判据下采用更严格的输入，一项发现（仍为MODELLED）：采用Galileo E1/E5a无电离层组合（预先登记6927e039），79.9 % 的历元在3 m以内（RTKLIB为67.9 %）；采用精密CODE MGEX轨道、钟差、卫星天线偏移和码偏差（预先登记7d8c3597）为94.2 %（RTKLIB为94.1 %），且系统间偏差与RTKLIB相差 -1.03 ns，因为RTKLIB单点模式忽略卫星天线偏移（二者都省略时为 +0.04 ns） | leo_fusion::joint_pvt (solve, dop, code_sigma_dll_m, SystemClock); leo_fusion::system (SystemCfg, System); leo_fusion::pvt_kind (run_joint) | leo_fusion::joint_pvt::tests (dop_matches_the_hand_derived_zenith_plus_three_horizon_case：HDOP = VDOP = sqrt(4/3)，TDOP = sqrt(1/3)，PDOP = sqrt(8/3)，GDOP = sqrt(3)，精确到1e-9；a_lone_satellite_with_its_own_clock_adds_nothing_and_a_known_offset_does; a_noise_free_fix_recovers_position_clock_and_inter_system_bias; seeded_fixes_agree_with_their_formal_covariance; dll_noise_is_the_textbook_figure_for_gps_l1_ca)；leo_fusion::pvt_kind::tests (fusing_leo_never_worsens_the_median_pdop_and_the_isb_is_recovered)；tests/leo_fusion_scenarios.rs (meo_leo_fusion_beats_gnss_alone_and_recovers_the_leo_bias)；tests/joint_pvt_dual_freq_itrf_rtklib_oracle.rs::dual_frequency_finding_is_pinned；tests/joint_pvt_precise_itrf_rtklib_oracle.rs::precise_product_finding_is_pinned |
| 仅用GNSS和用LEO增强的精密单点定位收敛 | 基于无电离层码和相位的浮点PPP扩展卡尔曼滤波器：静态坐标，白噪声接收机钟，每多一个系统一个系统间偏差，按1/sin(仰角) 映射的随机游走天顶湿延迟，每个卫星弧段一个浮点模糊度（升起时加入，落下时删除），以及卫星码与相位共有的精密轨道和钟差误差，按约瑟夫稳定形式以一次相关的两行更新处理；测量由同一模型仿真；收敛时间（误差在阈值以下直到运行结束）、误差曲线以及仅GNSS和各个LEO情形的运行平均位置NEES，作为leo-ppp类型运行 |
ExternalDataset | 某一子论断经外部核对，但整项能力由建模的部分组合而成，因此该能力仍属于由模型计算得出——NEES卡方检验是内部自洽检验（真值与滤波器共用同一模型）。其趋势与Li et al., LEO constellation-augmented multi-GNSS for rapid PPP convergence, J. Geod. 93:749-764（2019），doi 10.1007/s00190-018-1195-2作比较：多GNSS的9.6 min在加入60、96、192和288颗LEO卫星后缩短为7.0、3.2、2.1和1.3 min。内置场景给出7.4、4.8、3.2、2.7和2.3 min，使用其自身代表性的1000 km、60 deg壳层、噪声和测站；该论文的星座、噪声和收敛定义并未复现，因此这是趋势上的MODELLED一致性（单调缩短，最大星座的耗时不到仅GNSS的三分之一），而不是独立核对 | leo_fusion::ppp (run, PppScenario, LI_2019) | leo_fusion::ppp::tests (the_filter_is_consistent_over_monte_carlo_seeds：24个随机种子，运行平均NEES均值在 [2.4, 3.6] 内，且至少75% 的历元位于双侧95% 卡方区间内；以150个随机种子测得，仅GNSS时均值为2.84，加入LEO时为2.87；leo_augmentation_shortens_convergence; same_seed_same_answer_and_every_number_has_a_unit)；tests/leo_fusion_scenarios.rs (ppp_convergence_of_the_bundled_scenario_shortens_monotonically) |
| LEO辅助的对UTC时间传递，随C/N0和接收机振荡器变化 | 来自视野内每颗已知位置LEO卫星的钟差测量，按伪距噪声模型以逆方差合并，由两状态（相位、频率）卡尔曼滤波器滤波，其过程噪声为振荡器等级的白噪声和随机游走频率噪声（slot_timing::ClockNoise、clock_state::ClockClass；holdover::coast_phase_variance的滑行方差），由同样水平给出带随机种子的真值时钟，以及IS-GPS-200第20.3.3.5.2.4节的系统时间到UTC表达式，并把广播偏移的不确定度作为每次运行的偏差加入；leo-pvt授时模式扫描振荡器和C/N0偏移 |
InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——内部自洽：手工计算已发布的偏移表达式，40个随机种子上的归一化误差，以及由偏移不确定度设定的下限。NIST给出的带微型原子钟的Iridium授时接收机数值（在40天内相对UTC(NIST) 低于40 ns）仅作比较；内置的Iridium场景在标称功率下，以其代表性的5 m距离误差给出10至11 ns RMS。闪烁频率噪声和电离层延迟未被仿真 | leo_fusion::timing (simulate, utc_offset_s, system_to_utc_s); leo_fusion::pvt_kind (run_timing) | leo_fusion::timing::tests (the_utc_offset_follows_the_is_gps_200_expression; continuous_tracking_approaches_the_measurement_floor_and_gaps_cost_time; the_filter_is_consistent_over_seeds; the_utc_offset_uncertainty_sets_a_floor)；tests/leo_fusion_scenarios.rs (leo_timing_error_grows_as_the_c_n0_falls) |
| 具名的LEO PNT系统，作为可选的数据预设，各附其来源 | 与系统无关的输入：每个系统都是沃克壳层、显式根数或GNSS预设，一个信号（载波、码速率、带宽、接收功率或C/N0范围），一个SISRE，一个多普勒sigma和一个钟模型；预设只填补场景遗漏的部分，每个一个文件，来源标注为PUBLIC（附网址）、WORKSHOP或派生，未公开的数值列为具代表性：Xona Pulsar X1/X5、Iridium STL、Starlink机会信号、CentiSpace、一个具代表性的C波段系统、ATOMIC零钟差星历模型，以及可选的Celeste IOD预设文件中一个源自工作坊的预设，删除该文件及其场景即可将其撤出 | InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——对所引用公开数值的转录，已检查其结构（每个公开来源都有URL，Walker图案可均匀划分，由接收功率除以290 K下的kT得到的C/N0），而不是对照外部参考基准。代表性数值在各预设中均有标明，且是示意性的 | leo_fusion::presets (all, by_id, cn0_range_dbhz, noise_density_dbw_hz); leo_fusion::system (SystemCfg::build) | leo_fusion::presets::tests (every_preset_has_a_source_and_every_public_source_a_url; only_one_preset_uses_workshop_material; noise_density_at_290_k_is_minus_204_dbw_per_hz)；tests/workshop_preset_isolation.rs (only_the_listed_files_name_the_workshop_preset; workshop_numbers_live_only_in_the_preset_file_and_its_scenarios：对src、scenarios和tests的源文本扫描)；leo_fusion::system::tests (a_preset_fills_what_the_scenario_leaves_out; a_system_needs_no_preset; pseudorange_sigma_falls_with_elevation_and_never_below_the_sisre) |
| 端到端的一个LEO-PNT系统：信号设计、过境链路预算、导航电文和融合定位，每个阶段的输出交给下一阶段 | leo-pnt-chain类型：一个leo-signal设计（公开预设或内联）设定leo-pass频段的中心、带宽、码速率和EIRP分配；过境给出每个历元被跟踪分量的C/N0和带限码抖动；对sin(仰角) 的最小二乘C/N0直线、leo-navmsg电文的SISRE（在过境卫星的轨道上拟合，再按方和根加上所述的定轨项）以及该设计的载波和码速率，交给leo-pvt联合定位的每一个LEO系统，并可选地交给leo-ppp的LEO情形；每一次交接都连同其数值和单位一并报告 |
InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——交接的自洽性：每个被传递的值都等于上游阶段自身的输出，而修改某个上游输入会使依赖它的每个下游数值随之变化。各阶段保留自己的标签；该链条不增加任何物理，也不增加外部参考基准 | leo_pnt_chain (LeoPntChainScenario); leo_pass (BandCfg::signal, design_tracking); leo_navmsg (LeoNavmsgScenario::broadcast_sisre); leo_fusion::pvt_kind; leo_fusion::ppp | leo_pnt_chain::tests (a_sine_line_fit_recovers_its_line)；tests/leo_pnt_chain.rs (every_upstream_change_moves_the_downstream_figures：更强的EIRP、更长的拟合区间和更大的定轨项各自改变被传递的值和融合定位解；the_handed_on_values_are_the_stage_outputs; a_band_design_splits_the_eirp_and_reports_the_design_jitter; the_pass_export_reproduces_the_engine_range) |
| 基于LEO多普勒与过境几何一致性的欺骗干扰（spoofing）检测 | leo-pass类型的[spoofer]部分：欺骗源在距离和距离变化率上自洽地伪造在某个声称位置处所见的信号，该位置在起始之后发生跳变和/或被从真实位置推开（针对每个LEO频段和MEO GNSS信号）；接收机根据广播轨道和一个独立的先验位置与速度预测每一个距离变化率，并在若干历元的窗口上，对GNSS通道、LEO通道和全部通道，用广义最小二乘卡方统计量检验测得的距离变化率（钟漂作为干扰量或带先验），锁频环热噪声由C/N0得出（Kaplan & Hegarty 2006，第5.6.2节）；检测概率取自给定虚警概率下的非中心卡方分布，检测在给定漏检概率下宣告 |
InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——闭式解和恒等式，而不是外部测量：距离变化率梯度对照中心差分，信息形式的统计量对照稠密协方差形式，纯时钟漂移给出零，先验可解释的推动至多给出 |dx|^2/sigma_p^2，统计量对跳变呈二次关系。没有任何检测数据与实测的攻击作比较；欺骗者是理想化的（没有功率、到达角或相关峰特征） | leo_link::spoof (range_rate_position_gradient, line_of_sight, fll_frequency_jitter_hz, doppler_consistency_window, doppler_consistency); leo_pass (SpooferCfg, spoof_section) | leo_link::spoof::tests (the_gradient_is_the_derivative_of_the_range_rate; fll_jitter_matches_the_formula_by_hand; a_common_mode_residual_is_a_clock_drift_and_is_not_detected; with_no_prior_and_equal_noise_the_statistic_is_the_scatter_about_the_mean; a_push_the_prior_explains_is_not_detected; a_velocity_push_is_hidden_by_a_loose_velocity_prior_only; the_information_form_equals_the_covariance_form)；tests/leo_resilience_verticals.rs (the_monitors_are_silent_before_the_onset; the_doppler_statistic_is_quadratic_in_the_jump; leo_range_rates_see_a_jump_that_gnss_range_rates_do_not) |
| 基于多频段LEO信号跨频段一致性的欺骗干扰（spoofing）检测 | 对每颗LEO卫星和每一对测距频段，[spoofer]部分构成无几何伪距组合，去掉接收机的电离层模型，并把其历元间的阶跃与两个频段的码噪声以及所述可容许的未建模电离层变化率相比较（双侧高斯，精确检测概率）；欺骗源若伪造某些频段而不伪造另一些，或伪造每个频段而没有电离层，则在其起始时被发现；若伪造每个频段并仿真电离层，则不被发现，结果对此有明确说明 |
InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——恒等式：无电离层组合欺骗者的起始阶跃等于该组合经建模的电离层延迟差，门限为双侧正态分位数乘以阶跃的标准差，再加上变化率界。接收机的电离层模型即引擎自身的模型，因此真实信号的残差按构造在均值上为零；没有外部参考基准 | leo_link::spoof (cross_band_step); leo_pass (spoof_section: pairs, cross_band) | leo_link::spoof::tests (the_cross_band_threshold_and_power); tests/leo_resilience_verticals.rs (a_ground_spoofer_leaves_the_ionospheric_step_and_an_ionosphere_aware_one_does_not; a_one_band_spoofer_is_seen_by_the_cross_band_monitor_at_the_onset; the_monitors_are_silent_before_the_onset) |
| 电离层探测：由一次LEO过境的双频延迟得出斜向TEC | 对leo-pass卫星的每个频段对，报告给出无几何码组合在过境峰值处恢复的斜向总电子含量 (P2 - P1) f1^2 f2^2 / (40.3 (f1^2 - f2^2))，以及由两个频段热码噪声得出的1-sigma，因此任何多频段LEO-PNT设计都可以作为电离层探测器来权衡 |
InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——一阶色散恒等式，对引擎自身的一阶延迟按构造精确成立（其1/f^2比例关系已在自己的一行中对照IS-GPS-200做了VALIDATED核对）；精密度仅为热码噪声，不含多路径或频间偏差。0.30第2轮，实测（预先登记5e795f93），一项发现（仍为MODELLED）：CODE全球电离层图CODG1330.18I对照ABMF C1C/C2W码并采用CODE偏差，在36个弧段均值中有33个相差在3 TECU以内（最差为一个傍晚弧段上的 +6.84 TECU；逐历元RMS为3.95 TECU），而判据要求每个弧段都达标；未经独立核对 | leo_pass (IonoFreePair::geometry_free_stec_tecu, geometry_free_stec_sigma_tecu); leo_link::iono::geometry_free_stec_tecu | tests/leo_resilience_verticals.rs (the_geometry_free_tec_is_the_pass_slant_tec：在峰值处与该次过境的斜向TEC相差不超过1e-9，其sigma等于码噪声按40.3 (1/f1^2 - 1/f2^2) 的方和根)；tests/geometry_free_tec_gim_oracle.rs::geometry_free_finding_is_pinned |
| 海事信任度：把监测器的证据汇总为0-100的分数及其三个档位 | 每个监测器把其证据归约为统计量对阈值的比值；分数为100减去各监测器的权重乘以该比值的限幅线性斜坡（0到0.5，在1.5处为1）之和，限定在0至100并舍入到0.1，档位在90和55；每个历元列出扣分的监测器及其分数。 | InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——对照规范的实现，而不是外部参考基准：一个洁净室式的Python重新实现（scripts/maritime_score_cleanroom.py），由仅获得docs/RECEIVER-TRUST.md和docs/MARITIME-TRUST.md、没有看到Rust源代码的读者编写，在600个比值向量上与score_from_ratios一致（评分、等级、点数和扣分顺序，差值0）；这是在文档补全之后得到的，首位读者曾发现文档在这些地方缺失或前后不一致（并列顺序、舍入、通过或失败型监测器的比值、两个数值与公式不符的示例）。这表明文档是充分的，且代码的行为与其所述相符。未核对的内容，以及该行仍为MODELLED的原因：规则本身（权重、斜坡、等级边界、证据保持）是本项目自己的，已预先登记，但没有外部来源，这里也没有任何内容表明在真实干扰下80分或40分的含义就是航海人员所期望的含义；也没有给出此类数值。监测器的门限同样是本项目自己的（A行只核对它们的算术）。 | receiver_trust (score, monitors, live) | tests/maritime_trust_reference.rs::t5_score_matches_the_clean_room_reading_of_the_documented_rule; receiver_trust::score::tests（对每个统计量单调，增加监测器绝不会提高评分，健康统计量保持在100） |
| 干扰源区域：由飞机和船舶位置报告得出的可行发射源区域 | 由ADS-B（NIC/NACp）或AIS位置报告得出的、降质导航报告来源可能所在位置的可行区域：按报告高度和发射源天线高度范围、在4/3地球半径下的无线电视距；针对未知功率的有限有效距离；受影响的单元把后验拉向其可达范围，而具有视距的未受影响单元则把后验推离之，并按时间和空间归并为时段。输出为所述置信水平下的最高密度区域、带矩椭圆的后验质心、时段起止、持续时间、受影响面积以及高于发布下限的不同飞机数量、一日内的时段分布以及每日小时数。不含地形；每个时段只有一个来源；可信度以模型为条件。可选与来自地理定位的TDOA定位解融合。 | InternalConsistency | 对照自身的闭式或解析恒等式进行检查，能发现转录错误和系数错误，但不是外部参考基准（oracle）——目前没有外部核对。只有合成的正向-反向往返，所用生成器与估计器共用同一模型，因此它们检查的是代码以及该模型下所规定水平的标定，对真实发射源则一无所知。对照已发布的Jammertest 2025发射站点的外部核对已预先登记（docs/emitter-region/PREREGISTRATION.md，在任何计分运行之前由所有者签署确认），并运行了一次（docs/emitter-region/RESULTS.md）：ADS-B为NOT ASSESSABLE（2个预定会话，少于登记的最低4个），AIS为NOT ASSESSABLE（没有已发布的会话），因此没有任何判据得到检验，该行仍为MODELLED | interference_map::emitter (estimate, sessions, build_units, profile, GaussianFix::from_tdoa), interference_map::emitter_out (locate), kshana interference-map locate |
interference_map::emitter单元测试（投影往返、地平线数值、合成的正向与反向往返：已知发射源以大致规定的比率落在规定区域内、边界情形、会话聚类、配置、隐私与措辞）；tests/interference_map_cli.rs的locate用例 |
| 信任遥测SIEM事件：基于syslog的Log Event Extended Format（LEEF） | 频段变化（或逐历元）事件，以Log Event Extended Format 2.0载荷的形式封装在RFC 5424信封中，经UDP或TCP发送，并附有文档化的字段映射。 | InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——已核对的内容：本crate自身对已记录的LEEF字段映射和RFC 5424封装字段所做的精确字符串测试；目前没有持续维护的开源LEEF解析器（在Python包索引中检索未发现），因此该格式是对照同一作者所读的其自身规范来核对的，而不是对照外部参考基准。未核对的内容：LEEF负载是否会被任何厂商的解析器或SIEM接受；已记录规则之外的转义规则；真实syslog收集器的行为。 | telemetry (syslog: leef, rfc5424, SyslogSink; time) | telemetry::syslog::tests（精确的LEEF字符串、转义、严重级别、RFC 5424封装、投递超时和重连）；tests/telemetry_cli.rs |
| 在JammerTest 2024数据集上标定的接收机信任干扰阈值 | receiver_trust::calibration::run_dataset：在公开的JammerTest 2024数据集（Zenodo 15911589，GPL-3.0-or-later，运行时获取，从不内置）上，对C/N0下降、AGC和压制干扰指示器三类监测器进行的预先登记标定：对每个文件夹，依据mon_rf.csv和rinex.csv生成1 s时间线，监测器运行一次，标定之后的每个历元依据该文件夹的attack_log（由CEST换算为UTC，60 s保护间隔）标记为干净或存在压制干扰，每个阈值在固定网格上扫描，选取使汇总的干净虚警概率不超过0.01的最小阈值，并给出留一文件夹的保留集计数；另有UBX读取器交叉核对。所选结果仅作为可选配置发布：[monitors] profile = "jammertest-2024-calibrated"（cn0_drop_db 1.5，agc_k_sigma 3.5，jam_ind_threshold 29）；默认规则以及未使用该配置的所有输出均不变 | ExternalDataset | 某一子论断经外部核对，但整项能力由建模的部分组合而成，因此该能力仍属于由模型计算得出——数据集已发布的事件日志（attack_log窗口）作为事件真值，依据预先登记文件xval/jammertest-trust/PREREGISTRATION.md（在测试框架运行之前单独提交，0fa012b）。首次也是唯一一次运行（xval/jammertest-trust/RESULTS.md）：24个文件夹中有14个可评估（其中7个含压制干扰），3,502个干净历元和9,560个压制干扰历元。保留集干净数据的虚警概率：cn0_drop_db为0.0231（81/3502），判据为0.02，FAIL；agc_k_sigma为0.0003，通过；jam_ind_threshold为0.0094，通过；三者的并集：虚警0.0328，检测0.807，对应判据0.05和0.50，通过。按已登记的规则，该行为MODELLED（有一项判据未通过）。范围狭窄：只有一种接收机类型（u-blox ZED-F9P）、一次事件，以按计划的一分钟时隙作为真值（检测只是下限；干净指位于已记录窗口之外）；依据CSV日志校准，且UBX读取程序在两个文件夹上给出更多虚警。航海信任度等级未经校准 | receiver_trust::calibration (run_dataset); receiver_trust::monitors (MonitorConfig::profile, JAMMERTEST_2024_CALIBRATED); realdata::jammertest; examples/jammertest_trust_calibration.rs | tests/receiver_trust_jammertest_calibration.rs::the_recorded_calibration_reproduces（被忽略，由KSHANA_JAMMERTEST_DIR控制数据：已记录的选择、保留集计数、判据结论与总体结论）；receiver_trust::calibration::tests（时间戳、窗口配对与时区偏移、标签、保护带、排除、选择）；receiver_trust::monitors::tests::threshold_profile_is_opt_in |
| Jammertest评分：依据已发布的测试计划，对接收机日志按每次预定测试评分（检测延迟、漏报警、虚警、恢复时间） | jammertest::{plan, score, dataset}（kshana jammertest import|score）：将NPRA测试目录与发射计划（MIT，以固定的SHA-256获取，从不内置）读作预定真值，并保留目录标识；对接收机信任度运行按每次测试评分（首次报警减去计划开始时间，对照容差判定为detected/late/missed，到首个无报警时段的时间，位于所有时隙及其保护间隔之外的报警），并附带携带评分卡的已签名证据包。该时间表是计划时隙，而不是实际播发时间的记录 | ExternalDataset | 某一子论断经外部核对，但整项能力由建模的部分组合而成，因此该能力仍属于由模型计算得出——计划中每个测试区域的时隙数（76、77和45个时隙，其中61、63和32个发射）由脚本针对同一份JSON独立统计；2024年数据集的attack_log窗口作为事件真值，依据xval/jammertest-score/PREREGISTRATION.md（在评分器运行之前单独提交，c2e6d3b）。首次也是唯一一次运行（xval/jammertest-score/RESULTS.md）：已登记的最小数据量规则未通过（来自12个UBX文件夹中4个的4个可评分压制干扰窗口，而最低要求为来自2个文件夹的10个窗口：5个文件夹被基线规则剔除，3个UBX日志只带有GPS周内时），因此判据B1至B4无法评估；没有放宽任何内容，也没有重新运行。v2（xval/jammertest-score/PREREGISTRATION-v2.md，单独提交，只涉及数据处理：仅含GPS时间的日志按日期定位、12个仅CSV的文件夹、为移动流动站设立的移动平台会话；判据和最小数据量规则不变）：24个文件夹中保留14个，但可评分的压制干扰窗口只有7个，最小数据量规则再次未通过，没有任何判据可评估（RESULTS-v2.md）。按计划的真值：计划时隙不是实际发射记录，漏检可能是一次从未运行的测试，延迟从计划起点算起，干净指位于计划时隙之外。测量域监测器的检测对低功率欺骗者说明不了任何问题。只有一种接收机类型（u-blox ZED-F9P）。2025年SimulaMet NMEA数据集未被使用（未注明许可，且需订阅） | jammertest::plan (parse_catalog, parse_plan, import, import_attack_log, events_toml); jammertest::score (score_run); jammertest::dataset (run_dataset); jammertest (score_log, score_pack); examples/jammertest_score_2024.rs | tests/jammertest_plan_roundtrip.rs（由KSHANA_JAMMERTEST_PLAN_DIR控制数据：2025年计划中每个测试区域的时隙数、目录编号、TOML往返）；tests/jammertest_score.rs（带有已知下降的合成日志：已检测、漏检、不可评估、虚警运行，带有评分卡的签名证据包）；jammertest::plan::tests；tests/jammertest_score_2024.rs（由KSHANA_JAMMERTEST_DIR控制数据：已记录的运行） |
| 与公开框架的compliance对应 | compliance（kshana compliance-report）：仅按编号，将Kshana的输出映射到公共框架的条款，依据所给的运行填写；一项结果只有在携带该映射所指明的证据时才计为对某项能力的支持，空集不证明任何事情，措辞为“supports evidence for”；该报告不是任何框架已被满足的结论，也不是任何人作出的评级或批准。 | InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——引用文献对照由脚本提取的、所引公开文件于2026-10-10读取的标题索引进行核对（tests/compliance_references.rs）。已核对的内容：49条所引的条款、章节、段落或标题引用存在于所引文件中，7个所引URL在记录日期可解析（其中2个经由第二条途径）；反向对照检验会失败。未核对的内容：任何转述、映射或缺口是否正确；EN 16803的条款（付费，仅有目录文本）；后续修订；该索引不是独立的实现。 | compliance | tests/compliance_report.rs::mapping_is_well_formed; tests/compliance_report.rs::wording_rule_holds_in_mapping_report_and_docs; tests/compliance_report.rs::empty_set_evidences_nothing; tests/compliance_report.rs::statuses_follow_the_runs_present; tests/compliance_references.rs |
| 船舶集成：Signal K插件、OpenCPN门控数据流与评分面板、参考构建 | 在Signal K服务器中发布于navigation.gnss.kshana之下的信任度、分级、原因、门控状态和接收机上报位置，并带有warn、alarm和normal通知（integrations/signalk）；经门控的NMEA数据流，在信任度崩溃时将定位标记为无效，并每个周期输出一条PKSHT语句，由门控自身或一个小型中继经TCP提供给OpenCPN，以及读取PKSHT语句的原生OpenCPN评分面板（integrations/opencpn）；还有运行该门控的systemd单元和容器（deploy/reference-build）。这些组件显示输出之处均带有咨询性声明：仅供参考的软件，不是经型式认可的导航设备（IEC 61108、IEC 61162）：船舶航行的责任仍由操作人员承担。 | IntegrationRun | 已对照真实的宿主应用程序演练；集成运行不是独立的参考基准（oracle）——已核对的内容，严格限定：这些集成确实能与其所面向的真实软件协同工作。证据提交于integrations/signalk/evidence/README.md（及其JSON文件）和integrations/opencpn/evidence/README.md（及其截图和日志），各附有可复现它的脚本。（1）Signal K：插件加载到固定版本的signalk-server 2.33.0 npm包中，运行在私有的仅回环网络命名空间内，输入合成数据。服务器自身的REST和WebSocket接口显示了已发布的路径、评分元数据，以及一个在数据停止时依次经历无、warn、alarm、normal（保持期之后）再次变为warn的通知。由插件运行真实的kshana，处理服务器自身接收到的NMEA，通知先变为warn再变为alarm，且所报告的位置被发布；服务器自身的navigation.position由其NMEA提供程序写入，从不由插件写入。已对照实时JSON schema 1.2重新运行。（2）OpenCPN：插件对照OpenCPN插件API头文件和wxWidgets 3.2.4构建，在虚拟显示器下加载到OpenCPN 5.8.4的Ubuntu 24.04软件包中；OpenCPN加载了它，运行其初始化，并将受门控数据流的PKSHT语句交给它，面板在不可信等级上变红。在一次干净的运行中，当门控将定位解标记为无效时，OpenCPN自身的船位停止更新，其定位指示灯也熄灭。第二次运行直接由门控的TCP监听器供数，显示了向插件的投递，但没有给出干净的前后对比。（3）中继测试通过真实的TCP套接字重放受门控数据流的一段已记录摘录，并检查消费者收到的内容（字节不变，每条语句（包括被改写的语句）校验和有效，GGA与RMC一致，每个周期一条PKSHT，且在定位解无效处带有门控字段），端到端脚本则检查门控监听器的消费者收到的字节与同一门控写入标准输出的字节完全相同。（4）PKSHT解析器（JavaScript和C++）在由kshana输出记录下来的语句上运行，并拒绝错误的校验和、版本，或位于0至100之外的评分。（5）systemd单元以systemd-analyze verify（systemd 255，二进制文件为桩）检查，并带有针对ExecStart中的shell、重启策略和沙箱键的防护检查；容器入口点的参数处理以桩二进制文件检查。未核对的内容：这些集成所显示的任何数值都没有外部参考基准。信任值本身就是上面各行，集成运行只表明管线承载了它们；因此该行是MODELLED而不是VALIDATED（docs/VALIDATION.md）。未使用真实船舶、接收机、长时间运行、任一宿主的其他版本、其他操作系统或桌面环境；所有数据都是合成文本，这里没有任何内容是测量值。通知在真实Signal K客户端中的声音和视觉处理、OpenCPN的工具栏按钮、首选项和过期状态，以及面向OpenCPN插件管理器的打包均未演练。systemd沙箱键仅检查了语法，未在运行中的systemd下运行，容器镜像构建及其健康检查在此没有已提交的证据。不声明任何检测或虚警数值。仅供参考的软件，不是经型式认可的导航设备（IEC 61108、IEC 61162）：船舶航行的责任仍由操作人员承担。 | receiver_trust (live: the gate, its TCP listener, PKSHT); 本crate之外：integrations/signalk (JavaScript), integrations/opencpn (JavaScript relay, C++ native plugin), deploy/reference-build (systemd units, container) | tests/receiver_trust_live_cli.rs（门控及其TCP监听器，Rust一侧）；integrations/signalk/test/adapter.test.js、integrations/signalk/test/model.test.js和integrations/signalk/test/plugin.test.js（对已记录的合成输出进行的24项Node测试）；integrations/opencpn/test/relay.test.mjs（5项Node测试）；integrations/opencpn/test/e2e-live.mjs（真实二进制文件对TCP消费者，手动运行并在CI中运行）；integrations/opencpn/plugin/test/pksht_test.cpp和integrations/opencpn/plugin/test/trust_state_test.cpp（对PKSHT解析器和面板状态的C++ 检查）；deploy/reference-build/check-units.sh和deploy/reference-build/test-entrypoint.sh |
| BOC(1,1) 跟踪：DLL缩放与bump-jump模糊度解算（可选） | iq::track::LoopConfig的boc字段（可选，默认为None）：将三种DLL鉴别器重新缩放，使其以码片为单位读出码误差，并在正弦BOC(1,1) 主峰上具有单位斜率；以及一个位于极早和极晚相关器上、间隔为一个副载波半周期（0.5码片）的bump-jump监测器，当增减计数器达到N（默认8）时，将码NCO向主峰跳变。不启用该选项时，所有输出均不变。 | InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——对照注入的真值和闭式解的内部自洽，判据于6b68f6cc预先登记（docs/design/evidence/boc-bump-jump/）。由iq::scene生成的北斗B1C数据信号（PRN 19，5 MS/s）：关闭该选项时，从旁瓣起步的跟踪保持错误锁定在预测的 ±(0.5 + d/4) 码片处（实测 ±0.549）；开启后，在0.08 s时向主峰发生一次跳变，在45 dB-Hz下后期窗口RMS为0.0008码片，在35 dB-Hz下为0.0048码片；在35、40和45 dB-Hz下，4 s内没有从主峰发生的跳变；缩放后的EMLP斜率在采样信号上为0.94至0.99（未缩放时为3.6至3.8）。单独的bump-jump检测器，在带有精确BOC(1,1) 噪声协方差的相关器三元组上，在25至45 dB-Hz的100,000次更新中没有出现虚假跳变，并在35 dB-Hz下检测出1000次旁瓣起步中的1000次。NOT MET（发现F1）：预先登记的缩放单元测试网格包含鉴别器线性范围之外的偏移，在这些偏移处，缩放后的读数与偏移相差最多达48 %。未核对的内容：现场IQ、带限前端、复合MBOC/QMBOC复制信号，以及任何外部接收机。 | iq::track::boc (BocKind, BocTracking, BumpJump, boc11_dll_scale); iq::track::channel (the bump-jump taps and Channel::bump_jumps) | tests/iq_boc_bump_jump.rs (b1_b2_b3_side_peak_and_false_jumps_on_the_iq_chain, b4_scaling_on_the_sampled_signal, b5_false_jump_rate_and_detection_at_correlator_level)；iq::track::boc单元测试（b4_unit_grid_misses_are_the_recorded_ones：预先登记的B4单元测试判据保持原文，其已记录的未达标按发现F1断言） |
| 对照实测50 Hz GPS L1闪烁的IQ电离层闪烁信道（Cornell模型） | iq::channel::scint，即Cornell闪烁模型（Rice强度、二阶Butterworth谱、相位arg z），以实测窗口的S4和强度去相关时间驱动，并就其在这两个输入之外所生成的内容进行比较；realdata::scint50读取实测日志，去除趋势并运行该比较。 | ExternalDataset | 某一子论断经外部核对，但整项能力由建模的部分组合而成，因此该能力仍属于由模型计算得出——实测数据，判据于b6ccb499预先登记（xval/scint-malindi/）：Zenodo记录16941224（INGV，马林迪，2023年3月18日，GPS PRN 26，50 Hz强度和载波相位，CC BY 4.0，已核对SHA-256）。22个符合条件的60 s窗口（N1达到）。MET：强度分布（Kolmogorov-Smirnov D 0.0415，判据0.05）以及与S4关联的相位闪烁（实测与模型sigma-phi之比的中位数0.779，判据2/3至3/2）。NOT MET（发现F1）：模型的深衰落比例是实测的2.38倍（判据0.5至2），其平均衰落时长是实测的3.51倍（判据2/3至3/2）。发现F2：已登记的处理读取的是模型的缠绕相位，这是一次自检发现的；事后在相位解缠绕的条件下重复B3，得到0.804。未核对的内容：其他夜晚、测站、纬度或信号；模型中的接收机噪声。该行仍为MODELLED。 | iq::channel::scint (Scintillation, ScintParams); realdata::scint50 (parse_log, segments, measured_windows, model_windows, compare) | tests/iq_scint_malindi_measured.rs (cornell_model_verdict_is_the_recorded_one，已登记的结论按所记录的断言，发现F1；finding_model_fades_are_deeper_and_longer_than_measured；posthoc_b3_with_the_model_phase_unwrapped，仅报告；由KSHANA_SCINT数据控制，由scripts/fetch_scint_malindi.sh获取)；realdata::scint50单元测试（model_data_through_the_harness_shows_the_wrapped_phase_finding，发现F2） |
| IQ捕获中的单元平均CFAR选项 | iq::acq::ca_cfar和ca_cfar_cells（可选）：将捕获网格的一个单元与其多普勒行的参考单元均值（保护延迟和步进延迟，绕周期回卷）比较，所用因子alpha由M个非相干块的闭式CA-CFAR虚警概率（ca_cfar_pfa、ca_cfar_alpha）设定。采样功率检测器仍为默认，所有现有输出均不变。 | InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——闭式解，判据于3724aefa预先登记（docs/design/evidence/acq-cfar/）。Gamma(M) 单元的CA-CFAR虚警概率，对照精确模型的蒙特卡罗：18个情形中有18个在3个二项分布sigma以内。在iq::acq搜索的每个单元上（GPS L1 C/A，2.5 MS/s，每次210,000个单元），设计值为1 %：高斯噪声下为0.977 % 和0.969 %，2比特量化噪声下为1.006 % 和0.999 %（M = 1和4；判据为正负20 %）；输入被缩放时，判决不变。NOT MET（发现F1）：在无噪声的2比特信号上，检测及其单元是正确的，但峰值所在行的非峰值单元中有1.28 %（判据1 %）超过门限，原因是码的确定性相关旁瓣。未核对的内容：其他CFAR变体、二维窗口、带限前端、现场数据。 | iq::acq (CfarConfig, ca_cfar, ca_cfar_cells, ca_cfar_pfa, ca_cfar_alpha) | tests/iq_acq_cfar.rs (c1_closed_form_matches_monte_carlo_of_the_exact_model, c2_false_alarm_rate_on_gaussian_noise, c3_false_alarm_rate_on_two_bit_noise, c5_decisions_do_not_depend_on_the_input_scale；c4_noise_free_two_bit_signal_verdict_is_the_recorded_one，已登记的结论按所记录的断言，发现F1，由finding_noise_free_sidelobes_exceed_the_cfar_rate固定)；iq::acq单元测试ca_cfar_closed_form_reduces_to_the_textbook_case_and_inverts |
| 频谱模型：GLONASS、北斗和Galileo E6频段（可选） | spectrum::default_band仅按名称（MORE_BAND_NAMES）解析：每个FDMA频道K = -7至6上的GLONASS L1OF和L2OF（BPSK，0.511 Mchip/s），北斗B1I（BPSK(2))、B1C（MBOC(6,1,1/11)）、B2a和B3I（BPSK(10))，以及Galileo E6（BPSK(5))，其载波和最小接收功率取自各自的接口控制文件；默认频段集和所有现有输出均不变。 | InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——已发布的接口控制文件和闭式解，判据于5806f28b预先登记（docs/design/evidence/spectrum-bands/）：GLONASS ICD第5.1版，BDS-SIS-ICD B1I 3.0、B1C 1.0、B2a 1.0和B3I 1.0，Galileo OS SIS ICD第2.1期。MET：每个载波、码速率和接收功率均与转录一致（28个GLONASS信道），BPSK第一零点位于码速率处，B1C复合信号等于其ICD功率表给出的MBOC(6,1,1/11)，C/N0路径恒等式，以及逐字节一致的频谱场景。NOT MET：单位面积判据，按原文无法达到（发现F1；这些面积等于闭式的带内比例），以及IQ层B1I和B1C波形与模型包络的逐频点一致性（1.26和1.56 dB，对0.5 dB；发现F2；GLONASS为0.07 dB），原因是Gold码和Weil码的线谱不均匀；按频带平均，主瓣在0.25 dB以内一致。未核对的内容：已记录的IQ、其他信号、系统内干扰。 | spectrum (default_band, MORE_BAND_NAMES, GLONASS_CHANNELS) | tests/spectrum_more_bands.rs (s1_new_bands_carry_their_icd_values, s2_nulls_and_b1c_parts, s4_cn0_paths_agree_on_the_new_bands；s2_closed_form_densities_verdict_is_the_recorded_one，发现F1，由finding_s2_areas_are_the_closed_form_in_band_fraction固定；s3_iq_layer_verdict_is_the_recorded_one，发现F2，由finding_s3_per_bin_errors_follow_the_code_line_spectrum固定；posthoc_s3_band_averaged_shape，仅报告) |
| 对照LSIS-AFS V1.0检验LunaNet AFS三次码与电文层（SB1 BCH、CRC-24Q、交织器） | iq::signals::lunanet::afs_q_tertiary_bits、afs_q_tiered；iq::lunanet_afs：同步图样、SB1 BCH(51,8) 编码器与256假设解码器、CRC-24Q、60 x 98分组交织器、符号流检查器（kshana lunanet-afs-check），以及带占位子帧的测试流生成器。子帧2至4的码率1/2 LDPC编码尚未实现（其矩阵位于另一附件中）。 | ExternalDataset | 某个子论断已得到外部核对，但整个能力由多个由模型计算得出的部分组合而成，因此该能力仍为由模型计算得出——LSIS-AFS V1.0（同上）：长度1499的Legendre序列（表E-1，完全一致）以及第三级码的前后各24个码片（表E-2至E-6：420列中的419列一致；文件为PRN 147和PRN 151印出了相同的最后24个码片A14850，而生成器复现了PRN 151的那一个，因此PRN 147的条目很可能是印刷错误；420列中420列全部一致的判据为NOT MET，该未达标项已被固定）；SB1码的图8实例（一个实例：0x045编码为0x229F61DBB84A0）；对ASCII 123456789的CRC-24Q对照目录校验值0xCDE703；文件自身的帧算术。判据在b3ba5d5处预先登记。电文层有一项未达标记录和一个实例，因此该行仍为MODELLED。未核对内容：子帧2至4中的LDPC和CRC字、电文内容以及任何已记录的数据流 | iq::lunanet_afs; iq::signals::lunanet (afs_q_tertiary_bits, afs_q_overlay_bits, afs_q_tiered); surface (lunanet_afs_check_spec, lunanet_afs_check_symbols, lunanet_afs_generate) | tests/lunanet_afs_codes.rs (b4_legendre_1499_matches_and_tertiary_codes_match_except_one_printed_column, the_spec_check_reports_every_bar_and_pins_the_b4_miss)；iq::lunanet_afs::tests (sb1_round_trips_every_field_and_corrects_flipped_symbols, generated_streams_pass_and_damage_is_found)；tests/lunanet_afs_cli.rs |
| 标准包：对照运行前已声明的判据进行评分的场景 | standards_pack（kshana standards-pack）：DHS Resilient PNT框架针对1至4级的测试配置、IMO MSC.1/Circ.1575精度等级与完好性评估，以及ICAO Doc 9849附录F的监测、评估与缓解包：每项测试运行一种内置场景类型，并将结果字段与包中声明的判据比较，需要接收机日志的测试列为NEEDS INPUT，不予评分。 | InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——场景结果没有任何外部核对：每项证据包测试运行的都是MODELLED场景类型。判据是证据包作者所述的配置（DHS框架未给出数值；IMO精度限值取自MSC.1/Circ.1575的表C-1，已通读；ICAO证据包遵循ICAO自己的RFI Mitigation Plan演示文稿，因为Doc 9849是付费出版物，未曾阅读），在任何评分运行之前，已提交于standards/ 下xval风格的PREREGISTRATION.md文件中。MET的判据只表明某个建模场景达到了所述判据，并不说明任何关于产品的事 | standards_pack; compliance (standards-pack facts in compliance-report) | tests/standards_packs.rs (pinned_outcomes：每项测试的状态，包括未达标的L4-T1和四项IMO精度测试)；standards_pack::tests |
| 实验室往返证据包（场景、测试条件、接收机日志、评分） | evidence::roundtrip（kshana evidence round-trip）以及kshana bench-export的kshana.test-conditions/1接收机日志导出：一个已签名的证据包，记录场景哈希、所声明条件的哈希、日志哈希以及对照所声明事件的评分，并拒绝与评分事件不一致的条件，或哈希不是所声明哈希的日志。不写入、重放或调度任何信号。 | InternalConsistency | 对照自身的闭式解／解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——没有任何外部核对：证据包链接散列值和一项MODELLED的接收机日志评分，在合成数据上核对（将内置场景导出的NMEA当作接收机的日志）。不声明任何实验室运行 | evidence::roundtrip, evidence::assemble, interop::testbench (write_conditions_json), iq::campaign::conditions | tests/round_trip_pack.rs (pack_links_scenario_conditions_log_and_score_and_verifies, conditions_that_disagree_with_the_scoring_events_are_refused, a_stated_log_hash_that_does_not_match_is_refused, published_schema_names_every_field_the_engine_writes) |
| 在独立录制数据上对照GNSS-SDR 0.0.19检验IQ跟踪引擎 | 完整的IQ层跟踪引擎（经kshana iq track使用iq::track：捕获交接、相关器、NCO、二阶15 Hz Costas PLL、一阶2 Hz载波辅助EML包络DLL、锁定指示器和C/N0估计器），用于30至45 dB-Hz的GPS L1 C/A。 | ExternalDataset | 某一子论断经外部核对，但整项能力由建模的部分组合而成，因此该能力仍属于由模型计算得出——GNSS-SDR 0.0.19（GPL-3.0-or-later，Ubuntu 24.04软件包，作为独立程序运行；仅提交导出的数值）跟踪同一批numpy录制数据（独立于引擎），二者均对照解析真值测量。判据于48edd4a5预先登记，并在任何测试录制之前于1e4288c4作了修订（两台接收机都仅在牵入期间使用10 Hz的FLL，原因是已登记的校准因GNSS-SDR的交接错误而失败，发现F3）。在30、35、40和45 dB-Hz下MET：载波抖动在GNSS-SDR的4.3 % 以内，码抖动在4.6 % 以内，多普勒均值和离散度亦然。NOT MET：引擎的NWPR C/N0读数比GNSS-SDR的SNV低2.3至7.1 dB（发现F4，已知的NWPR局限；其M2M4与真值相差在0.06 dB以内）；相位锁定指示器按定义不同（F5）；在30 dB-Hz下，GNSS-SDR发生两次周跳而引擎没有（F6）。GNSS-SDR自身的交接在30次校准运行中有3次锁定到错误频率。未核对的内容：其他信号、数据比特剥离、重新捕获、现场录制。该行仍为MODELLED。 | iq::track (Channel, LoopCore, design); iq::cli::track | tests/iq_track_gnss_sdr_oracle.rs (calibration_passes_for_both_receivers, registered_bars_give_the_recorded_verdict, recorded_numbers_are_pinned)，基于tests/fixtures/iq_track_gnss_sdr_oracle/make_fixture.py导出的数值 |
| 对照独立numpy重新计算检验压制干扰类型中的CRPA天线增益 | 压制干扰类型的可选 [crpa] 段：对每颗卫星的逐通道波束（以干扰源为零陷的零陷转向，或基于sigma^2 I + P_j a_j a_j^H的MVDR），在现有的抗干扰C/N0公式之前，以 ||w||^2缩放每条链路的噪声，并以 |w^H a_j|^2缩放干扰。 | ReferenceImpl | 对照本代码库中另一套独立实现核对——独立于被测单元，但不具外部权威性——对4元方形阵列的压制干扰演示几何的每一环节（两种加权方式下），以独立的numpy重新计算（xval/crpa-jamming/oracle.py，无共享代码：numpy导向矢量、numpy.linalg.solve和inv）。判据于08d83b4d预先登记。MET：A1（无该部分时全部150个场景结果逐字节一致，这是修复之后的结果：首个构建曾将crpa单位加入每次压制干扰运行的单位表）、A2（一个阵元与无阵列相差不超过1e-12 dB）、A3对阵列噪声增益和有效C/N0（912个链路加权在1e-9 dB以内，最差2.1e-14 dB）以及对零陷导向的干扰机零陷（两侧均低于 -200 dB）、A4（在80 dB的JNR下，MVDR与零陷导向相差在0.1 dB以内）。NOT MET：A3对MVDR干扰机增益，在0.36可移植数学库上，456条链路中有194条超过1e-9 dB（在主机数学库上为202条；docs/revisions/STUDIO15-batch4-rebaseline.md）（最差1.7e-6 dB），出现在 -100至 -188 dB的残差上，此处float64的相消限制了两种实现（numpy的inv和solve在169条链路上彼此不一致，最差7.9e-7 dB）；由这些供给的有效C/N0不受影响。未核对的内容：互耦、阵元失配、宽带处理、多个干扰机、任何天线硬件。这是对同一组方程的重新计算，不是外部参考基准；该行仍为MODELLED。 | jamming (CrpaCfg, crpa_weights, run_jamming); crpa (null_steering_weights, mvdr_weights, covariance) | tests/jamming_crpa.rs (a1_crpa_units_only_with_the_section, a2_one_element_is_no_array, a3_verdict_is_the_recorded_one, a4_mvdr_tends_to_the_null_at_high_jnr)，对照由xval/crpa-jamming/oracle.py生成的xval/crpa-jamming/expected.json |
| 在真实SRTM图幅上，对照独立numpy重新计算检验压制干扰类型中干扰源的地形遮蔽 | 压制干扰类型的可选 [terrain] 段：在SRTM .hgt图幅上取干扰源与接收机之间的大圆地形剖面，含k因子地球隆起，取主导刃形边缘（最大的Fresnel-Kirchhoff nu）以及ITU-R P.526-15第4.1节的单刃损耗，并从干扰源的接收功率中扣除。 | ReferenceImpl | 已对照本代码库中另一套独立实现核对——独立于被测单元，但不具有外部权威性——对位于Badwater Basin的接收机周围十个干扰源布设，在已提交的真实SRTM图块tests/fixtures/terrain/N36W117_sub6.hgt上做的独立numpy重新计算（xval/jamming-terrain/oracle.py，不共享代码：它自己的 .hgt读取、双线性插值、WGS 84往返、剖面、地球曲率凸起、nu和J(nu)）。判据和布设在92cd2bfd处预先登记。全部MET：可加性（没有该部分时，全部150个场景结果逐字节相同）；每个布设的剖面点和障碍物相同，nu和损耗在1.6e-10以内（判据1e-9）；干扰源由2 m升至4902 m的过程中，损耗从不上升；损耗使每个J/S恰好降低其自身大小，而不影响其他任何量；J(nu)与基准（oracle）相差在1e-12 dB以内。发现：越过Black山和Funeral山的布设损失44至48 dB；两个谷底布设仅因地球曲率凸起，在2 m天线高度下就损失8和15 dB，这是单刃峰模型的擦边情形。未核对内容：任何实测传播、多刃峰绕射、地面反射、杂波以及DEM自身的误差。这是对同一模型的重新计算，而不是外部基准（oracle）；该行仍为MODELLED。 | jamming_terrain (TerrainCfg, jammer_terrain, knife_edge_loss_db); jamming (run_jamming_sky) | tests/jamming_terrain.rs (b1_terrain_units_only_with_the_section, b2_every_placement_matches_the_independent_numpy_recomputation, b3_the_loss_never_rises_as_the_jammer_rises, b4_the_loss_reaches_every_js_and_nothing_else, b5_the_knife_edge_function_matches_the_reference_expression)，对照由xval/jamming-terrain/oracle.py生成的xval/jamming-terrain/expected.json |
| 对照独立重新计算检验压制干扰类型中的捕获迟滞与前端量化器 | 压制干扰类型的可选 [acquisition] 段（卫星在重新捕获延迟之后，于不低于捕获门限时被捕获，并在不低于跟踪门限时保持）与 [front_end] 段（AGC读数10 log10(1 + J/N)，以及ADC的高斯输入量化损耗，两者从每条链路中扣除，并标注对非高斯干扰源无效）。 | ReferenceImpl | 已对照本代码库中另一套独立实现核对——独立于被测单元，但不具有外部权威性——根据引擎每个历元的有效C/N0，对每一个捕获标志做的独立Python重新计算（xval/jamming-acq-agc/hysteresis.py）、对量化器损耗做的独立numpy蒙特卡罗（xval/jamming-acq-agc/quantiser_mc.py，它自己的最优步长搜索，2^22个样本），以及IQ层的AGC环路。判据在70c72fcc处预先登记，并附有一组在37793290处设定的补充运行。MET：可加性（没有这些部分时，全部150个场景结果逐字节相同）；补充运行上每个标志都相同（1824条链路，其中732条表现出迟滞）；随阈值单调；量化器损耗在1至4比特处与蒙特卡罗相差在0.0007 dB以内（判据0.02 dB）；AGC读数与AGC环路相差在0.012 dB以内（判据0.05 dB）。NOT MET：已登记的迟滞运行（10至30 dBW的jamming-demo）没有提供信息，每条链路都已丢失，它们的H2和H4仅在平凡意义上达到。发现：在CW干扰源下，1比特ADC的损失比引擎所采用的高斯数字多约5 dB，并被标记为无效。未核对内容：捕获搜索本身、AGC随时间的动态、任何接收机硬件。这是对同一模型的重新计算，而不是外部基准（oracle）；该行仍为MODELLED。 | jamming_rx (AcquisitionCfg, AcqState, FrontEndCfg, front_end); jamming (run_jamming_sky); iq::frontend::quant (optimum_step_sigma) | tests/jamming_acq_agc.rs (h1_g1_units_only_with_their_section, h2_no_hysteresis_is_no_hysteresis, h2s_no_hysteresis_is_no_hysteresis_on_the_supplementary_runs, h3_flags_match_the_independent_recomputation, h3s_flags_match_the_independent_recomputation_on_the_supplementary_runs, h4_monotone_in_the_acquisition_threshold, h4s_monotone_in_the_acquisition_threshold_on_the_supplementary_runs, g2_quantiser_loss_matches_the_independent_monte_carlo, g3_agc_reading_matches_the_iq_layer_agc_loop)，对照xval/jamming-acq-agc/expected_hysteresis.json、expected_hysteresis_s1.json和expected_quantiser.json |
| 低于默认设计FLL到PLL交接下限的封顶FLL牵引（可选） | iq::track的可选carrier.fll_pull_in_max_s（iq::track::LoopConfig的fll_pull_in_max_s字段）：在fll_assist = pull-in下，无论PLI如何，FLL都在固定的牵引时间之后交接给PLL，并带有一段对应的返回驻留，直到PLI首次达到fll_off_pli。 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——对照注入真值的内部一致性：一个合成的、不含数据的GPS L1 C/A源（PRN 13，1500 Hz，4.1 MHz，8 s，十个噪声随机种子），其载波相位已知，判据在58789af0处预先登记（docs/design/evidence/fll-handover-floor/）。MET：对照组（不设上限的默认设置在33 dB-Hz下，10个随机种子中有9个从不切换）；可加性（默认哈希和现有的跟踪测试均不变）；在45 dB-Hz下对偏差100 Hz的切换做牵入。NOT MET：设1.0 s上限时，每次运行都完成切换并保持（在33 dB-Hz下为20次中的16次，在31 dB-Hz下为20次中的8次；其余的在强制切换与FLL的返回之间循环），以及相位抖动在单独PLL的25 %以内（在33 dB-Hz下为10.8对6.1度）。未核对内容：数据比特、其他信号和采样率、现场录制。默认设置不变；该行仍为MODELLED。 | iq::track (LoopConfig, FllGate, design); iq::track::channel (the FLL gate) | tests/iq_fll_handover_floor.rs (registered_bars_give_the_recorded_verdict, d1_the_key_is_part_of_the_hash_only_when_set, d4_the_capped_design_pulls_in_a_100_hz_handoff_error)，基于tests/fixtures/fll_handover_floor/results.csv |
| 用于receiver-trust的RTKLIB .pos解文件读取器 | 将RTKLIB解文件（日历或GPS周/TOW时间、纬度/经度或ECEF位置、所用卫星数）读入receiver-trust时间线（receiver_trust::machines::rtklib）。 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——没有任何外部依据：没有读取任何由RTKLIB生成的文件，列布局取自RTKLIB手册。仅在自行编写的文件上做了核对；ECEF转换复用frames::ecef_to_geodetic，后者有自己的行 | receiver_trust::machines::rtklib (read_rtklib_pos); receiver_trust::LogFormat::RtklibPos | receiver_trust::machines::rtklib::tests（经纬度历元、周/TOW和ECEF、度分秒被拒绝、恶意输入）；tests/receiver_trust_machines.rs::rtklib_pos_runs_as_a_receiver_log；integrations/gnss_lib_py/test_bridge.py |
| 用于receiver-trust的NovAtel OEM7 ASCII与二进制日志（BESTPOS、RANGE、RXSTATUS） | 从ASCII和二进制OEM7日志中读取BESTPOS（位置）、RANGE（每个信号的C/No）和RXSTATUS（接收机的干扰标志，作为该历元的自报告），带CRC检查，只读（receiver_trust::machines::novatel）。 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——作为通过判据没有任何外部依据。字段布局和CRC依据公开的OEM7文档（docs.novatel.com）；CRC例程曾对照文档为其自身BESTPOSA示例所给出的CRC核对过一次（引用而非照录）。夹具是自行编写的；没有读取任何来自真实接收机的日志 | receiver_trust::machines::novatel (read_novatel, novatel_crc32); receiver_trust::LogFormat::Novatel | receiver_trust::machines::novatel::tests（固定的CRC、ASCII和二进制记录、跳过错误的CRC、恶意输入）；tests/receiver_trust_machines.rs::novatel_jammer_flag_reaches_the_receiver_self_report |
| 用于receiver-trust的RTCM 3 MSM4和MSM7载噪比读取器 | 从帧流中读取RTCM 3 MSM4和MSM7消息（GPS、GLONASS、Galileo、SBAS、QZSS、北斗、NavIC）每个信号单元的C/N0，带CRC-24Q检查（receiver_trust::machines::rtcm3）。布局来自BSD许可的pyrtcm表格，而不是RTCM标准文本。 | ReferenceImpl | 已对照本代码库中另一套独立实现核对——独立于被测单元，但不具有外部权威性——一次性检查中的ReferenceImpl，而不是测试套件中的测试：pyrtcm 1.2.0的解码器读取同样的自行编写的帧，得到相同的C/N0和历元时间。它与该读取器共用其各表的来源，因此检查的是比特处理，而不是布局。没有读取任何来自真实接收机或基站的捕获数据 | receiver_trust::machines::rtcm3 (read_rtcm3, crc24q); receiver_trust::LogFormat::Rtcm3 | receiver_trust::machines::rtcm3::tests（CRC-24Q目录校验值、MSM4/MSM7的C/N0与历元合并、GLONASS时间和SBAS标识映射、错误的CRC和其他消息） |
| 用于receiver-trust的GNSS-SDR监测适配器 | 读取GNSS-SDR Monitor（Gnss_Synchro）和PVT监测消息（以proto字段名转发为JSON行），得到逐通道的C/N0、定位、所用卫星数、HDOP和天空图（receiver_trust::machines::gnss_sdr；integrations/gnss-sdr/relay.py）。 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——没有任何外部依据：字段名取自GNSS-SDR文档；读取器和relay.py都没有对照运行中的GNSS-SDR或真实捕获数据运行过 | receiver_trust::machines::gnss_sdr (read_gnss_sdr_monitor); receiver_trust::LogFormat::GnssSdr | receiver_trust::machines::gnss_sdr::tests; integrations/gnss-sdr/example.jsonl |
| IMU日志导入、陀螺航向输入，以及混合传感器参数的Allan拟合 | 读取IMU CSV（文档化的列，或EuRoC布局）；将偏航角速率积分为航向-航迹监测器所读取的航向（[log.imu]）；并通过重叠阿伦偏差，由静止日志拟合混合与融合场景的加速度计和陀螺噪声参数（imu-fit）。 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——没有任何外部依据：拟合是在系数已知的合成白噪声日志上核对的，航向是在恒定偏航率日志上核对的。没有对真实的IMU日志做过拟合，且q_aa未拟合 | receiver_trust::machines::imu, imu_fit; surface::imu_fit; scenario [log.imu] | receiver_trust::machines::imu::tests; receiver_trust::machines::imu_fit::tests（已知的白噪声系数在10 %以内被恢复、拒绝、TOML可解析为AccelCfg）；tests/receiver_trust_machines.rs（航向一致与不一致、内联载体、imu_fit） |
| 用于信任遥测的Home Assistant MQTT发现与状态导出器 | 一份JSON状态文档和Home Assistant MQTT发现消息，用于信任数据流；在所有界面上以文本打印，并由命令行通过MQTT 3.1.1 QoS 0发布（telemetry::mqtt；trust-telemetry --mqtt-tcp、--print-mqtt、format mqtt）。 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——没有任何外部依据：数据包是由为该测试编写的回环监听器读取的，而不是由真实的代理（broker）读取的，Home Assistant也没有运行 | telemetry::mqtt (discovery, state_json, connect_packet, publish_packet, MqttSink); surface::TelemetryFormat::Mqtt | telemetry::mqtt::tests（数据包字节、回环代理、失效的代理被计数）；tests/receiver_trust_machines.rs::trust_telemetry_mqtt_text_has_discovery_then_state |
| ROS 2 receiver-trust包与gnss_lib_py桥接 | 一个不依赖ROS的桥接，将定位和卫星消息写成NMEA，并通过Python绑定评分（integrations/ros2/kshana_trust），以及一个经由rtklib-pos格式将gnss_lib_py NavData接入receiver-trust的桥接（integrations/gnss_lib_py）。 | InternalConsistency | 已对照其自身的闭式/解析恒等式核对——可发现转录和系数错误，但不是外部参考基准（oracle）——没有任何外部依据：ROS节点没有在运行中的ROS 2图上运行过，ublox_ubx_msgs的字段名也没有对照运行中的驱动核对。桥接测试运行了gnss_lib_py（MIT） | integrations/ros2/kshana_trust (bridge.py, trust_node.py); integrations/gnss_lib_py/kshana_gnss_lib_py.py | tests/receiver_trust_machines.rs（rtklib_pos_runs_as_a_receiver_log：gnss_lib_py桥接写出的格式，经receiver-trust运行）；各桥接的Python测试为integrations/ros2/kshana_trust/test/test_bridge.py（带模拟引擎的桥接）、integrations/ros2/kshana_trust/test/test_engine_integration.py（真实的wheel把稳定的定位结果评为正常，把1.1 km的跳变评为不可信）和integrations/gnss_lib_py/test_bridge.py（真实的gnss_lib_py 1.1.0与该wheel），用pytest运行，而不是用cargo运行 |
221项能力被标为MODELLED。