[docs] (P7): ID-P7-46 - M2 round 2 lands on the integrator's own review, the memo handle-reuse ABA is closed

MobileGL/MG_Remote/CONTRACT-P7.md

@@ -174,4 +174,5 @@ verify **在 wave 3 之前**只在 monolith 臂注册（`MG_IntegrationTest/CMak
 - **V1 留下的记录债（`notes/p7/verify-split.md` §6，ID-P7-37）**：verify 在 spawn 上需要一个跨进程的比对形状（server 把读到的字段值随回复带回、client 比），门 2 的文本是 `{monolith, split(inproc)}`；server `ReadPixels` 窗口里 pack 半边的字段级盲区很窄（只有恰等于中性 pack 的错推送不可见）；DirectGLES × split 上四条 Magma decline 契约用例按名从 verify-split 车道减掉——Espryt 是否 decline 这些形状归 P3b / P4b。
 - **F 片 1–3 之后（`notes/p7/ph-f.md` §4，ID-P7-37）**：`wireFingerprint` 随 `Welcome.dataNonce` / `DataBind` 变更（`0x7d4470f241d23539` → `0x03c4c293a54b3e08`），新 server 对旧 client 回 `Refuse{WireFingerprint}`，旧 server 对新 client **没有 Refuse 帧**（旧 `AcceptPair` 等第二条连接 2000 ms 后关闭，client 只见 `no Welcome … (rc=6)`）——设备上的 server 必须随下一个 APK 重部署；D11 五处 + PH-2、PH-6、PH-1 (3)(4)、PH-7 (5)（fork 前认证）未做，前置是一个能向 spawn / TCP server 投递畸形记录的对端字节驱动（fuzz 臂 2 的第一块），包 **F2**。
 - **F 修复轮之后的两条小债（集成者审查，ID-P7-44）**：`ServerMain.cpp` `RunSession` 在 `Accept()` 返回到 `close(sourceFd)` 之间，supervisor 已转发的一条 DataBind 随 child 队列关闭而得不到具名拒绝（微秒级窗口）；`protocol_revision_pin.py` 对 `protocol.fbs` 的注释 / 空白改动同样要求 bump（严格、有意）。
+- **M2 r2 的代价（集成者审查，ID-P7-46）**：wire store 的 destroy epoch 进了 `UniformManager` 的两个 descriptor memo，所以每次销毁事件之后同 program 的第一笔 draw 多一次 descriptor set 分配 + 写（bsl 整跑 ~2.6 万次销毁 / 130 万次调用），并把 §6.1 的长帧内 descriptor set 增长每事件多推一个 set——这是 M3 的分母，不是新债；`ServerSpawn.cpp` 放行名单（`WIRE_DEFERRED_MB` / `SPIN_US` / `SERVER_AFFINITY` / `AUDIT`）之外的 `MOBILEGL_IPC_*` 仍被清洗，都是协议形状（双方必须一致）或 client 读的值，不记债。
 - **Ph 簇 F 的两处预认证暴露**（wave 2-F 之前就在树上，F 修复轮审查核实，归 PH-7 (5)「有界的预认证工作 + 失败退避」，P7 之后）：(a) TCP supervisor 对每条连接**先 fork 再读 Hello**（`ServerMain.cpp` `RunSession`），未认证对端每连接可让 server 付出一次 fork + 最长 10 s 的 Hello 等待；(b) `ValidatePeerHandshake` 在 `AuthenticatePeerToken` **之前**跑，`Refuse{ProtocolVersion|WireFingerprint|BuildFingerprint}` 把本端 wire 指纹与 build stamp 送给了未认证的对端。同一轮记下的本地对端债：unix 端点仍按到达顺序配对（`AcceptPair` 250 ms / 2000 ms 窗口），抽象命名空间套接字没有 mode bits，「只有本 app 能连」靠 SELinux 域隔离而非传输层。**指纹不对称**（§10 第 3 条的 `wireFingerprint` 变化）：新 server 对旧 client 回 `Refuse{WireFingerprint}`；旧 server 对新 client **没有任何 Refuse 帧**——旧 `AcceptPair` 等第二条连接 2000 ms 后关掉两条，client 只看到 `no Welcome ... (rc=6)`，即设备上的 server 未随本次构建重装。细节 `notes/p7/ph-f.md` §2.2 / §6.4。

docs/Disaggregated/CURRENT_STAGE_STATUS.md

@@ -4,7 +4,7 @@
 
 **阶段：P7 DirectVulkan（Magma）全量迁移**，并行流 **P3b/P4b 深化（Espryt，wave 2-D）** 与 **Ph 小件（簇 F）**。计划 [`notes/p7/PLAN-PH-P34B-P7.md`](notes/p7/PLAN-PH-P34B-P7.md)（五波）。
 
-**更新：2026-09-22 夜（集成者会话收尾）** · 交接清单 [`notes/p7/HANDOFF-2026-09-22.md`](notes/p7/HANDOFF-2026-09-22.md)；在跑 agent 的报告落到 WSL `~/w7/notes/handoff/`。`origin/feat/disaggregated` 推到集成树头（B3 修复 r2/r3、V1 修复轮、B2 r3/r4、M2、F 修复轮；门全绿）；**M2 审查的 must-fix（memo 句柄复用 ABA）由 M2 r2 关闭，落地前 wire 臂有一处已知可达点**（ID-P7-43）。
+**更新：2026-09-22 夜（M2 r2 落地，ID-P7-46）** · 交接清单 [`notes/p7/HANDOFF-2026-09-22.md`](notes/p7/HANDOFF-2026-09-22.md)；在跑 agent 的报告落到 WSL `~/w7/notes/handoff/`。`origin/feat/disaggregated` = 集成树头（B3 修复 r2/r3、V1 修复轮、B2 r3/r4、M2 + **M2 r2**、F 修复轮、X2；门全绿）；M2 审查的 must-fix（memo 句柄复用 ABA）**已由 M2 r2 关闭**（ID-P7-46）；V1 修复 r2 落地中（ID-P7-47）。
 
 ## 1. 出口门总览（CONTRACT-P7 §8 的 9 项分母）
 
@@ -45,7 +45,7 @@
 | B3 修复轮 | 审计剥注释 / 字面量 + 按块回溯 + `--self-test`、spawn 无 server 日志 FATAL、注记双行 + `WaitForFrameSerial` 债 | `origin@87584d0b`（审查 land with fixes → 修复 r2 在跑，ID-P7-38） |
 | F 片 1–3 | 常量时间令牌 / ≥16 字节 / 无令牌只 loopback / smoke 进 CI；`Welcome.dataNonce` 绑定（TCP 250 ms 配对窗口消失，指纹变更）；PH-8 钳制证明 | `origin@87584d0b`（审查 land with fixes → 修复轮在跑，ID-P7-39） |
 | E1 | Iris 普查 231/231 全活、70/77 逐字节同、P9 例外表空；§7.2 同名重跑 24 绿 / 3 具名停止 / 0 错答 | `origin@87584d0b`（docs only，ID-P7-38） |
-| M2 | 孤儿 wire store 在 defer 路径回收 + `MOBILEGL_IPC_WIRE_DEFERRED_MB` 水位线 + 1,024 计数上限 + `wbuf[]` 计量 + `MagmaWireReclaimScenario`；主机 bsl spawn server 825 → 546 MiB、映射 41k → 5.8k | pipe `b81a8827..7d131527`（门全绿 magma 100 / 79 / 71，审查在跑，ID-P7-42） |
+| M2 | 孤儿 wire store 在 defer 路径回收 + `MOBILEGL_IPC_WIRE_DEFERRED_MB` 水位线 + 1,024 计数上限 + `wbuf[]` 计量 + `MagmaWireReclaimScenario`；主机 bsl spawn server 825 → 546 MiB、映射 41k → 5.8k | pipe `b81a8827..7d131527`（门全绿 magma 100 / 79 / 71，审查 land with fixes，ID-P7-43）；**r2** = memo destroy-epoch，must-fix 关闭：pipe `4d207468..f62703e9` + parity `1ab62ece`（门全绿 magma 101 / 80 / 71，集成者审查 land，ID-P7-46） |
 | F 修复轮 | hand-off 端绑定后关 + `MSG_DONTWAIT`（多余 DataBind 具名拒绝）、listener 绑定后关、`sha256(protocol.fbs)` 钉到控制修订、定宽令牌比较、超额 Hello 记警、`MalformedHello`、文档更正 | pipe `0293aebb..9cea5140`（门全绿，集成者审查 land，ID-P7-44） |
 | B3 修复 r3 + B2 r4 | 审计跨 `#endif` 只放行 disagg 守卫 + 缩进 `#else` 停走（16/16）、`EVIDENCE` 保护、tcp 信息；窗口腿独一底色、去死合取项、按符号引用 | pipe `bd849b28..4b96f55d`（门全绿，集成者审查 land，ID-P7-44） |
 
@@ -59,19 +59,19 @@
 
 | 包 | 内容 | 状态 |
 |---|---|---|
-| B2 r3 审查（fable） | transport 门控的真值域、默认 framebuffer pre-pass 的解析、新腿的读面 | 进行中；代码已在 pipe（ID-P7-40） |
-| B3 修复 r2 审查（fable） | 剥注释 / 字面量的边界、块回溯规则、自测覆盖、fail-closed 顺序、pull-library 控制 | 进行中；代码已在 pipe，门全绿（ID-P7-40） |
-| V1 修复轮审查（fable） | read 侧 corrupt 的两次施加、server 半边断言、逐条武装普查的双向性、例外表 5 类 | 进行中；代码已在 pipe（ID-P7-40） |
-| M2 r2（fable） | **must-fix**：`m_wireStoreDestroyEpoch` 进 `UniformManager` 两个 memo（§9 例外已批）+ red-once；note SHA、`ASSERT_GE`、注释、`lastUseSubmitIndex` 清零、清洗名单 | 进行中 → `~/w7/notes/handoff/m2-r2.md`（ID-P7-43） |
-| V1 修复 r2（fable） | read 侧控制断言 ≥ 2 行、verify 摘要在 `Close()` 前 flush（client 日志不再被截断）、措辞 | 进行中（ID-P7-42） |
-| X2（fable） | `InitialCapsStartup.ANullInitialSnapshot…` 在负载下的 flake：复现、测试 vs 产品判定、修复 + 500 次循环 | 进行中（ID-P7-42） |
+| B2 r3 审查（fable） | transport 门控的真值域、默认 framebuffer pre-pass 的解析、新腿的读面 | 完成：land with fixes → B2 r4 已落地（ID-P7-44） |
+| B3 修复 r2 审查（fable） | 剥注释 / 字面量的边界、块回溯规则、自测覆盖、fail-closed 顺序、pull-library 控制 | 完成：land with fixes → B3 r3 已落地（ID-P7-44） |
+| V1 修复轮审查（fable） | read 侧 corrupt 的两次施加、server 半边断言、逐条武装普查的双向性、例外表 5 类 | 完成：land with fixes → V1 修复 r2（落地中，ID-P7-47） |
+| M2 r2（fable） | **must-fix**：`m_wireStoreDestroyEpoch` 进 `UniformManager` 两个 memo（§9 例外已批）+ red-once；note SHA、`ASSERT_GE`、注释、`lastUseSubmitIndex` 清零、清洗名单 | **已落地**，集成者审查 land（ID-P7-46） |
+| V1 修复 r2（fable） | read 侧控制断言 ≥ 2 行、verify 摘要在 `Close()` 前 flush（client 日志不再被截断）、措辞 | 完成 → `~/w7/notes/handoff/v1-fix-r2.md`；落地中（ID-P7-47） |
+| X2（fable） | `InitialCapsStartup.ANullInitialSnapshot…` 在负载下的 flake：复现、测试 vs 产品判定、修复 + 500 次循环 | **已落地**（test-only；真因 = 夹具按 accept 顺序配对，ID-P7-45） |
 | 窗口 1b 矩阵 | 38 例 DirectGLES × TCP（WSL ↔ 手机 p7w5，逐例 3 s 间隔、两遍、逐例 logcat） | 进行中；已见 ReadPixels 被设备 server 拒、main-menu server 死亡（ID-P7-41） |
 
 ## 5. 下一步（按序；机械步骤与命令见 [`notes/p7/HANDOFF-2026-09-22.md`](notes/p7/HANDOFF-2026-09-22.md)）
 
-1. ~~推送~~ 已推 `origin@87584d0b`；四个修复轮（B2 r3、B3 修复 r2、V1 修复、F 修复）回来 → 各自门 + 复审 → 下一次推送。
+1. ~~推送~~ 已推；~~四个修复轮（B2 r3、B3 修复 r2、V1 修复、F 修复）回来 → 各自门 + 复审 → 下一次推送~~ 已落地并推送（ID-P7-44/45/46）；V1 修复 r2 门在跑 → 落地（ID-P7-47）。
 2. **F2**：D11 五处 + PH-2、PH-6 drop-with-latch、PH-1 (3)(4)、PH-7 (5) fork 前认证——先要一个能向 spawn / TCP server 发畸形记录的对端字节驱动（fuzz 臂 2 的第一块）。
-3. M2 门 + 审查绿 → 推送 → p7w6 APK（**含 F 的 wireFingerprint 变更：手机 server 必须重部署**）→ bsl-esc-menu spawn 臂通过（并重跑窗口 1b 作 `DataBind` 对照）→ **M3**（descriptor set 在长帧内无界，M2 的新发现） → 门 3 分母 36 全部与 monolith 同（三遍逐位相同 + spawn 臂，§7.2）。
+3. ~~M2 门 + 审查绿 → 推送~~ 已推（M2 + r2，ID-P7-46）→ p7w6 APK（**含 F 的 wireFingerprint 变更：手机 server 必须重部署**）→ bsl-esc-menu spawn 臂通过（并重跑窗口 1b 作 `DataBind` 对照）→ **M3**（descriptor set 在长帧内无界，M2 的新发现） → 门 3 分母 36 全部与 monolith 同（三遍逐位相同 + spawn 臂，§7.2）。
 4. **B4**：裁判的 `WaitForSubmitsUpTo` 聚合等待（`Present:14094` / `WaitForSubmitIndex` / `WaitForFrameSerial`）+ 裁判点名的 Magma 债（§12）。
 5. wave 3 余项：棘轮 88 的 monolith draw 路径 `#if`。~~§7.2 同名重跑、Iris trace 普查~~ **已做（包 E1，主机 lavapipe，基 3c80cd62 = 现 `3c80cd62`）**：Iris 普查 77 行 × {monolith, inproc, spawn} 231 次全活，split 与 monolith 逐字节相同 70 / 77 行（7 行分歧 = Magma monolith draw 路径 vs wire 路径的差异或运行噪声，均在阈值内），P9 例外表为空——`texture-remint-pull` 在头上从未到达（[`notes/p7/iris-census-3c80cd62.md`](notes/p7/iris-census-3c80cd62.md)）；27 个 P5 wrong-answer 同名 24 绿 / 3 具名停止（`PIPE_PUSH=0` 控制臂）/ 0 错答（`MEASUREMENTS.md` §7.2 末）。
 6. wave 4：CTS AFTER（inproc × DV 五块 vs `$BASE`，≤ 0.5 pp，新增 crash = 0）、门 3 终局三遍。

docs/Disaggregated/notes/handoff/review-m2-r2.md

@@ -0,0 +1,14 @@
+# Review: M2 round 2 (pipe 4d207468 959ebc9e 6e18acaa 5ba34fcf + integrator f62703e9 1ab62ece) — integrator (Fable 5.1, main session)
+
+**Verdict: land** (no change required before push; one cost recorded in CONTRACT-P7 §12 as M3's denominator).
+
+The must-fix from round 1 (memo handle-reuse ABA) is closed the way the review asked: `VkBufferManager::m_wireStoreDestroyEpoch` is bumped on every path that destroys a wire store's VkBuffer and never reset; `UniformManager` folds it into the descriptor-reuse signature (`mix64(epoch)`) and records/compares it in `FastRebindMemo`, all under `MOBILEGL_BUILD_DISAGGREGATED`.
+
+Verified on the pipe source, not the note:
+1. Every destroy site is covered. `DeferWireRelease`'s immediate destroy (`buffer.Destroy(); ++epoch`), `SweepDeferredWireReleases` (returns at `dead == 0` BEFORE the bump, so a sweep that freed nothing does not defeat the memo on the next draw), `DestroyAllDeferredWireReleases` (bump iff non-empty), `Shutdown`'s `m_wireBuffers.clear()` (bump iff non-empty). `DestroyWireBuffer` moves the store into `DeferWireRelease` and only then erases the record, so the erase destroys nothing. The seven remaining `buffer.Destroy()` calls in the file are the non-wire records, which still die at the frame boundary that clears the memos.
+2. The epoch is the destroy count's parity, not the slice epoch: `m_sliceEpochCounter` moves on every `WriteWireBuffer` and would miss on every `glBufferSubData`; the destroy epoch moves ~26k times over bsl's 1.3M calls. Cost = one extra descriptor-set acquire+write on the first draw after each destroy event, which also feeds §6.1's in-frame descriptor-set growth (M3).
+3. `FastRebindMemo` aggregate initialiser order matches the struct (epoch last, guarded on both sides); the wire arm never takes the fast rebind (`SetupWireDraw` passes no sampler hint), so the signature half is the one the scenario reds through; the memo half is defensive and costs nothing.
+4. The red-once is deterministic by construction (no sleep, no fence-poll race): orphan → flush-without-wait → a staged copy keeps the recording pending so the blocking wait cannot take the memo-clearing drain → the next park's sweep destroys S1 → a 64 KiB mint through the freed handle cannot alias the 256-byte hole a 1 MiB pin bounds → the draw reads the dead store's colour without the epoch. Both arms red at base, green with the guards; the note's static-link finding (the Split arm runs the backend compiled into the test binary) is worth keeping for every future red-once.
+5. Integrator additions: `RespecifyWireBuffer` clears B3's `lastUseSubmitIndex` beside `lastUseSerial` (pipe-only field; the create path already zeroes it at :303, so 0 = never submitted); the parity exception list on pipe is keyed by exact tail (two merges ago) so the fourth Reclaim case is named there (the package branch excepts by prefix). `ServerSpawn` keeps `SPIN_US` / `SERVER_AFFINITY` / `AUDIT` for the child (tuning / audit values, no endpoint, role, path or size; ServerMain's catch (b) still verifies its four).
+
+Gate on f62703e9: unit 2436, split 304, spawn 220, tcp 223, magma 101 / 80 / 71, full-split 539, G1 `.text` 0xa52203 nm +0/-0, census 79, ratchet 173, wire-declines 53/53/0 + 16/16, OpenRA DirectVulkan inproc + spawn ssim 1.000000 / 0 unsound lines, verify lanes 1150 / 1084; parity 0 errors after 1ab62ece.

docs/Disaggregated/notes/p7/INTEGRATOR-DECISIONS-P7.md

@@ -48,4 +48,5 @@
 | ID-P7-43 | 2026-09-22 | **M2 审查 = land with fixes，含一条 must-fix；集成者会话收尾并交接。** M2 审查（fable）：**must-fix** = 中帧 use-after-free 的新可达点——M2 让孤儿 wire store 在帧中被销毁，而 `UniformManager` 的 `FastRebindMemo` 按裸 `VkBuffer` 句柄命中、descriptor-reuse memo 的签名混入 `VkDescriptorBufferInfo` 字词，二者都不看 epoch；句柄被堆复用后同一 program 的下一次 draw 命中旧 descriptor set → 静默错 UBO / SSBO 字节、无 Fatal（base 上 wire store 只在 `BeginFrame`/drain 死，与 memo 清空配对，M2 打破了配对）。修法 ~10 行：`VkBufferManager` 的 `m_wireStoreDestroyEpoch` 在每条销毁路径上自增，`UniformManager` 的两个 memo 带上 / 混入它（disagg 守卫内）——在 M2 分区之外，**集成者按 §9 批准例外**，已派 **M2 r2**（fable）；同轮：note §0 引用改 pipe SHA、`VkBufferManager.h` 的「floor 非证明」去掉过期理由、case 3 单侧断言补 `ASSERT_GE`、「never decreases」注释、`RespecifyWireBuffer` 清 `lastUseSubmitIndex`、`ServerSpawn.cpp` 清洗名单补 `SpinUs/ServerAffinity/Audit`。审查确认：提前释放的三个条件健全（每条把 store 交给 GPU 的路径都打 `lastUseSerial`；park tag ≥ B3 的 `lastUseSubmitIndex`；`IsSubmitIndexComplete` 拒绝未提交索引；空闲判定真）、水位线同线程无跨线程等待、失败漏斗同族一处 abort、计量 / 配置全在 push / disagg 守卫内、descriptor-set 归因成立（VMA 子分配，M1 的「一 VkBuffer 一 memfd」不可能）。**用户令收尾**：让在跑的 agent 跑完并把报告写到 `~/w7/notes/handoff/`，机械未完项写进 [`HANDOFF-2026-09-22.md`](HANDOFF-2026-09-22.md)（M2 r2 落地 → p7w6 + 手机 server 重部署 → bsl 验收 / 窗口 1b 对照 / 门 3 终局 → M3 → B4 → F2 → wave 3 棘轮 88 → wave 4 CTS AFTER → wave 5），交给其他 agent。 | 推送集成树头（门全绿；M2 的 must-fix 由 M2 r2 关闭，在此之前 wire 臂有一处已知可达的 memo ABA）。 | `UniformManager.{h,cpp}`、`VkBufferManager.{h,cpp}`、`HANDOFF-2026-09-22.md` |
 | ID-P7-44 | 2026-09-22 | **用户叫停 fable 审查代理，改由集成者本人审查。** F 修复轮 = **land**（两 nit 记债：`RunSession` 里 `Accept()` 返回到 `close(sourceFd)` 之间已转发的一条 DataBind 会随队列被关而无具名拒绝，微秒级窗口；`protocol.fbs` 任何字节变化都要 bump，严格但有意）；B3 修复 r3 + B2 r4 = **land**（审计跨 `#endif` 只认整行 disagg 守卫、任意缩进 `#else` 停走；`EVIDENCE` 三种空模式都拒；模式位 100755；窗口腿底色品红 / 0.625 独一；门控只看 transport）。审查文本在 `notes/handoff/review-f-fix.md`、`review-b3r3-b2r4.md`（仓库与 WSL `~/w7/notes/handoff/` 各一份）。 | 集成树头已推送；余下机械项见 HANDOFF。 | `notes/handoff/` |
 | ID-P7-45 | 2026-09-22 | **X2 落地**（pipe，test-only）：`InitialCapsStartup.*` 与 `SocketTransportTest` 的 TCP 用例在负载下偶红的真因是**夹具**按 accept 顺序配对两条 loopback 连接，而内核在负载下会乱序交付（裸 socket 探针：空闲 0/2000、20 个 CPU 占用者下 5/3000）——对端把数据套接字当控制用，`StreamLink` 读到 `MGLD` 魔数外的首帧 → `Fatal{ProtocolCorruption,"StreamLink"}`；夹具改用产品的 DataBind nonce 会合（PH-7 (4) 形状），三例 0/500；无产品字节变化，G1 恒等。域外债：`AcceptPair`/`ConnectTo` 对 `tcp://` 监听仍可调且按顺序配对（产品从不这样用），未具名拒绝。 | pipe unit 车道全绿后推送；`~/w7/notes/handoff/x2-caps-flake.md`。 | `InitialCapsStartupTest.cpp`、`SocketTransportTest.cpp` |
+| ID-P7-46 | 2026-09-22 | **M2 r2 落地（集成者本人审查 = land，must-fix 关闭）**：`VkBufferManager::m_wireStoreDestroyEpoch` 在四条销毁 wire store 的路径上自增（`DeferWireRelease` 即时销毁、有销毁的扫描每次一跳、`DestroyAllDeferredWireReleases`、`Shutdown` 清 record 持有的 store），永不复位；`UniformManager` 的 descriptor-reuse 签名 `mix64(epoch)`、`FastRebindMemo` 记录并比对（全在 disagg 守卫内；§9 分区例外已批）；第四条 Reclaim 用例（一帧内 orphan → 不等待的 flush → 一条 staged copy 挡住清 memo 的 drain → 下一次停放的扫描销毁 S1 → 64 KiB 经同一句柄值铸造、放不进 1 MiB pin 封住的 256 B 洞 → draw）red-once 两臂读到死 store 的颜色，加守卫后绿。集成者核对：扫描在 `dead == 0` 先返回、不空跳 epoch；`DestroyWireBuffer` 先 move 进 defer 再 erase；文件里其余七处 `buffer.Destroy()` 都是非 wire record；`FastRebindMemo` 聚合初始化顺序与结构体一致。pipe 独有一行：`RespecifyWireBuffer` 顺带清 B3 的 `lastUseSubmitIndex`（`f62703e9`）；`spawn_lane_parity.py` 的具名例外表补第四条 tail（`1ab62ece`；包分支按前缀例外、pipe 两次合并后按精确名——门上唯一的一条 parity 红就是它）；`ServerSpawn` 放行 `SPIN_US` / `SERVER_AFFINITY` / `AUDIT`。**代价记 §12（M3 的分母）**：每次销毁事件后同 program 第一笔 draw 多一次 descriptor set 分配 + 写（bsl ~2.6 万 / 130 万）。方法学：`MobileGLIntegrationTest` 桌面上静态链接 `MobileGL_s`，Split 臂跑的是编进测试二进制的 backend——red-once 变体必须三个目标都建。 | 门（`f62703e9`）：unit 2436、split 304、spawn 220、tcp 223、magma 101 / 80 / 71、full 539、G1 恒等、普查 79、棘轮 173、审计 53/53/0、OpenRA inproc + spawn ssim 1.0 / 0 unsound、verify 1150 / 1084；parity 0（`1ab62ece`）；推送。审查文本 `notes/handoff/review-m2-r2.md`。 | `VkBufferManager.{h,cpp}`、`UniformManager.{h,cpp}`、`MagmaWireReclaimScenario.cpp`、`ServerSpawn.cpp`、`spawn_lane_parity.py` |
 | ID-P7-19 | 2026-09-22 | OpenRA 真机分歧改判为 **wire 臂的 GPU 时序竞态**（冷驱动缓存 = 慢 pipeline 创建 → 最终帧回读在最后几批 draw 完成前采样），归 wave 2-B 第 0 片；主机 red-once 用 pipeline 创建延迟旋钮复现；真机验收 = 三次 `pm clear` 冷跑 1.0。F1 保留（机制正确）但不再被当作分歧原因。 | E7：`pm clear` 三遍 0.976493989 / 14658 逐字相同、热跑 1.0、冷 monolith 1.0、`FRAMESINFLIGHT=1` 一绿一红；两臂 client/server 日志逐行相同；diff 只缺最后画的对象。 | `WireFramebuffer.inc`、`VulkanRenderer.cpp`、`F1-verify/README.md` |