验证宿主，但不伪造 SLO。

让记录器管理时间与记账

QualificationRun 使用单调时钟，只能依次经过 Warmup、Measurement、Drain 与 Finished。测量阶段的操作守卫有明确上界；未记录结果就被丢弃会成为非预期失败，还有进行中工作时不能结束排空。

let plan = FaultPlan::ci_default();
let run = QualificationRun::start(
    QualificationProfile::CiReduced,
    QualificationScenario::AgentHostControlPlaneV1,
    QualificationWindow::ci_default(),
    environment,
    &plan,
)?;

run.begin_measurement()?;
let operation = run.recorder().begin_operation()?;
// 记录真实 Signal 与由外部完成检查的故障不变量。
operation.finish(OperationOutcome::Completed)?;
run.begin_drain()?;

let report = run.finish()?;
let envelope = report.to_integrity_envelope()?;

缺失证据必须保持可见

• 绑定环境

  记录 Commit、Tree、Lockfile、数据集与配置摘要，以及有界机器、PostgreSQL、 拓扑和数据库 RTT 信息。

• 保留完整延迟分布

  准入提交、Runnable Claim、已连接 SSE 投递和重连均使用有界 HDR Histogram，同时保留原始与修正后的样本数。

• 安全事实必须为零

  已确认记录丢失、过期围栏写入被接受、跨租户披露和外部效果重复，在所有配置中都会失败。

• 不得捏造未测数据

  缩减运行把未测量的饱和度或公平性写成 null 和 informational_missing；发布运行遇到相同缺失会失败。

使用稳定且由外部控制的故障

v1 固定表示数据库不可用、宿主依赖就绪检查失效、工作进程丢失、滚动替换、 验证器不可用和运维策略过期。StateKnot 只记录注入、恢复与已检查不变量， 不持有基础设施凭据，也不自行执行故障操作。

当前可执行证据

PostgreSQL 16/17 CI 使用真实 Agent Host 执行缩减配置：从 HTTP 准入到 Graph 终态、基于 Journal 的 Runnable-to-claim 时间、实时与重放 SSE、受保护运维 读取、依赖拒绝/恢复，以及旧宿主排空前替换宿主先就绪。它证明验证工具接线和 不变量，不证明生产容量。使用前请阅读完整运维合约和 Draft RFC-0017。