diff --git a/MobileGL/MG_Remote/CONTRACT-P7.md b/MobileGL/MG_Remote/CONTRACT-P7.md
index 42807da5..7fe75484 100644
--- a/MobileGL/MG_Remote/CONTRACT-P7.md
+++ b/MobileGL/MG_Remote/CONTRACT-P7.md
@@ -174,4 +174,5 @@ verify **在 wave 3 之前**只在 monolith 臂注册（`MG_IntegrationTest/CMak
 - **V1 留下的记录债（`notes/p7/verify-split.md` §6，ID-P7-37）**：verify 在 spawn 上需要一个跨进程的比对形状（server 把读到的字段值随回复带回、client 比），门 2 的文本是 `{monolith, split(inproc)}`；server `ReadPixels` 窗口里 pack 半边的字段级盲区很窄（只有恰等于中性 pack 的错推送不可见）；DirectGLES × split 上四条 Magma decline 契约用例按名从 verify-split 车道减掉——Espryt 是否 decline 这些形状归 P3b / P4b。
 - **F 片 1–3 之后（`notes/p7/ph-f.md` §4，ID-P7-37）**：`wireFingerprint` 随 `Welcome.dataNonce` / `DataBind` 变更（`0x7d4470f241d23539` → `0x03c4c293a54b3e08`），新 server 对旧 client 回 `Refuse{WireFingerprint}`，旧 server 对新 client **没有 Refuse 帧**（旧 `AcceptPair` 等第二条连接 2000 ms 后关闭，client 只见 `no Welcome … (rc=6)`）——设备上的 server 必须随下一个 APK 重部署；D11 五处 + PH-2、PH-6、PH-1 (3)(4)、PH-7 (5)（fork 前认证）未做，前置是一个能向 spawn / TCP server 投递畸形记录的对端字节驱动（fuzz 臂 2 的第一块），包 **F2**。
 - **F 修复轮之后的两条小债（集成者审查，ID-P7-44）**：`ServerMain.cpp` `RunSession` 在 `Accept()` 返回到 `close(sourceFd)` 之间，supervisor 已转发的一条 DataBind 随 child 队列关闭而得不到具名拒绝（微秒级窗口）；`protocol_revision_pin.py` 对 `protocol.fbs` 的注释 / 空白改动同样要求 bump（严格、有意）。
+- **M2 r2 的代价（集成者审查，ID-P7-46）**：wire store 的 destroy epoch 进了 `UniformManager` 的两个 descriptor memo，所以每次销毁事件之后同 program 的第一笔 draw 多一次 descriptor set 分配 + 写（bsl 整跑 ~2.6 万次销毁 / 130 万次调用），并把 §6.1 的长帧内 descriptor set 增长每事件多推一个 set——这是 M3 的分母，不是新债；`ServerSpawn.cpp` 放行名单（`WIRE_DEFERRED_MB` / `SPIN_US` / `SERVER_AFFINITY` / `AUDIT`）之外的 `MOBILEGL_IPC_*` 仍被清洗，都是协议形状（双方必须一致）或 client 读的值，不记债。
 - **Ph 簇 F 的两处预认证暴露**（wave 2-F 之前就在树上，F 修复轮审查核实，归 PH-7 (5)「有界的预认证工作 + 失败退避」，P7 之后）：(a) TCP supervisor 对每条连接**先 fork 再读 Hello**（`ServerMain.cpp` `RunSession`），未认证对端每连接可让 server 付出一次 fork + 最长 10 s 的 Hello 等待；(b) `ValidatePeerHandshake` 在 `AuthenticatePeerToken` **之前**跑，`Refuse{ProtocolVersion|WireFingerprint|BuildFingerprint}` 把本端 wire 指纹与 build stamp 送给了未认证的对端。同一轮记下的本地对端债：unix 端点仍按到达顺序配对（`AcceptPair` 250 ms / 2000 ms 窗口），抽象命名空间套接字没有 mode bits，「只有本 app 能连」靠 SELinux 域隔离而非传输层。**指纹不对称**（§10 第 3 条的 `wireFingerprint` 变化）：新 server 对旧 client 回 `Refuse{WireFingerprint}`；旧 server 对新 client **没有任何 Refuse 帧**——旧 `AcceptPair` 等第二条连接 2000 ms 后关掉两条，client 只看到 `no Welcome ... (rc=6)`，即设备上的 server 未随本次构建重装。细节 `notes/p7/ph-f.md` §2.2 / §6.4。
diff --git a/docs/Disaggregated/CURRENT_STAGE_STATUS.md b/docs/Disaggregated/CURRENT_STAGE_STATUS.md
index 8a5bf29c..b2793b6f 100644
--- a/docs/Disaggregated/CURRENT_STAGE_STATUS.md
+++ b/docs/Disaggregated/CURRENT_STAGE_STATUS.md
@@ -4,7 +4,7 @@
 
 **阶段：P7 DirectVulkan（Magma）全量迁移**，并行流 **P3b/P4b 深化（Espryt，wave 2-D）** 与 **Ph 小件（簇 F）**。计划 [`notes/p7/PLAN-PH-P34B-P7.md`](notes/p7/PLAN-PH-P34B-P7.md)（五波）。
 
-**更新：2026-09-22 夜（集成者会话收尾）** · 交接清单 [`notes/p7/HANDOFF-2026-09-22.md`](notes/p7/HANDOFF-2026-09-22.md)；在跑 agent 的报告落到 WSL `~/w7/notes/handoff/`。`origin/feat/disaggregated` 推到集成树头（B3 修复 r2/r3、V1 修复轮、B2 r3/r4、M2、F 修复轮；门全绿）；**M2 审查的 must-fix（memo 句柄复用 ABA）由 M2 r2 关闭，落地前 wire 臂有一处已知可达点**（ID-P7-43）。
+**更新：2026-09-22 夜（M2 r2 落地，ID-P7-46）** · 交接清单 [`notes/p7/HANDOFF-2026-09-22.md`](notes/p7/HANDOFF-2026-09-22.md)；在跑 agent 的报告落到 WSL `~/w7/notes/handoff/`。`origin/feat/disaggregated` = 集成树头（B3 修复 r2/r3、V1 修复轮、B2 r3/r4、M2 + **M2 r2**、F 修复轮、X2；门全绿）；M2 审查的 must-fix（memo 句柄复用 ABA）**已由 M2 r2 关闭**（ID-P7-46）；V1 修复 r2 落地中（ID-P7-47）。
 
 ## 1. 出口门总览（CONTRACT-P7 §8 的 9 项分母）
 
@@ -45,7 +45,7 @@
 | B3 修复轮 | 审计剥注释 / 字面量 + 按块回溯 + `--self-test`、spawn 无 server 日志 FATAL、注记双行 + `WaitForFrameSerial` 债 | `origin@87584d0b`（审查 land with fixes → 修复 r2 在跑，ID-P7-38） |
 | F 片 1–3 | 常量时间令牌 / ≥16 字节 / 无令牌只 loopback / smoke 进 CI；`Welcome.dataNonce` 绑定（TCP 250 ms 配对窗口消失，指纹变更）；PH-8 钳制证明 | `origin@87584d0b`（审查 land with fixes → 修复轮在跑，ID-P7-39） |
 | E1 | Iris 普查 231/231 全活、70/77 逐字节同、P9 例外表空；§7.2 同名重跑 24 绿 / 3 具名停止 / 0 错答 | `origin@87584d0b`（docs only，ID-P7-38） |
-| M2 | 孤儿 wire store 在 defer 路径回收 + `MOBILEGL_IPC_WIRE_DEFERRED_MB` 水位线 + 1,024 计数上限 + `wbuf[]` 计量 + `MagmaWireReclaimScenario`；主机 bsl spawn server 825 → 546 MiB、映射 41k → 5.8k | pipe `b81a8827..7d131527`（门全绿 magma 100 / 79 / 71，审查在跑，ID-P7-42） |
+| M2 | 孤儿 wire store 在 defer 路径回收 + `MOBILEGL_IPC_WIRE_DEFERRED_MB` 水位线 + 1,024 计数上限 + `wbuf[]` 计量 + `MagmaWireReclaimScenario`；主机 bsl spawn server 825 → 546 MiB、映射 41k → 5.8k | pipe `b81a8827..7d131527`（门全绿 magma 100 / 79 / 71，审查 land with fixes，ID-P7-43）；**r2** = memo destroy-epoch，must-fix 关闭：pipe `4d207468..f62703e9` + parity `1ab62ece`（门全绿 magma 101 / 80 / 71，集成者审查 land，ID-P7-46） |
 | F 修复轮 | hand-off 端绑定后关 + `MSG_DONTWAIT`（多余 DataBind 具名拒绝）、listener 绑定后关、`sha256(protocol.fbs)` 钉到控制修订、定宽令牌比较、超额 Hello 记警、`MalformedHello`、文档更正 | pipe `0293aebb..9cea5140`（门全绿，集成者审查 land，ID-P7-44） |
 | B3 修复 r3 + B2 r4 | 审计跨 `#endif` 只放行 disagg 守卫 + 缩进 `#else` 停走（16/16）、`EVIDENCE` 保护、tcp 信息；窗口腿独一底色、去死合取项、按符号引用 | pipe `bd849b28..4b96f55d`（门全绿，集成者审查 land，ID-P7-44） |
 
@@ -59,19 +59,19 @@
 
 | 包 | 内容 | 状态 |
 |---|---|---|
-| B2 r3 审查（fable） | transport 门控的真值域、默认 framebuffer pre-pass 的解析、新腿的读面 | 进行中；代码已在 pipe（ID-P7-40） |
-| B3 修复 r2 审查（fable） | 剥注释 / 字面量的边界、块回溯规则、自测覆盖、fail-closed 顺序、pull-library 控制 | 进行中；代码已在 pipe，门全绿（ID-P7-40） |
-| V1 修复轮审查（fable） | read 侧 corrupt 的两次施加、server 半边断言、逐条武装普查的双向性、例外表 5 类 | 进行中；代码已在 pipe（ID-P7-40） |
-| M2 r2（fable） | **must-fix**：`m_wireStoreDestroyEpoch` 进 `UniformManager` 两个 memo（§9 例外已批）+ red-once；note SHA、`ASSERT_GE`、注释、`lastUseSubmitIndex` 清零、清洗名单 | 进行中 → `~/w7/notes/handoff/m2-r2.md`（ID-P7-43） |
-| V1 修复 r2（fable） | read 侧控制断言 ≥ 2 行、verify 摘要在 `Close()` 前 flush（client 日志不再被截断）、措辞 | 进行中（ID-P7-42） |
-| X2（fable） | `InitialCapsStartup.ANullInitialSnapshot…` 在负载下的 flake：复现、测试 vs 产品判定、修复 + 500 次循环 | 进行中（ID-P7-42） |
+| B2 r3 审查（fable） | transport 门控的真值域、默认 framebuffer pre-pass 的解析、新腿的读面 | 完成：land with fixes → B2 r4 已落地（ID-P7-44） |
+| B3 修复 r2 审查（fable） | 剥注释 / 字面量的边界、块回溯规则、自测覆盖、fail-closed 顺序、pull-library 控制 | 完成：land with fixes → B3 r3 已落地（ID-P7-44） |
+| V1 修复轮审查（fable） | read 侧 corrupt 的两次施加、server 半边断言、逐条武装普查的双向性、例外表 5 类 | 完成：land with fixes → V1 修复 r2（落地中，ID-P7-47） |
+| M2 r2（fable） | **must-fix**：`m_wireStoreDestroyEpoch` 进 `UniformManager` 两个 memo（§9 例外已批）+ red-once；note SHA、`ASSERT_GE`、注释、`lastUseSubmitIndex` 清零、清洗名单 | **已落地**，集成者审查 land（ID-P7-46） |
+| V1 修复 r2（fable） | read 侧控制断言 ≥ 2 行、verify 摘要在 `Close()` 前 flush（client 日志不再被截断）、措辞 | 完成 → `~/w7/notes/handoff/v1-fix-r2.md`；落地中（ID-P7-47） |
+| X2（fable） | `InitialCapsStartup.ANullInitialSnapshot…` 在负载下的 flake：复现、测试 vs 产品判定、修复 + 500 次循环 | **已落地**（test-only；真因 = 夹具按 accept 顺序配对，ID-P7-45） |
 | 窗口 1b 矩阵 | 38 例 DirectGLES × TCP（WSL ↔ 手机 p7w5，逐例 3 s 间隔、两遍、逐例 logcat） | 进行中；已见 ReadPixels 被设备 server 拒、main-menu server 死亡（ID-P7-41） |
 
 ## 5. 下一步（按序；机械步骤与命令见 [`notes/p7/HANDOFF-2026-09-22.md`](notes/p7/HANDOFF-2026-09-22.md)）
 
-1. ~~推送~~ 已推 `origin@87584d0b`；四个修复轮（B2 r3、B3 修复 r2、V1 修复、F 修复）回来 → 各自门 + 复审 → 下一次推送。
+1. ~~推送~~ 已推；~~四个修复轮（B2 r3、B3 修复 r2、V1 修复、F 修复）回来 → 各自门 + 复审 → 下一次推送~~ 已落地并推送（ID-P7-44/45/46）；V1 修复 r2 门在跑 → 落地（ID-P7-47）。
 2. **F2**：D11 五处 + PH-2、PH-6 drop-with-latch、PH-1 (3)(4)、PH-7 (5) fork 前认证——先要一个能向 spawn / TCP server 发畸形记录的对端字节驱动（fuzz 臂 2 的第一块）。
-3. M2 门 + 审查绿 → 推送 → p7w6 APK（**含 F 的 wireFingerprint 变更：手机 server 必须重部署**）→ bsl-esc-menu spawn 臂通过（并重跑窗口 1b 作 `DataBind` 对照）→ **M3**（descriptor set 在长帧内无界，M2 的新发现） → 门 3 分母 36 全部与 monolith 同（三遍逐位相同 + spawn 臂，§7.2）。
+3. ~~M2 门 + 审查绿 → 推送~~ 已推（M2 + r2，ID-P7-46）→ p7w6 APK（**含 F 的 wireFingerprint 变更：手机 server 必须重部署**）→ bsl-esc-menu spawn 臂通过（并重跑窗口 1b 作 `DataBind` 对照）→ **M3**（descriptor set 在长帧内无界，M2 的新发现） → 门 3 分母 36 全部与 monolith 同（三遍逐位相同 + spawn 臂，§7.2）。
 4. **B4**：裁判的 `WaitForSubmitsUpTo` 聚合等待（`Present:14094` / `WaitForSubmitIndex` / `WaitForFrameSerial`）+ 裁判点名的 Magma 债（§12）。
 5. wave 3 余项：棘轮 88 的 monolith draw 路径 `#if`。~~§7.2 同名重跑、Iris trace 普查~~ **已做（包 E1，主机 lavapipe，基 3c80cd62 = 现 `3c80cd62`）**：Iris 普查 77 行 × {monolith, inproc, spawn} 231 次全活，split 与 monolith 逐字节相同 70 / 77 行（7 行分歧 = Magma monolith draw 路径 vs wire 路径的差异或运行噪声，均在阈值内），P9 例外表为空——`texture-remint-pull` 在头上从未到达（[`notes/p7/iris-census-3c80cd62.md`](notes/p7/iris-census-3c80cd62.md)）；27 个 P5 wrong-answer 同名 24 绿 / 3 具名停止（`PIPE_PUSH=0` 控制臂）/ 0 错答（`MEASUREMENTS.md` §7.2 末）。
 6. wave 4：CTS AFTER（inproc × DV 五块 vs `$BASE`，≤ 0.5 pp，新增 crash = 0）、门 3 终局三遍。
diff --git a/docs/Disaggregated/ROADMAP.md b/docs/Disaggregated/ROADMAP.md
index ff32e9b7..3d7753a2 100644
--- a/docs/Disaggregated/ROADMAP.md
+++ b/docs/Disaggregated/ROADMAP.md
@@ -38,7 +38,7 @@
 | **P6.5** 传输栈两轴化 + 跨机 | **第一波已落地**（`feat/disaggregated@fe28bdb5`，2026-09-22）：全 TCP 控制 + StreamLink 数据，WSL client ↔ Redmi server。四切片代码审查无硬缺陷 + 两修复（`AcceptPair` 重试 `EINTR`/`ECONNABORTED`、supervisor 自设 `MOBILEGL_IPC_ROLE=server`，均 `MG_Remote` 门内 G1 不动，见 [`code-review-findings.md`](notes/p65/code-review-findings.md)）；固定制品（两端 stamp `p65-acceptfix-20260922`）再验收：unit 2399、integration-tcp loopback 102、**device-102 102 全 ARMED**、代表性 retrace OpenRA 1.0 全 ARMED。**残余（CI/后续）**：完整 39 例 device golden 矩阵 + 必测数。设计见本表下方「立即的下一项」节 | 包：**wf** wire 定宽与布局摘要——`wireFingerprint` = `PipeFields.def` 派生的逐成员 name / `offsetof` / `sizeof` 摘要 + 有序目录摘要 + 记录头布局 + 两个 blob codec 版本 + `kOpCount` + 字节序 / 指针宽度，**保留** `sizeof(MGPCaps)` / `sizeof(DynamicBackendParameters)`（wire 事实）、删 `sizeof(GLFunctionsTable)`；`buildFingerprint` 只在 `Dial == Fork` 下比较；`DynamicBackendParameters` / `MGPCaps` / `RenderStateParameters` 整块 blob 的定宽化（两端是不同编译器产的不同二进制，`long` / padding / 位域差异都是静默读错状态）；`Refuse{code, detail, 对端值}` 控制消息，握手路径零 abort → **ct** 控制面端点种类（`fork` 继承 fd / `unix:<path>` / `tcp://host:port`；`DialMode{No, Fork, Connect}` 与 `MGPipeShouldDial()` 按契约 §3 补齐；TCP keepalive 失败**作为传输层报告的挂断**进 dl 的闩，不是 apply 超时）→ **nd** 数据面协商（`LinkTerms{dataPlane, delivery, wireForm, maxReplyBytes, cmdWindowBytes, stageWindowBytes}` 入 Hello / Welcome，四个尺寸由 **server** 陈述；`dataPlane ∈ {SharedSegments, Stream}`；`auto` 的判据是**段实际交付成功**而不是地址判断，回落必须具名入日志与 stats；链路工厂在会话建立时选定一对，之后不变——缝是 setup-time 的，契约 §8.2）→ **sd** 共享段交付与控制面解耦（`ShmLink` 自带 AF_UNIX aux 汇合名、在 `Welcome` 里公布，`SCM_RIGHTS` 只走它；于是**控制面 TCP + 数据面共享段**在同机是合法配对；`ITransport` 收窄为纯控制帧，描述符传递归数据面）→ **sl** `StreamLink`（分块封帧；watermark 变消息且**规则逐字保留**——late-never-early、`>=` 不是 `==`、倒退是 Fatal；`appliedSeq` 修正案 + flush-on-idle；reply 变自带 seq 的消息，本链路上删 slot 池 / 取模 / stamp 自检；`SEG_STAGE` 变发送窗口，三个 cursor 要么完整复活要么不用、不留中间态；program archive 与 `draw_vbo` range 尾分片；`GetCaps` 两个 blobref 变消息；每方向每进程一条专用读线程）→ **t65** 车道。上层纯度：`SessionProducer` / `SessionConsumer` / `ServerLoop` / `PipeWireEncoder`、`ClientSession.cpp` 的 `kSegEvent` 挂载与 `ResourceTracker.h` 的 writeback 解析都只经 `ILink`。设计 `ARCHITECTURE.md` §11.9 | 门：inproc / spawn 车道结果数与逐线程 CPU 逐字不变（`ILink::ReserveRecord` 虚调用代价**实测**，`RingProducer::Reserve` 失去内联是具体风险）；纯度 grep——`ShmLink` / `StreamLink` / `RingControl` / `ReplySlotPool` / `EventRingConsumer` / `m_shm.` 只出现在 `Transport/` 与其测试，上层零链路种类分支；**2×2 矩阵车道**（控制面 {unix, tcp} × 数据面 {shm, stream}，loopback）名集合与 spawn 一致且同数绿，每条目记 `control=… data=…` 的 arm 证明（ID-124 的形状）；跨机臂一条真 trace 逐像素；wf 三条 red-once（临时树里同宽成员互换 → 摘要变而 stamp 不变；`wireMajor = 99` → 两端具名拒绝、server exit 0、client 不回落 monolith；仅 stamp 不同的对端在 `Dial != Fork` 下连接成功——正控制）；**必测数**：逐帧 `kWaitReply` 次数（`ResourceCreate` / `SetTextureParams` / 纹理半边 `ResourceSubData` 都在此列，TCP 上每次即一个 RTT）、`SEG_STAGE` 字节/帧对链路带宽、`PRESENT_CREDIT` 1..3 配对、混搭（tcp + shm）对（unix + shm）的逐线程 CPU 差 |
 | **Ph** 不可信对端加固 + 配对 | **已审计（2026-09-22，`notes/p7/PLAN-PH-P34B-P7.md` §1.1）**：P6.5 已在 LAN 上跑 `tcp://0.0.0.0`，「P12 之前」的顺序陈述落后于树。必需小件（supervisor 命名子进程死亡、两处漏斗旁路、D11 五处上限、常量时间令牌 + 数据面绑定、`SEG_EVENT` 弃投闩）随 P7 波次推进；fuzz 臂 2 在 P7 之后；OQ-21 已裁定令牌足够（ID-P7-3）。**进展（2026-09-22 深夜）**：supervisor 命名子进程死亡 + 两处头层漏斗旁路已随 wave 0 落地（`origin@801f8eda`，`abort_sites` 79 成下行棘轮）；其余小件是簇 **F** 包：**片 1–3 已到集成树（2026-09-22 夜，ID-P7-37）**——令牌合一 / ≥16 字节具名拒绝 / 无令牌只 loopback / smoke 进 CI；`Welcome.dataNonce` 绑定，TCP 上 250 ms 配对窗口消失，`wireFingerprint` 变更；PH-8 钳制证明——片 4–6 与 PH-7 (5) 需要对端字节的 fuzz 驱动，另派 F2（原顺序：常量时间令牌 / `Refuse{Authentication}` / ≥16 字节 + `tcp_supervisor_smoke.py` 接 CI → `Welcome.dataNonce` 数据面绑定 → PH-8 单测 → D11 五处 + PH-2 → PH-6 drop-with-latch → PH-1 (3)(4)）；逐日状态见 [`CURRENT_STAGE_STATUS.md`](CURRENT_STAGE_STATUS.md) | `Session::Fail` 的策略翻成每会话闩（**按 ID-P7-1 重定界**：98 处 `SessionFail` + 6 处 `WireLogFatal` 的字面翻转拒做——≥9 处返回引用没有诚实返回值；只对对端字节可达站点 latch-and-decline；P6 dl 收口到的是**两个漏斗 + 两处头层旁路**（`Server/StagedShadow.h`、`Server/StagedTextureStore.h`），不是一处；P6.5 fork-per-session 已给出「下一连接照常服务」）；handle slot 预算（`BackendSlotTable` 的两条拒绝从 `MOBILEGL_ASSERT` 变 release 下的具名拒绝，杜绝静默 null twin）；readback 尺寸门挪 server 侧且在 resize **之前**设绝对上限；`StagedTextureStore` 按该 level 宣告范围设界；`ArchiveVector` 按 `count * sizeof(element)` 设上限；`SEG_EVENT` 溢出不再能让一个不排空（或仅涓流排空）的对端在 30 秒内、乃至瞬间用 `Fatal{EventRingOverflow}` 打掉承载它的 server 进程（drop-with-latch，不等 PH-1，ID-P7-2；原文「60 秒」是两轮 30 s 的算术上界）；**配对 / 认证**（`Hello` 带令牌与无令牌只 loopback **已由 P6.5 ct 落地**；欠常量时间比较、`Refuse{Authentication}` 入词表、≥16 字节、**数据面按 `Welcome.dataNonce` 绑定到已认证的控制连接**（今天 `AcceptPair` 按到达顺序配对、从不查 peer）、fork 前认证；OQ-21 裁定令牌足够、不做 TLS）；段 / 窗口尺寸由 server 钳制（P6.5 nd 已陈述，欠一条钳制单测） | 非 loopback 监听在无令牌时具名拒绝（机制已在；名字入词表 + `tcp_supervisor_smoke.py` 接 CI 后算达成）；畸形帧 / 超界计数 / 不排空对端的模糊臂下 server **不 abort、会话闩住、下一连接照常服务**（臂 1 机制已在、欠端到端脚本；臂 2 = PH-1 (3)(4) + D11；臂 3 = PH-6）；`Session::Fail` 站点普查门扩到 server 镜像且 `abort_sites` 变棘轮（今天只扫 `MG_Remote`、站点数记了不比，wave 0）；契约 §12.2 五处无界分配各一条 red-once（**五处全开**，不是两处） |
 | **P3b / P4b** 深化（Espryt） | **已审计（2026-09-22，`notes/p7/PLAN-PH-P34B-P7.md` §1.2）**；Espryt 项与 P7 文件零重叠，作为 P7 的并行流（wave 2-D）推进。**D1 / D2 / D3 已落地（`origin@22761a69`，2026-09-22）**：D1 = XFB 两洞（孤儿目标保留 varyings、回写事件切片）+ 回调 10→9 + 四个 resolver 具名启动期 stop + readback 家族三臂（+39/臂，readback 半边其实早已关，ID-P7-24）；D2 + 返工 = `TextureViewAliasScenario`、`TextureUploadShape` 成门（散点内缩后零补丁 red-once）、`espryt_memo_purity.py`、`SubsystemDeps.def`（R-5）、12 场景 split 普查（+76/臂）（ID-P7-26/29）；D3 = view 在 owner 上传后陈旧的产品缺陷修复（clean gate 读 storage record，三臂 3 红→14/14）+ D-K2 六处读者读同一张表（ID-P7-28/30）。**余**：R-3 另一半（`MGPSamplerView::Target` 谓词）、`KHR-GL46.texture_view.coherency` 的 split 读数、CTS AFTER（wave 4）；~~Iris trace 普查结果（wave 3）~~ 已有头上结果（`3c80cd62`，[`notes/p7/iris-census-1135c664.md`](notes/p7/iris-census-1135c664.md)）；逐日状态见 [`CURRENT_STAGE_STATUS.md`](CURRENT_STAGE_STATUS.md) | view/属主发射游标**别名场景**（代码半已由 P4a `TextureEmit.h` 属主键控游标 + `TextureObjectView::ToOwner*` + P5e tx2 落地，欠验证）；`g_fboTextureSyncList`（分离安全——记录臂先返回、退路是具名 Fatal；四个 resolver 改启动期具名 stop，文本删除受 P5e 裁定 1 约束归 P13）；memo 重键**已落地**（P4a/P5f），补纯度 grep 门；~~XFB scatter 搬到 client~~（P5c/P5f 以 server staged shadow + `OnBufferWriteback` 落地；剩两处真洞：孤儿捕获目标被静默丢弃、回写事件无界——>128 KiB 即 `Fatal{EventRingOverflow}`）；删 fragColor 重推导 workaround 与 `g_broadcastMemo*`（动 pull `.text`，归 P13，只改注释）；raw-depth-fetch sampler 的 monolith 清理（可选）；**回读收口**（pack 半已关：`set_pixel_pack_state` APPLIER_DERIVED + server 中性读 + client 侧 PACK-PBO 散射；readback 半开：`get-tex-image-shadow` / `copy-image-shadow-mirror` 非 monolith 下仍 abort、split 零覆盖）；P4a 的 R-5（D-K2 规则合一处）/ R-11 必须，R-3 / R-4 / R-7 / R-10 可选；~~`ProgramArtifacts.h` 的 NDK 尺寸钉~~（P6.5 portable archive v2 + 布局指纹取代）；链接实验分给它的 **14 个符号**（D12，棘轮落地后 Tier 1） | 纹理 / program 场景（split 三臂零覆盖，先普查首阻塞再注册）；CTS `texture_*` / `shader_image_*` / `packed_pixels` + P4a 欠的 `direct_state_access.framebuffers*` 在 0.5 pp 内（caselist 入库 + monolith 基线 + delta 工具，今天三者皆无）；每一个 Iris trace（CI 管道 P6 已建；**`3c80cd62` 主机结果**：39 例 × 双后端 × {monolith, inproc, spawn} 231 次全活，split 与 monolith 逐字节相同 70 / 77 行，7 行分歧均过阈值、无 Fatal；`texture-remint-pull` 未到达，**P9 例外表为空**——[`notes/p7/iris-census-1135c664.md`](notes/p7/iris-census-1135c664.md) §3–§4）；`TextureUploadShapeScenario` 升级成门（Mali 增量无设备，按 Adreno 记录） |
-| **P7** DirectVulkan（Magma）全量迁移 | **进行中；wave 0–2 已落地，40% 检查点 6/9 已过（2026-09-22，`origin@b089e0de` + 集成树上的 B3）**：审计 + 五波计划见 `notes/p7/PLAN-PH-P34B-P7.md` §1.3 / §3，规范 `MG_Remote/CONTRACT-P7.md`，裁定 `notes/p7/INTEGRATOR-DECISIONS-P7.md`（ID-P7-1..33）。**wave 0** 仪器（Magma 两进程车道三臂、`link_ratchet.py` 186 基线、普查门 79 站点下行棘轮 + `MGPipeSessionFailHook`、设备跑器 `--matrix/--repeat/--archive-dir`、CTS caselists）`origin@801f8eda`；**wave 1** 设备窗口 #1（门 3 分母 36、E0–E7 归因、CTS `$BASE` 五块）；**wave 2** X1（arm64 persistent-map tracker 从不认领 fault）、F1（split 起会提前）、C（`StateObjectDeathOps`、OQ-8、OQ-10、vertex-layout 拆分）、A（对齐 / native-range）、B（mip 半退役、深度 mip 烘焙 (A)(D)、copy-image、default-color-blit、回读 fence）、B2（multisample shape/aspect、AllocatorDebtScope ×2 删、(B′)、棘轮 **186→173**）、B3（**OpenRA 真机分歧的真因**：wire 臂 completed-frame-serial floor 在中帧 pooled-fence 提交退休时无证据上升 → 帧首次 `glBufferSubData` 走无序 host memcpy；计数 26→0，spawn 臂 red-once；ID-P7-33）——**树上 `@P7` 拒绝站点归零、§3.2 六退役全成、Magma 三臂 95/74/76**。**真机**：p7w4 门 3 AFTER 34/36 与 monolith 差 ≤ 0.0005；OpenRA p7w5 **27/27 golden**（ID-P7-34，项关闭）；bsl-esc-menu = server 死 VkBuffer 无界累积（一帧 1.3 M 调用，ID-P7-32，**M2** 在修）。**已到集成树（2026-09-22 夜，ID-P7-37）**：B2 返工 r1 + r2、B3 返工 + 修复轮、V1、F 片 1–3 已推送 `origin@87584d0b`（2026-09-22 夜，ID-P7-39；pipe 门全绿：magma 97 / 76 / 71、full 535、verify 构建 1140 / 1074、OpenRA split 回放 0 条 unsound；四份 fable 审查 land with fixes，修复轮在跑）；**在跑**：M2（已到集成树：主机 bsl spawn server 825 → 546 MiB，且发现第二个泄漏 = descriptor set → M3）、V1 / B2 / B3 / F 的修复轮、F2 待派；窗口 1b 矩阵在跑（配对窗口在直连 LAN 上同样触发，ID-P7-41）。提交尾注已按用户令改写（origin `3c80cd62`）。**余**：B4（聚合等待 + §12 Magma 债）、wave 3（棘轮 88 的 monolith draw 路径；~~`MEASUREMENTS.md` §7.2 重跑、Iris 普查~~ 已做，E1，`3c80cd62`）、wave 4（CTS AFTER、门 3 终局三遍逐位 + spawn 臂）、wave 5（F 余片、fuzz 三臂、异模型整体审查）。逐日状态见 [`CURRENT_STAGE_STATUS.md`](CURRENT_STAGE_STATUS.md) | `38919d45` 已补实际游戏的 server buffer consumers 和 Android 旋转 blit（[报告](notes/p5f/magma-inproc-fix.md)）；`194382c9` 又完成 Magma run-ahead、GPU 延迟退休与 VAO 身份碰撞修复（[报告](notes/p5f/magma-runahead.md)）；`ed507b1a..d56c0e83` 29 个 DirectVulkan 提交的 shape 波（随 `e1bf3677` 合入，本行此前未记）已退役 packed-float mip 原生 blit（`5310ff62`）、resolve（`ec4ca06d`）、占位图像（`WirePlaceholderImages.inc`）、copy-image 端点、XFB 捕获 span、纹理回读；`70fb6689` 链关闭 inproc RD32 性能回归（86.85→116.73 fps）。其余工作（2026-09-22 审计改判）：~~`SetupDrawSnapshot` 探测字段塌成 dirty mask~~ 与 ~~`VertexInputStateFactory` 内容寻址 CSO~~ **本阶段拒做**（`SetupDraw` 在非 monolith 传输下分支到 `SetupWireDraw`，monolith 快照机制在 split 下不跑；无性能门；ID-P7-5）；占位纹理原生化**已落地**（缺 split 车道条目）；具名 UBO host payload（D-B8）走了直绑常驻 `VkBuffer` range 的备选，欠一次测量 + 裁定关 OQ-6；内部 shader 烘焙**半已落地**（颜色 blit `WireColorBlitSpirv.h`，仅 split 臂），欠深度 mip 烘焙 + `MOBILEGL_BAKED_INTERNAL_SHADERS` 新鲜度门（0 处）；D18 按 ID-P7-6 读法一句闭。**新增必须项**：Magma `StateObjectDeathOps`（六处特判）、OQ-8 归档 `storageBlocks`（`MagmaProgramSource::EnsureStorageBlocks` 每 draw 重跑 SPIRV-Reflect）、OQ-10 `kCapResidentSubData` 从未发布（split 下双后端退回就地 memcpy）、两处 `MagmaP7AllocatorDebtScope`。**P6 真机发现（2026-09-22 归此）**：`DirectVulkan` 分离路径在 Redmi 上两次观测 0.988998 / 0.976494（inproc 与 spawn 同表现，pbuffer monolith 1.0；case 归属、重复次数未记录，原始证据不在树内；取自 run-ahead ARMED 下，**lockstep 对照从未在 golden 口径下跑过**——wave 1 的 E1）——Magma × 真实 GPU；树上 `@P7` 具名拒绝**实为 15 处 / 4 文件**（`multisample-blit-shape` / `-aspect`、`depth-stencil-mipmap`（已窄化到 D\|S 合并）、`vertex-layout`、`vertex-format-conversion`、`texel-buffer-native-format`、`unaligned-{texel,storage,atomic}-buffer-range`、`storage-buffer-native-range`、`uniform-block-native-range`、`uniform-buffer-byte-tail` / `-dynamic-offset`、`copy-image-in-place`、`default-color-blit-shape`；外加 Magma 无 `StateObjectDeathOps` 与 `buffer-legacy-arm`），**全部是绕过 `Session::Fail` 与普查门的裸 abort**；必须退役 `.6/.8/.9/.11/.12/.13`，其余改 decline 即可；链接实验分给 P7 的 **101 个符号**（D12）。`DynamicBackendParameters` 定宽重写**不再是 P7 的**——它是跨平台 wire 的前提，归 P6.5 wf | 集成 + trace 在 Magma 的 push 与 split 下全绿（inproc 半已是硬门；**spawn / TCP 臂今天 DirectVulkan 条目为 0**——四条 split 臂硬编码 `MOBILEGL_BACKEND_TYPE=DirectGLES`，wave 0 补后端维度）；verify 零分歧（verify 今天只注册 monolith，verify+split 撞旧 `PipeRespecifyScope` 断言，先清）；真机 DirectVulkan split ssim 回到 1.0（分母排除 rd12 in-world 与 create-indirect，ID-P7-4；必须带 `RUN_AHEAD=0` 对照臂）；184 符号棘轮（契约 §12.1）下降 P7 的 101 个——原 "`nm -D libMobileGLServer.so \| grep glslang` 为空" 不可达，D12 裁定 server 镜像就是整个 `libMobileGL.so`；仪器 `scripts/link_ratchet.py`（存符号列表、只对新增红）归 wave 0；CTS 五块（`texture_*` / `shader_image_*` / `packed_pixels` / `direct_state_access.*` / `uniform_buffer_object*`）先立 monolith×DirectVulkan 基线再比 inproc，≤0.5 pp 且新 crash = 0 单独硬红。**再基线检查点：中点完成子系统 < 40% 立即重定基线**（分母 = `notes/p7/PLAN-PH-P34B-P7.md` §4 的 9 项） |
+| **P7** DirectVulkan（Magma）全量迁移 | **进行中；wave 0–2 已落地，40% 检查点 6/9 已过（2026-09-22，`origin@b089e0de` + 集成树上的 B3）**：审计 + 五波计划见 `notes/p7/PLAN-PH-P34B-P7.md` §1.3 / §3，规范 `MG_Remote/CONTRACT-P7.md`，裁定 `notes/p7/INTEGRATOR-DECISIONS-P7.md`（ID-P7-1..33）。**wave 0** 仪器（Magma 两进程车道三臂、`link_ratchet.py` 186 基线、普查门 79 站点下行棘轮 + `MGPipeSessionFailHook`、设备跑器 `--matrix/--repeat/--archive-dir`、CTS caselists）`origin@801f8eda`；**wave 1** 设备窗口 #1（门 3 分母 36、E0–E7 归因、CTS `$BASE` 五块）；**wave 2** X1（arm64 persistent-map tracker 从不认领 fault）、F1（split 起会提前）、C（`StateObjectDeathOps`、OQ-8、OQ-10、vertex-layout 拆分）、A（对齐 / native-range）、B（mip 半退役、深度 mip 烘焙 (A)(D)、copy-image、default-color-blit、回读 fence）、B2（multisample shape/aspect、AllocatorDebtScope ×2 删、(B′)、棘轮 **186→173**）、B3（**OpenRA 真机分歧的真因**：wire 臂 completed-frame-serial floor 在中帧 pooled-fence 提交退休时无证据上升 → 帧首次 `glBufferSubData` 走无序 host memcpy；计数 26→0，spawn 臂 red-once；ID-P7-33）——**树上 `@P7` 拒绝站点归零、§3.2 六退役全成、Magma 三臂 95/74/76**。**真机**：p7w4 门 3 AFTER 34/36 与 monolith 差 ≤ 0.0005；OpenRA p7w5 **27/27 golden**（ID-P7-34，项关闭）；bsl-esc-menu = server 死 VkBuffer 无界累积（一帧 1.3 M 调用，ID-P7-32，**M2** 在修）。**已到集成树（2026-09-22 夜，ID-P7-37）**：B2 返工 r1 + r2、B3 返工 + 修复轮、V1、F 片 1–3 已推送 `origin@87584d0b`（2026-09-22 夜，ID-P7-39；pipe 门全绿：magma 97 / 76 / 71、full 535、verify 构建 1140 / 1074、OpenRA split 回放 0 条 unsound；四份 fable 审查 land with fixes，修复轮已落地，ID-P7-44）；**M2 + M2 r2 已推送**（主机 bsl spawn server 825 → 546 MiB；memo destroy-epoch 关闭 wire store 句柄复用的 ABA；第二个泄漏 = descriptor set → M3；ID-P7-46）；**在跑**：V1 修复 r2（落地中）、F2 待派；窗口 1b 矩阵在跑（配对窗口在直连 LAN 上同样触发，ID-P7-41）。提交尾注已按用户令改写（origin `3c80cd62`）。**余**：B4（聚合等待 + §12 Magma 债）、wave 3（棘轮 88 的 monolith draw 路径；~~`MEASUREMENTS.md` §7.2 重跑、Iris 普查~~ 已做，E1，`3c80cd62`）、wave 4（CTS AFTER、门 3 终局三遍逐位 + spawn 臂）、wave 5（F 余片、fuzz 三臂、异模型整体审查）。逐日状态见 [`CURRENT_STAGE_STATUS.md`](CURRENT_STAGE_STATUS.md) | `38919d45` 已补实际游戏的 server buffer consumers 和 Android 旋转 blit（[报告](notes/p5f/magma-inproc-fix.md)）；`194382c9` 又完成 Magma run-ahead、GPU 延迟退休与 VAO 身份碰撞修复（[报告](notes/p5f/magma-runahead.md)）；`ed507b1a..d56c0e83` 29 个 DirectVulkan 提交的 shape 波（随 `e1bf3677` 合入，本行此前未记）已退役 packed-float mip 原生 blit（`5310ff62`）、resolve（`ec4ca06d`）、占位图像（`WirePlaceholderImages.inc`）、copy-image 端点、XFB 捕获 span、纹理回读；`70fb6689` 链关闭 inproc RD32 性能回归（86.85→116.73 fps）。其余工作（2026-09-22 审计改判）：~~`SetupDrawSnapshot` 探测字段塌成 dirty mask~~ 与 ~~`VertexInputStateFactory` 内容寻址 CSO~~ **本阶段拒做**（`SetupDraw` 在非 monolith 传输下分支到 `SetupWireDraw`，monolith 快照机制在 split 下不跑；无性能门；ID-P7-5）；占位纹理原生化**已落地**（缺 split 车道条目）；具名 UBO host payload（D-B8）走了直绑常驻 `VkBuffer` range 的备选，欠一次测量 + 裁定关 OQ-6；内部 shader 烘焙**半已落地**（颜色 blit `WireColorBlitSpirv.h`，仅 split 臂），欠深度 mip 烘焙 + `MOBILEGL_BAKED_INTERNAL_SHADERS` 新鲜度门（0 处）；D18 按 ID-P7-6 读法一句闭。**新增必须项**：Magma `StateObjectDeathOps`（六处特判）、OQ-8 归档 `storageBlocks`（`MagmaProgramSource::EnsureStorageBlocks` 每 draw 重跑 SPIRV-Reflect）、OQ-10 `kCapResidentSubData` 从未发布（split 下双后端退回就地 memcpy）、两处 `MagmaP7AllocatorDebtScope`。**P6 真机发现（2026-09-22 归此）**：`DirectVulkan` 分离路径在 Redmi 上两次观测 0.988998 / 0.976494（inproc 与 spawn 同表现，pbuffer monolith 1.0；case 归属、重复次数未记录，原始证据不在树内；取自 run-ahead ARMED 下，**lockstep 对照从未在 golden 口径下跑过**——wave 1 的 E1）——Magma × 真实 GPU；树上 `@P7` 具名拒绝**实为 15 处 / 4 文件**（`multisample-blit-shape` / `-aspect`、`depth-stencil-mipmap`（已窄化到 D\|S 合并）、`vertex-layout`、`vertex-format-conversion`、`texel-buffer-native-format`、`unaligned-{texel,storage,atomic}-buffer-range`、`storage-buffer-native-range`、`uniform-block-native-range`、`uniform-buffer-byte-tail` / `-dynamic-offset`、`copy-image-in-place`、`default-color-blit-shape`；外加 Magma 无 `StateObjectDeathOps` 与 `buffer-legacy-arm`），**全部是绕过 `Session::Fail` 与普查门的裸 abort**；必须退役 `.6/.8/.9/.11/.12/.13`，其余改 decline 即可；链接实验分给 P7 的 **101 个符号**（D12）。`DynamicBackendParameters` 定宽重写**不再是 P7 的**——它是跨平台 wire 的前提，归 P6.5 wf | 集成 + trace 在 Magma 的 push 与 split 下全绿（inproc 半已是硬门；**spawn / TCP 臂今天 DirectVulkan 条目为 0**——四条 split 臂硬编码 `MOBILEGL_BACKEND_TYPE=DirectGLES`，wave 0 补后端维度）；verify 零分歧（verify 今天只注册 monolith，verify+split 撞旧 `PipeRespecifyScope` 断言，先清）；真机 DirectVulkan split ssim 回到 1.0（分母排除 rd12 in-world 与 create-indirect，ID-P7-4；必须带 `RUN_AHEAD=0` 对照臂）；184 符号棘轮（契约 §12.1）下降 P7 的 101 个——原 "`nm -D libMobileGLServer.so \| grep glslang` 为空" 不可达，D12 裁定 server 镜像就是整个 `libMobileGL.so`；仪器 `scripts/link_ratchet.py`（存符号列表、只对新增红）归 wave 0；CTS 五块（`texture_*` / `shader_image_*` / `packed_pixels` / `direct_state_access.*` / `uniform_buffer_object*`）先立 monolith×DirectVulkan 基线再比 inproc，≤0.5 pp 且新 crash = 0 单独硬红。**再基线检查点：中点完成子系统 < 40% 立即重定基线**（分母 = `notes/p7/PLAN-PH-P34B-P7.md` §4 的 9 项） |
 | **P8** emulation 下放 + 索引宿主镜像 + 协议广度 | 待排 | `MG_Impl/Pipe/HostResolve.cpp`（~~client 数组范围~~ 已由 `beba0256` 落地为 owned buffer；最大索引扫描、`*IndirectCount` 解析，逐站点 reconcile）；`Server/IndexHostMirror` **待重裁**（树里 0 处；a6 §6 实测宿主索引 span 无 producer、client 索引已是 owned buffer——按 `kCapNeedsHostIndexBytes` 的真实消费者重新裁定，不照抄 `ARCHITECTURE.md` §10.3）；multi-draw client indices（`MultiDrawElements+CLIENT_INDICES` 仍具名拒绝）；CopyImage 镜像搬到 client；viewport-array 回放验证；`generate_mipmap` 计划 + CPU 回退纹素；`texture-remint-pull` 仿真下放（15 处具名拒绝）；大 blob carrier 只剩 **program archive 与 `draw_vbo` range 尾**（a6 §6；与 P6.5 sl 共用同一分片）；`kCapDriverOrderedXfbCapture`（0 处）；~~无 present fence tick~~ 只记在 P10 | `'^DirectGLES\.Split\.'` 与 `'^DirectGLES\.'` 逐名相同；trace split 双后端 SSIM ≥ 0.99 含两个 `coherent_as_flush` fixture；`ClientArrayAfterComputeWriteScenario`；`create-indirect` 上 `roundtrips-per-frame` 读零；`index-mirror-bytes` 逐用例发布 |
 | **P9** 反向通道 | 待排，**P6.5 之后**（2026-09-22 重定范围） | **异步 reply 语义**，机制建立在 P6.5 的消息式 reply 之上（不再造 `SEG_REPLY` slot 池——池今天就有，stream 链路会删它）；2 MiB reply cap 与 chunked readback（契约 §10.2.3 从 P6 改判至此，ID-47）；PACK-PBO 回读 fire-and-forget + client 侧 `MarkGpuWritten`（ID-57，P6 未做）；十个回调里未武装的四个：`OnTextureWriteback`、`OnTexturePullRequest`、`OnMipLevelsGenerated`、`OnLog` 分级（`OnXfbScatterReady` 是零生产者、零消费者、无 EventKind 的死声明——随 P3b/P4b 删除，`kMGPipeCallbackCount` 10→9；`ClientSession.cpp:429`；`OnBufferWriteback` / `OnGpuWritten` / `OnSurfaceChanged` / `OnGlError` / `OnCapsInvalidated` 已武装）；`OnGpuWritten` 收窄；`OnBufferWriteback` 批处理 + epoch 排序；`OnGlError` 有序（CONTRACT-P5C §4.2）；纹理拉取四条缓解 + 终止符；XFB 命名空间（`DeleteTransformFeedback` 的 server 侧泄漏——按裁定无行、最后两个 class-C 之一）。~~`SEG_EVENT` 溢出策略~~ 机制已由 P5e 落地（`ARCHITECTURE.md` §11.7），剩余的"不排空对端杀宿主"归 Ph | 回读 / XFB 场景在 split 下绿；`TextureRemintPullScenario`（含无解用例）；拉取计数逐 trace 发布；两条故障注入 |
 | **P10** sync / query / present 节奏 | 待排 | ~~client 铸造 query handle~~（已是：`QueryCreate` 为 `kWaitNone`）；轮询入口成门铃点 + `MOBILEGL_IPC_POLL_ESCALATE`（0 处；TCP 上是首要杠杆之一）；DirectGLES 的 fence 完成度来自逐 fence 退休（`g_completedFrameSerial` 仍只在 `Present` 前进；Magma 那半已由 run-ahead 落地）；非 present fence tick（唯一记载处）；`present` 1:1（已是）；~~credit 默认 1~~（已是默认，`ConfigLoader.cpp:414`）；**`PRESENT_CREDIT > 1` 从未量过**（重审 §8.7）——带延迟链路上的首要杠杆，inproc 臂上即可取；roundtrip 计数器与输入延迟直方图（今天只有 `MapPersistentRoundtrips`）；`SetSwapInterval`（最后一个手写 class-C，`EmitTables.cpp:1665`） | query / XFB / `AsyncCompile` 场景在 split 下绿；trace 上 draw / state / upload 路径 roundtrip 读零；零 timeout 轮询有界退出；credit 1..3 在 TCP loopback 与跨机臂上的配对记录；配对 A/B 记录 |
@@ -229,7 +229,7 @@ P5c 当时移交的对象类 BARRIER-PULLED、transport registry 前端键、EGL
 - **CI / inproc 收尾出口（2026-09-21）**：`feat/disaggregated` 主产物拆分编译 + inproc 主验收全绿——unit 2328 零失败、`integration-gpu` 双 transport 各 1455 零失败、retrace 77 例 monolith 77/77 且 inproc 的唯一间歇项（`bsl-esc-menu-854` DirectVulkan，lavapipe 固有 texture-handle 注册停顿越过旧 30 s barrier 预算）在预算修正为 120 s 后隔离 10/10 绿、18 项 CI 门全绿、双 ABI APK 与 AVD 生命周期验证通过；合入头 `e1bf3677`，最终矩阵以远端 CI 为准。
 - **P6 收官（2026-09-22）**：a6/c6/lk/so/sm/cp/hs/dl/st/t6 十包于 2026-09-21 合入 `feat/disaggregated`（头 `77cbd176`）；三种传输（monolith/inproc/spawn）桌面与真机两进程 retrace 逐像素对上 golden；device-lost 闩把杀 server 从 123 s 错误 `BarrierTimeout` 变 5.7 s 正确 `DEVICE LOST`；`Session::Fail` 漏斗把裸 abort 93→4。出口门 1–6 ✅；**门 7 / 8 于 2026-09-22 采齐**：真机 reboot-clean 同热窗口配对 A/B 六臂 18/18 runner 退出 0、36/36 `PINNED`、0 `Fatal`，inproc vs spawn 的 client CPU p50 差 −0.15%（第二会话 +0.16%）——**判读 tie**（臂内散布 0.2–4.2%），monolith 基线约贵 30%；门 8 三数齐（门铃 A/B tie、`SEG_STAGE` 字节/帧、分块后记录/帧）；G1 符号 0/0/0/0 且 `.text` 逐字节相同。**P6 就此收官，未设性能门**（只记录）。逐项见 `CURRENT_STAGE_PROGRESS.md`。
 - **终局改判（2026-09-22）**：AVF pVM / `AF_VSOCK` 终局撤回，改为 TCP 跨机跨平台 + 控制面 × 数据面两轴传输栈；P6.5 上关键路径，Ph 前置于 P12 的非 loopback 监听；P6 核出三项漏项（server 进程 `PipeStats` 结构性零——收尾中已修、184 棘轮门、hs 的三行契约未落地）与 `CURRENT_STAGE_PROGRESS.md` 里一条错误的 S6 陈述（已改）；class-C 已归零到两个（`SetSwapInterval`、`DeleteTransformFeedback`）。
-- **P7 wave 2 落地（2026-09-22）**：X1 / F1 / C / A / B / D1 / D2 / D3 / B2 / B3 十包合入 `feat/disaggregated`（`origin@b089e0de`，B3 在集成树上待推），每包八车道全绿、G1 恒等、每包一条两进程臂 red-once、每包一次 fable 聚焦审查；子系统分母 **6/9** 于 B2 落地时越过 40% 中点，不触发重定基线。真机 p7w4：门 3 34/36 与 monolith 同；OpenRA 的两个历史点值（0.976494 / 0.988998）被证明是同一帧一次 draw 的顶点前缀撕裂——wire 臂的 frame-serial floor 不健全，B3 关闭；bsl-esc-menu 是 server 死 VkBuffer 无界累积，M2 在修。
+- **P7 wave 2 落地（2026-09-22）**：X1 / F1 / C / A / B / D1 / D2 / D3 / B2 / B3 十包合入 `feat/disaggregated`（`origin@b089e0de`，B3 在集成树上待推），每包八车道全绿、G1 恒等、每包一条两进程臂 red-once、每包一次 fable 聚焦审查；子系统分母 **6/9** 于 B2 落地时越过 40% 中点，不触发重定基线。真机 p7w4：门 3 34/36 与 monolith 同；OpenRA 的两个历史点值（0.976494 / 0.988998）被证明是同一帧一次 draw 的顶点前缀撕裂——wire 臂的 frame-serial floor 不健全，B3 关闭；bsl-esc-menu 是 server 死 VkBuffer 无界累积，M2 + r2 已落地（主机 spawn server 825 → 546 MiB；真机验收待 p7w6）。
 - 仍是方向、不据此伪造新日历：全功能 split（P8 之后）、纯度门在非 verify 构建上转绿（P13）。
 
 再基线检查点仅剩一条：**P7 中点完成子系统 < 40% 立即重定基线**（P3a 的检查点发现不了 Magma 特有的超期）。
diff --git a/docs/Disaggregated/notes/handoff/review-m2-r2.md b/docs/Disaggregated/notes/handoff/review-m2-r2.md
new file mode 100644
index 00000000..5c292d10
--- /dev/null
+++ b/docs/Disaggregated/notes/handoff/review-m2-r2.md
@@ -0,0 +1,14 @@
+# Review: M2 round 2 (pipe 4d207468 959ebc9e 6e18acaa 5ba34fcf + integrator f62703e9 1ab62ece) — integrator (Fable 5.1, main session)
+
+**Verdict: land** (no change required before push; one cost recorded in CONTRACT-P7 §12 as M3's denominator).
+
+The must-fix from round 1 (memo handle-reuse ABA) is closed the way the review asked: `VkBufferManager::m_wireStoreDestroyEpoch` is bumped on every path that destroys a wire store's VkBuffer and never reset; `UniformManager` folds it into the descriptor-reuse signature (`mix64(epoch)`) and records/compares it in `FastRebindMemo`, all under `MOBILEGL_BUILD_DISAGGREGATED`.
+
+Verified on the pipe source, not the note:
+1. Every destroy site is covered. `DeferWireRelease`'s immediate destroy (`buffer.Destroy(); ++epoch`), `SweepDeferredWireReleases` (returns at `dead == 0` BEFORE the bump, so a sweep that freed nothing does not defeat the memo on the next draw), `DestroyAllDeferredWireReleases` (bump iff non-empty), `Shutdown`'s `m_wireBuffers.clear()` (bump iff non-empty). `DestroyWireBuffer` moves the store into `DeferWireRelease` and only then erases the record, so the erase destroys nothing. The seven remaining `buffer.Destroy()` calls in the file are the non-wire records, which still die at the frame boundary that clears the memos.
+2. The epoch is the destroy count's parity, not the slice epoch: `m_sliceEpochCounter` moves on every `WriteWireBuffer` and would miss on every `glBufferSubData`; the destroy epoch moves ~26k times over bsl's 1.3M calls. Cost = one extra descriptor-set acquire+write on the first draw after each destroy event, which also feeds §6.1's in-frame descriptor-set growth (M3).
+3. `FastRebindMemo` aggregate initialiser order matches the struct (epoch last, guarded on both sides); the wire arm never takes the fast rebind (`SetupWireDraw` passes no sampler hint), so the signature half is the one the scenario reds through; the memo half is defensive and costs nothing.
+4. The red-once is deterministic by construction (no sleep, no fence-poll race): orphan → flush-without-wait → a staged copy keeps the recording pending so the blocking wait cannot take the memo-clearing drain → the next park's sweep destroys S1 → a 64 KiB mint through the freed handle cannot alias the 256-byte hole a 1 MiB pin bounds → the draw reads the dead store's colour without the epoch. Both arms red at base, green with the guards; the note's static-link finding (the Split arm runs the backend compiled into the test binary) is worth keeping for every future red-once.
+5. Integrator additions: `RespecifyWireBuffer` clears B3's `lastUseSubmitIndex` beside `lastUseSerial` (pipe-only field; the create path already zeroes it at :303, so 0 = never submitted); the parity exception list on pipe is keyed by exact tail (two merges ago) so the fourth Reclaim case is named there (the package branch excepts by prefix). `ServerSpawn` keeps `SPIN_US` / `SERVER_AFFINITY` / `AUDIT` for the child (tuning / audit values, no endpoint, role, path or size; ServerMain's catch (b) still verifies its four).
+
+Gate on f62703e9: unit 2436, split 304, spawn 220, tcp 223, magma 101 / 80 / 71, full-split 539, G1 `.text` 0xa52203 nm +0/-0, census 79, ratchet 173, wire-declines 53/53/0 + 16/16, OpenRA DirectVulkan inproc + spawn ssim 1.000000 / 0 unsound lines, verify lanes 1150 / 1084; parity 0 errors after 1ab62ece.
diff --git a/docs/Disaggregated/notes/p7/INTEGRATOR-DECISIONS-P7.md b/docs/Disaggregated/notes/p7/INTEGRATOR-DECISIONS-P7.md
index 697e4fff..86e559a3 100644
--- a/docs/Disaggregated/notes/p7/INTEGRATOR-DECISIONS-P7.md
+++ b/docs/Disaggregated/notes/p7/INTEGRATOR-DECISIONS-P7.md
@@ -48,4 +48,5 @@
 | ID-P7-43 | 2026-09-22 | **M2 审查 = land with fixes，含一条 must-fix；集成者会话收尾并交接。** M2 审查（fable）：**must-fix** = 中帧 use-after-free 的新可达点——M2 让孤儿 wire store 在帧中被销毁，而 `UniformManager` 的 `FastRebindMemo` 按裸 `VkBuffer` 句柄命中、descriptor-reuse memo 的签名混入 `VkDescriptorBufferInfo` 字词，二者都不看 epoch；句柄被堆复用后同一 program 的下一次 draw 命中旧 descriptor set → 静默错 UBO / SSBO 字节、无 Fatal（base 上 wire store 只在 `BeginFrame`/drain 死，与 memo 清空配对，M2 打破了配对）。修法 ~10 行：`VkBufferManager` 的 `m_wireStoreDestroyEpoch` 在每条销毁路径上自增，`UniformManager` 的两个 memo 带上 / 混入它（disagg 守卫内）——在 M2 分区之外，**集成者按 §9 批准例外**，已派 **M2 r2**（fable）；同轮：note §0 引用改 pipe SHA、`VkBufferManager.h` 的「floor 非证明」去掉过期理由、case 3 单侧断言补 `ASSERT_GE`、「never decreases」注释、`RespecifyWireBuffer` 清 `lastUseSubmitIndex`、`ServerSpawn.cpp` 清洗名单补 `SpinUs/ServerAffinity/Audit`。审查确认：提前释放的三个条件健全（每条把 store 交给 GPU 的路径都打 `lastUseSerial`；park tag ≥ B3 的 `lastUseSubmitIndex`；`IsSubmitIndexComplete` 拒绝未提交索引；空闲判定真）、水位线同线程无跨线程等待、失败漏斗同族一处 abort、计量 / 配置全在 push / disagg 守卫内、descriptor-set 归因成立（VMA 子分配，M1 的「一 VkBuffer 一 memfd」不可能）。**用户令收尾**：让在跑的 agent 跑完并把报告写到 `~/w7/notes/handoff/`，机械未完项写进 [`HANDOFF-2026-09-22.md`](HANDOFF-2026-09-22.md)（M2 r2 落地 → p7w6 + 手机 server 重部署 → bsl 验收 / 窗口 1b 对照 / 门 3 终局 → M3 → B4 → F2 → wave 3 棘轮 88 → wave 4 CTS AFTER → wave 5），交给其他 agent。 | 推送集成树头（门全绿；M2 的 must-fix 由 M2 r2 关闭，在此之前 wire 臂有一处已知可达的 memo ABA）。 | `UniformManager.{h,cpp}`、`VkBufferManager.{h,cpp}`、`HANDOFF-2026-09-22.md` |
 | ID-P7-44 | 2026-09-22 | **用户叫停 fable 审查代理，改由集成者本人审查。** F 修复轮 = **land**（两 nit 记债：`RunSession` 里 `Accept()` 返回到 `close(sourceFd)` 之间已转发的一条 DataBind 会随队列被关而无具名拒绝，微秒级窗口；`protocol.fbs` 任何字节变化都要 bump，严格但有意）；B3 修复 r3 + B2 r4 = **land**（审计跨 `#endif` 只认整行 disagg 守卫、任意缩进 `#else` 停走；`EVIDENCE` 三种空模式都拒；模式位 100755；窗口腿底色品红 / 0.625 独一；门控只看 transport）。审查文本在 `notes/handoff/review-f-fix.md`、`review-b3r3-b2r4.md`（仓库与 WSL `~/w7/notes/handoff/` 各一份）。 | 集成树头已推送；余下机械项见 HANDOFF。 | `notes/handoff/` |
 | ID-P7-45 | 2026-09-22 | **X2 落地**（pipe，test-only）：`InitialCapsStartup.*` 与 `SocketTransportTest` 的 TCP 用例在负载下偶红的真因是**夹具**按 accept 顺序配对两条 loopback 连接，而内核在负载下会乱序交付（裸 socket 探针：空闲 0/2000、20 个 CPU 占用者下 5/3000）——对端把数据套接字当控制用，`StreamLink` 读到 `MGLD` 魔数外的首帧 → `Fatal{ProtocolCorruption,"StreamLink"}`；夹具改用产品的 DataBind nonce 会合（PH-7 (4) 形状），三例 0/500；无产品字节变化，G1 恒等。域外债：`AcceptPair`/`ConnectTo` 对 `tcp://` 监听仍可调且按顺序配对（产品从不这样用），未具名拒绝。 | pipe unit 车道全绿后推送；`~/w7/notes/handoff/x2-caps-flake.md`。 | `InitialCapsStartupTest.cpp`、`SocketTransportTest.cpp` |
+| ID-P7-46 | 2026-09-22 | **M2 r2 落地（集成者本人审查 = land，must-fix 关闭）**：`VkBufferManager::m_wireStoreDestroyEpoch` 在四条销毁 wire store 的路径上自增（`DeferWireRelease` 即时销毁、有销毁的扫描每次一跳、`DestroyAllDeferredWireReleases`、`Shutdown` 清 record 持有的 store），永不复位；`UniformManager` 的 descriptor-reuse 签名 `mix64(epoch)`、`FastRebindMemo` 记录并比对（全在 disagg 守卫内；§9 分区例外已批）；第四条 Reclaim 用例（一帧内 orphan → 不等待的 flush → 一条 staged copy 挡住清 memo 的 drain → 下一次停放的扫描销毁 S1 → 64 KiB 经同一句柄值铸造、放不进 1 MiB pin 封住的 256 B 洞 → draw）red-once 两臂读到死 store 的颜色，加守卫后绿。集成者核对：扫描在 `dead == 0` 先返回、不空跳 epoch；`DestroyWireBuffer` 先 move 进 defer 再 erase；文件里其余七处 `buffer.Destroy()` 都是非 wire record；`FastRebindMemo` 聚合初始化顺序与结构体一致。pipe 独有一行：`RespecifyWireBuffer` 顺带清 B3 的 `lastUseSubmitIndex`（`f62703e9`）；`spawn_lane_parity.py` 的具名例外表补第四条 tail（`1ab62ece`；包分支按前缀例外、pipe 两次合并后按精确名——门上唯一的一条 parity 红就是它）；`ServerSpawn` 放行 `SPIN_US` / `SERVER_AFFINITY` / `AUDIT`。**代价记 §12（M3 的分母）**：每次销毁事件后同 program 第一笔 draw 多一次 descriptor set 分配 + 写（bsl ~2.6 万 / 130 万）。方法学：`MobileGLIntegrationTest` 桌面上静态链接 `MobileGL_s`，Split 臂跑的是编进测试二进制的 backend——red-once 变体必须三个目标都建。 | 门（`f62703e9`）：unit 2436、split 304、spawn 220、tcp 223、magma 101 / 80 / 71、full 539、G1 恒等、普查 79、棘轮 173、审计 53/53/0、OpenRA inproc + spawn ssim 1.0 / 0 unsound、verify 1150 / 1084；parity 0（`1ab62ece`）；推送。审查文本 `notes/handoff/review-m2-r2.md`。 | `VkBufferManager.{h,cpp}`、`UniformManager.{h,cpp}`、`MagmaWireReclaimScenario.cpp`、`ServerSpawn.cpp`、`spawn_lane_parity.py` |
 | ID-P7-19 | 2026-09-22 | OpenRA 真机分歧改判为 **wire 臂的 GPU 时序竞态**（冷驱动缓存 = 慢 pipeline 创建 → 最终帧回读在最后几批 draw 完成前采样），归 wave 2-B 第 0 片；主机 red-once 用 pipeline 创建延迟旋钮复现；真机验收 = 三次 `pm clear` 冷跑 1.0。F1 保留（机制正确）但不再被当作分歧原因。 | E7：`pm clear` 三遍 0.976493989 / 14658 逐字相同、热跑 1.0、冷 monolith 1.0、`FRAMESINFLIGHT=1` 一绿一红；两臂 client/server 日志逐行相同；diff 只缺最后画的对象。 | `WireFramebuffer.inc`、`VulkanRenderer.cpp`、`F1-verify/README.md` |