改变顺序，
保持决策不变。

冻结的骨干权重

Token ID [B, T] → 隐藏状态 [B, T, d]。Qwen2.5-0.5B 使用 d=896；归档的 Qwen-72B 和 LLaMA-70B 特征使用 d=8192。这里的 Qwen-2B 是 Qwen3.5-2B。LLaMA-3.3-70B 是请求目标；保留的提取元数据标识 LLaMA-3.1-70B，因此这些测量不能验证 3.3 检查点。冻结意味着不进行骨干微调；监督下游头和空间动力学仍需要拟合。

空间输入 · d=64 + 16

这些是工程化的空间特征，并非从 Transformer 隐藏状态投影而来。经评估的空间配置将 z 和 a 拼接为 [B, 80]。该类支持可配置的状态和行动维度。

隐藏状态读出 · [B, T, d] → [B, d]

从前向计算读取隐藏状态而不生成答案 token。池化方式取决于编码器；归档的大模型特征使用末尾 token 池化。CPU 候选选择路径还会使用 提示缓存 评估候选续写。因此，零输出 token 并不意味着只调用一次骨干或没有推理成本。

语义评分 · 标量风险

对每个请求窗口，从 log P(" dangerous") − log P(" safe") 中减去空请求对数几率。按三个演示顺序求平均；使用风险最高的重叠窗口并应用 sigmoid。该语义门控不使用新训练的神经安全分类器。标签 logits 来自冻结模型；它不会生成解释。

残差空间动力学 · 80 → 64

neural_dynamics.py 使用带 LayerNorm 和 GELU 的残差 MLP。单独学习的 sigmoid 结果/奖励头返回 [B]；它仍在当前代码中，并且不同于冻结的语义风险门控。该类默认隐藏宽度为 128，包含两个残差块；以检查点配置为准。

选择几何 · k 个行动 → k−1 个维度

gen-zero-model / choice_head.rs 对稳定 ActionId 排序，将共享表征投影到正单纯形 ETF 上，按规范顺序评分，并将概率映射回调用方顺序。定义明确的决策依赖唯一 ID、有效维度、有限输入和确定性平分处理。乱序时，候选成员、身份和共享表征必须保持不变。

对齐与融合是独立路径

正交 Procrustes 使用 XᵀY 的 SVD 得到 R=UVᵀ。GeometricLatentFusion 将该映射存为诊断信息；其特征使用配对 SVD 轴、尺度匹配的核心平均值和残差。监督头从标签学习。PubMedQA 的获胜路径组合归一化头 logits，而不是 Procrustes 坐标：0.75 Qwen + 0.25 LLaMA。

实时阈值和诊断 τ=0.50

已提交的服务使用两个边界：0.4494 用于升级，0.7620 用于硬停止。τ=0.50 是论文的二元分析阈值，而非实时策略。在存储的 36 个案例上，它标记 18/18 个危险请求和 7/18 个良性请求；实时层级对危险案例产生 12 次停止 + 6 次升级，对良性案例产生 9 次升级。

NaN / Inf 安全边界 · v0.1.0 故障阻断

v0.1.0：全六引擎 F01–F09 Fail-Closed 防线通过 11/11 项测试。形式化故障阻断门控拒绝非有限的无效结果。浏览器锁存器演示安全契约；软件测试不构成物理电机停止行为的认证。

乱序结果 · 已测量、范围明确

保留的直接 Rust 基准在穷举小集合排列和带种子的较大集合乱序中观察到 0/16,232 个身份翻转 (0.00%)；对齐后的最大概率漂移为 5.96 × 10⁻⁸。在实现的有效输入假设下，规范排序消除了对菜单顺序的依赖。这不是对语义正确性的证明，也不证明对候选内容、提示上下文或模型输出变化保持不变。页面的乱序实验场是教学模拟。

评估 · 选定配置

PubMedQA 选中 fuse0.75+bbp|raw（双头归一化 logit 融合）。Aegis Track A 选中 llama+bbp|raw（单模型头）。这些是描述性本地测试结果，不能证明 SOTA 或普适的对齐增益。双任务宏平均自助法置信区间包含零。

风险证据 · 小型精选套件

AUC 为 0.944444，来自 18 个危险和 18 个良性存储请求。在 τ=0.50 时，危险召回为 18/18，并有 7 个良性标记。裸 chmod 回归探针仍为漏检。实现记录真实计算时间；缓存提示可减少重复设置，但不会消除推理延迟。

调度契约 · 拟议、未部署

拟议的监视器将在调度前验证预测状态、分数和形状；无效值将设置持久化停止状态，在受控重置前阻止后续模型调用和行动。这描述的是所需的硬件安全边界，而不是当前代码库中经过验证的物理锁存器。