SCO 退出估算与会话恢复

固定游戏 SHA-256：ed5a8f8cd10f9a80d3bda5badd7ba1d4fcfc15996c8c7e018852cb170e264b63。

退出距离

旧接近条件直接使用当前速度乘 13 秒。SCO 速度远高于退出后的普通超巡速度，因此该条件会在长航段中提前结束超频，随后再次启动。

ScoBrakingPredictor.EstimateExit 分别预算停机响应、原版 Cooling/辅助控制恢复、普通超巡的超速衰减和最后的六秒进近包络。它对可能的普通超巡接管时刻计算累计位移加剩余进近距离，不把启动 SCO 时的速度作为全程匀速。Cooling 恢复时间来自本次装配的完整真实退出曲线，保留步长余量和距离余量；这是带在线复核的估算，不是任意环境的形式化距离保证。

控制顺序如下：

默认 shadow 继续使用旧接近条件，记录原生停止、Cooling、Off、辅助控制恢复、实际速度降到普通上限的完整过程。
显式限时、限次数 trial 只使用同船、同参考系、同物理参数和装配下的已完成曲线。
真实 trial 的新距离条件确实触发原版停止，且完整退出预算通过，才能显式推广到 production。
production 在每个新场景重新检查当前身份、物理来源和装配；不复用旧参考系的坐标。换装、参数变化、超出速度/速度比包络、过期或退出残差异常回退到旧接近条件。

模型本身不写油门或速度。主机策略、原生守卫和停止回执消费同一份 scoExitApproach，实际切换仍通过原版方法。热量、碰撞、人工接管和健康保护独立优先。

物理来源资格

原来仅检查注册接口的前置条件，会把“接口存在”当作“正在产生运动修正”。两项实际依据是：

目标速度修正：读取原版 PhysicsUpdate 完成后的 620 权重与 660 向量。本轮只允许有限且已确认零作用的缓存，非零或未知仍回退。
外部运动修正：核对固定构建 22EBC40 的完整纯条件字节，并直接读取它实际检查的两个开关和两个指针；不会从观察线程调用未知 getter。完成输出的 720/740 缓存也必须符合零作用范围。

Loader 仅在原版 PhysicsUpdate 正常返回后发布固定大小、带版本的只读快照。CruiseControl 核对实体、参考系、组件、输入上下文、线程、完成步数和很短的新鲜度窗口。缺少导出、旧版本、失效快照或作用未知不能默认授权。

SCO 时钟累计每次匹配的原版更新 delta。退出积分使用完整原生更新的累计 simulation 时间；不使用稀疏 IPC 的采样间隔，也不把 UTC 时长替代 simulation 时间。无效步长产生新 epoch，不能拼接缺失曲线。

快速加速时，原版已完成物理更新的标量速度与下一阶段动力学向量可能不同。标量只与同阶段完成快照交叉核对，保持原有容差；预测与积分取已验证标量和向量模长的较大值。原始 SCO 油门和普通超巡目标油门分别记录，不能把 Active 阶段的原版全油门当作普通进近油门，也不能在 Cooling 阶段默认全油门已归零。

原版停止后首个 Cooling 回调可能仍读到上一物理更新的全油门完成快照。仅当本策略已记录同绑定的实际原版停止、当前恰为下一回调且不超过 25 ms、历史输入为 [0,0,1]、当前为已验证普通进近输入、所有身份和零作用条件仍成立时，允许这一个输入阶段过渡，并在退出回执记录次数。短加速可能在第一个回调前就结束冷却；此时还须原版同步停止回执确实确认 2→3，才能允许首个 Off 回调的同类过渡。回执分别记录同步 Cooling 确认与实际 Cooling 回调数，不虚构冷却持续时间。其他输入差异、重复使用、未知来源或非零作用仍拒绝。

已确认退出过程中，普通控制也可能在两个物理阶段间从 0.75 收至 0 或恢复。只有两阶段横向输入均为零、前向输入均在 [0, ordinary≤0.75] 内，且连续同绑定帧的普通速度上限不小于目标偏置时，才按该输入域接受变化；原版目标速度在此域随油门单调增加，模型的普通油门给出较弱制动。该条件只维护已有真实退出积分，不能凭它单独获得试验资格。负油门、越界、未知输入和非零外部作用仍拒绝。

启动时同样存在输入阶段切换。只有本次真实原版 enable 回执确认 0→1，且紧随其后的单个 Armed 回调仍为同绑定、同目标、同参数和连续时钟，完成输入精确等于此前已验证普通输入、当前输入为全前向时，才接受该帧；witness 每次观察即消费，不允许重复、迟到或未知来源借用。

燃油准备与返回补给

统一航程在离站前核对会话、船体、自动离站资格及燃油，站内仅通过原版服务报价和带唯一操作号的确认回执补油。实际增加燃油后按新重量重新规划原目标一次；零报价不付款、不产生新服务回执，也不额外重规划。跑商调用会把真实服务费用记入原利润账本。

燃油确认同时核对已付款回执、原版最终零残余报价、同船、同次 LoadGame、同停靠站、主箱或储备箱实际增加、新 Status 文件写入和回执后的稳定读取。内容时间只有秒精度，因此允许同秒真实确认；仅零报价、旧内容重读或只修改文件时间不能确认补油。是否重新规划按主箱与储备箱的总质量增量判断。初始及回执后的燃油确认分别最多等待十秒，身份、健康及人工取消异常不参与重试。

没有启用油勺的船不再永久等待加到满油。若预算不足，只允许一次回到本次航程最初确认过的同星系补给站，保持原货物和目标，经正常超巡返回且禁用 SCO；每次观察和控制前复核剩余油量及身份。跨星系、缺少可信原站、第二次不足、危险状态或人工停止均不能用该恢复继续飞行。

静止停靠时 Status 文件可能长期不重写。仅在重新确认同会话、同停靠状态且读取新鲜时保留其真实燃油；飞行中及旧会话仍执行原新鲜度限制。显式站点航程可在已运行游戏的已确认主菜单接续原会话，普通工具箱启动不会自行进入游戏。

离站与启动恢复

原版自动离站会返回重复观察。完全相同的重复帧不授予新路径，也不撤销已确认路径；冲突重复、倒序、身份变化和危险运动仍拒绝。短暂采样空档只有在原版离站控制仍然有效时才能重新积累连续路径，不跨空档拼接，也不从已停止的状态推导成功。

启动接口的 ready=true 表示服务已初始化，不能证明已经进入驾驶舱。启动成功还需要原生 InGame，以及新 LoadGame 后的真实 Location、可靠 Cargo 和当前星系。

只有连续新鲜的原版 FailedToConnect，并确认没有实时驾驶场景，才进入连接恢复。每轮至多两次官方客户端恢复；持续失败的重复跑商在可取消的退避后再核对。写完证据之后、结束客户端之前再次读取实时菜单和导航状态，并核对 PID、启动时间、游戏构建和身份。正常加载、未知状态和用户取消不会因此被重启。

已退出进程会从启动目标中剔除；PID 复用不能被视为原实例。身份、协议和安全暂停异常，包括明确包装在传输异常中的身份错误，不进入普通连接或崩溃恢复。所有恢复保留原订单与交易回执，不能重放未核对的交易。

自然参考系切换后，旧参考系不会重新出现。旧 SCO 拥有权的停用确认可使用同实体、同实际组件的新鲜关闭/冷却状态，但必须匹配本次 enable 的所有者、请求号、选择代次、时间和旧参考系真实原版停止回执；缺字段、异组件或旧命令回执仍拒绝。随后重新 watch 并清空旧历史，不移动旧 proof。主驾驶轴、SCO、停靠输入和原辅助控制分别清理，即使某一步确认失败也执行其余步骤；单个原错误保留，多错聚合，不吞身份或安全异常。

验收入口

--accept-sco 使用正常的完整站点航程，执行 shadow、释放、trial、再次释放、推广和真实停靠。报告包含原生停止回执、simulation 时钟、积分、有限曲线和真实 Journal 结果。只有实际采用新预算的停止才可通过，不能用旧 13 秒条件、热停机或转向停机替代。

双星等场景的自然参考系切换可以重新采样，不能搬用旧参考系的 proof。验收仅在同进程、同船、同真实目的站的新鲜 SC 观察中允许最多三次重新资格；总预算不重置，普通航程继续，新参考系必须重新完成 shadow 和 trial。实体变化、坏步长、缺失来源、用户停止和真实驾驶失败不属于此恢复。

同一次两次 burst 的有限授权内，若首个停止明确是超已测速度/速度比域后的旧十三秒距离回退，且同绑定完整 shadow 曲线通过、来源及热量燃油仍有效、原期限未变且仅余一次，验收可消费该回执后尝试剩余一次。不会重新 arm、延长期限或扩大校准域，也不会将回退计为成功；第二次仍回退或任何曲线失败就结束。每次 attempt 的实际停止证据独立核对。

指定 --resume-cg-after-sco 时，只有验收通过才接续原配置；写报告后还会再核对用户 Stop、关闭窗口、停止文件、当前身份、健康与空货舱。已经完成的历史验收不能覆盖随后收到的取消。

本轮离线验证

SDK 0.5.29-dev、当前候选控制服务 CruiseControl0514w。最新完整并行 32 回归共 1859 项，1853 通过、0 失败、6 跳过，覆盖输入过渡、同步原版启停、跨参考系停用、独立清理、有限试验回退、储备箱边界、罚款货源改选、离站连续性、飞行中连接故障分类、维护费用快照、到站目标确认、无输入跃迁等待及取消来源。原生 ABI/握手验证版本为 .29，20 次状态回复与 3 次生命周期回复通过，没有操作实际游戏；后续控制扩展不改变该 POD ABI，但不声称其发布文件哈希与旧验证产物相同。

u、v、w 候选已分别完成真正使用新预算的原版停止、完整退出积分、显式推广及真实空舱停靠。v 的实际试验退出含 1348 次物理更新、5.840623 秒 simulation 积分；推广后又完成两次跨参考系的生产退出，分别包含 1499 次、1409 次更新。w 的新试验含 1377 次更新、5.839265 秒 simulation 积分，随后两次跨参考系生产退出分别含 1510 次、1385 次更新；2026-10-27 05:37:13 实际停靠 Bowen Dock。正常脱超巡和停靠时审批数据保留、当前控制资格停用、原有效期不变，均有真实状态证据。新预算允许这些已测航段晚于旧十三秒条件停止，但预算仍明显保守，不能宣称已最大化利用 SCO，或据此证明多日挂机稳定。

随后 CG 接续中发现独立的离站交接故障：维护关闭主机时，Journal 已确认 Undocked，但原版离站任务仍有效，安全路径和质量锁解除尚未确认。新主机仅因 Docked=false 跳过离站阶段，进入星际转向准备，实际船体降至约 70.29%，跑商保护停止。该实损发生在上述 SCO 停靠验收通过之后，不能把 SCO 通过报告写成整个 CG 接续成功，也不能忽略真实损伤或伪造下一轮交易。现场证据与后续离站接续修复必须单独核对。

导航弹层布局已在实际 1510×980 窗口、1.5 倍缩放下用独立 fixture 检查：选中系统卡与进度卡在右侧顺排，原图、局部、OCR、几何不相交及本地地图命令绑定通过。旧全窗口与新客户区导出尺寸不同，像素比较保留 uncertain，未自动拉伸；该结论不代表整个应用或真实远程地图交互已验收。

首轮全套并行出现两项市场测试失败，其原因是测试辅助目录清理使用全局 SqliteConnection.ClearAllPools()，跨数据库触发正常 WAL 合并。仅将含物理损坏及进程全局池操作的 MarketRecoveryTests 放入实际独立进程，保留其真实读写并发和全部断言；生产文件锚点规则不放宽。修正后市场恢复组 31/31 通过。以上离线结果不能替代 SCO 真实退出和停靠验收。

停靠期间的校准与站点访问

正常脱超巡、停靠及空闲参考系切换不会自动延长或搬用审批。仅当 SCO 已关闭、没有活动 burst、退出积分或未消费的启动 witness 时，才可保留已核对的物理审批数据；当前帧缺失有效物理来源时仍不能使用新估算。再次进入超巡必须重新满足完整来源域、同一装配及参数、身份、健康、人工接管和原期限检查。已知装配或超巡参数变化、真实危险、人工接管、活动退出期间来源丢失及残差失败仍撤销审批。首次生产审批失效的原因和帧保留在状态中，便于区分正常模式切换和真实资格失效。

普通中转或验收站的旧罚款不再阻塞整个跑商预检。真正买卖前的站点访问检查保留，同一笔罚款只报告一次，并按 1、2、4、8、15、30 秒退避核对；金额变化重新报告，每轮继续核对身份、停靠站、取消和安全状态。

动态货源选择每轮只扫描一次该指挥官的实际 Journal，汇总已确认的站点管辖阵营与未付罚款，再与原有排除集合合并；实际支付罚款后重新计算。抵达和准备创建新采购批次前再次核对。仅可靠空舱、无活动采购批次、无未核对或不确定订单时才可改选其他合法货源。固定货源、CG 目的地、已装载货物和原交易批次不会被替换；未知访问拒绝也不能被猜作罚款或自动付款。

跨主机进程的离站连续性

星际、本地及跑商入口在取得后续驾驶权之前核对离站连续性。Journal 的 Undocked 保存实际市场、站名与星系，只证明离开停机坪；不伪造停靠状态，也不推导为已完成安全出站。接续原版离站时只能使用同会话的真实原站与原版目录，继承已有离站计时，不重发起飞请求。观察目标仅选具有完整身份的物理天体，信号源不会被拿来推断原站。

三个起降 AI 布尔值可能来自控制器未解析时的默认 false。只有本帧确认进入实际控制器采样分支，且字段明确，才能证明原版任务已停。来源证据沿用既有输出的控制器可用、实际 AI 活动、原版零油门或本次零输入回执；缺失不能等价于不活动。每轮出站、同原站返航、接管判定及自有起飞取消确认都复用该条件。尚有原版 landing duty 也不能取得后续驾驶权。

同原站返航在实际 AI 三项明确不活动时保留正常停靠入口，不要求先向外推进。正常自由飞行也不会被旧离站记录锁死：可信的同会话超巡进入及退出回执可清除之前离站义务；完整当前装配没有安装任何起降电脑，且实际已解除质量锁定时，可单独确认自由飞行。断电或损坏的已安装模块不是“没有模块”，未知 AI 仍不能借用历史记录放行。

直接驱动和委托驱动的公开离站入口都清理自己的观察绑定、驾驶轴和已拥有的起飞请求；不释放其他控制者。来源不明时不能宣称起飞已取消，清理有界报告未确认，其他驾驶轴仍分别释放。

此修复完整回归 1814 项，1808 通过、0 失败、6 跳过；最后两处自由飞行边界另通过 37 项离站和 36 项统一协调器回归。实际受损现场经正常同站返航于 06:14:46 停靠 Bowen，随后原版维修回执和独立新鲜血量观测确认恢复到 100%。再次离站时，实际 AI 停止、原版安全路径、质量锁解除及约 5366 m 的 FSD 就绪状态先于星际控制；没有新增损伤。

06:20 的新 Homer 目标还完成了一次真正的 production 停止及完整 1132 步退出积分。它证明跨停靠及新航段可以实际使用策略，但该短段预算约 969.516 ls，比旧标量十三秒门槛约大 0.377 ls，不能将此段称为延长或最大化 SCO。随后游戏出现 Mauve Adder 配对连接错误、原生状态 FailedToConnect；这是独立的运行停止，不能把此前物理验收或维修成功写成已完成下一轮交货。

该故障后来经程序的官方客户端恢复流程，由旧实例 74916 接续到新实例 77528。新 LoadGame、Solo、飞船 8、可靠空货舱及 CG 贡献 32189 吨均实际核对，06:53:01 真实停靠 Homer。此结果验证的是从既有失败客户端启动恢复的流程；新增的飞行中异常分类、统一驾驶交接及 VM 捕获链经过回归测试，尚未在新实例再次人为诱发断线验收。新游戏从 shadow 重新建立 SCO 资格，没有导入旧实例的 proof 或 production 审批。

飞行中的连接失败与费用快照

本地飞行恢复耗尽后，以及星际航段连续缺少遥测三十秒且输入已释放时，可只读分类原版会话状态。只有连续两秒新鲜、递增的 FailedToConnect，且同进程、同构建的导航状态明确没有 InGame、连续姿态或连续热量，才能产生独立的连接恢复异常。ready 仅表示接口初始化，不能代替实时飞行证据。未知菜单、普通加载及仍有实时驾驶场景不会因此重启。

恢复始终绑定失败实例的 PID、启动时间、游戏哈希、指挥官、飞船、模式、LoadGame 和货物。原客户端退出前，在连续观察、证据写入之后及最终终止前再次核对这些条件、取消和既有健康与威胁保护。只有实际观察到原客户端退出，才允许官方新实例接续；随后按正常流程重新核对身份、模式和可靠货物。原订单和回执先协调，再继续采购，财务会话基线保留。每轮仍使用原有的官方有界重启和可取消退避，不新增凭遥测失败盲目重启的条件。

任何层级的取消、身份、安全、未知控制权或目的地变化都不能被并发传输错误盖过。主故障与清理失败聚合保留；已确认连接故障不会被清理错误替换，保护错误也不会因其中存在连接异常而被吞掉。场景恢复分支使用相同的整体异常保护检查。

原版站内服务确认后，只有持久费用账本首次接受该唯一操作号，才同步扣除状态中的已确认净利。长航程及故障终态不再继续显示支付前的缓存；重复回执和重启不重复扣款。活动采购批次的费用仍归其原批次账本，不提前增加完成轮数。本轮实际维修费用已经存在原账本，修复不修改任何历史金额或生成回执。

连续跃迁的到站目标确认

第十六批实际采购 1200 吨铀后，于 07:05:57 抵达 GL Virginis；07:06:03 的失败发生在 target.select，并非发出 FSD 充能。原生拒绝文字同时涵盖状态联锁及人工接管，旧实现只处理部分抵达尾段条件。故障当帧没有保留两阶段状态，不能用后来空闲的读取倒推出当时具体失败条件，也不能全局把此文字加入可重试列表。

新流程只在同会话、同船及当前星系的真实近期抵达上下文内，使用一次不重置的十秒期限只读核对 FSD 与完成物理快照。只有当前实体、参考系、健康、无人工接管及原生可选择条件都已确认时才重发目标选择；实际充能、跃迁及尚未同步时不发送选择或飞控输入。原生回执的正 generation、准确地址及 selected=true 都确认后，才更新驾驶器的下一跳。任何读取或回执中断不能外泄成重新计时的重试；期限耗尽保留同轮诊断并停止。期间身份、货物、目的地、航线或人工操作改变仍优先拒绝。该机制不修改原生联锁，不重新采购，也不重置原批次或财务会话。

最新发布在输入已释放、FSD 空闲、同游戏实例及健康状态都实际确认后，只替换工具箱，没有重启游戏。07:25:12 原版准确确认 AD Leonis 的 generation 3，07:26:06 实际跃迁抵达，07:29:55 停靠 Homer。原批次唯一买单和卖单均由服务器及客户端确认，货物实际从 1200 吨变为零；07:30:19 CG 贡献确认增至 33389 吨并持久结算为第十六轮，本批实际净利 60127130 Cr，全部累计净利 941019839 Cr。期间没有重复采购。此接续验证了自然空闲后的准确目标确认及原订单恢复；十秒等待分支由独立回归覆盖，没有为了演示在游戏中再次制造原拒绝。

最终实际工具箱的常规搜索与折叠高级搜索、CG 执行概览、会话轮数及利润经过原图、局部、OCR 和实际账本交叉核对，四项范围内的视觉 gate 通过。界面显示的会话完成 1 轮及 60033136 Cr，与历史累计 16 轮及原财务基线吻合；这不代表全应用或所有远程地图交互已经验收。后台截图本身未改变前台；另一次 UIAutomation 调整执行视图触发工具箱获得焦点，已记录并停止后续视图调整，未发送游戏输入，也未停止正常驾驶。

长跃迁等待与取消来源

第十七批自动完成满载采购并接续两跳，07:39:20 实际抵达 GL Virginis，随后已确认下一跳。07:41:40 开始前往 AD Leonis，07:42:16 宿主内部协调器被取消，07:42:30 游戏仍完成真实抵达。外层跑商 token 未取消，原生持久 W/S/X 接管记录为空；默认停止结果丢失了具体调用来源。最后一跳的航线清空事件更晚，不能据此归因。这一时间线与连续健康数据中断三十秒后的内部停止高度吻合，但旧日志不能唯一证明取消者，因此保留 1200 吨原货并等待确认用户是否手动取消，未擅自恢复，也未结算第十七轮。

修复将内部监测暂停与人工停止分开：取消前保存首次来源、航程阶段、身份、航线和跃迁摘要及原始异常；后续人工停止拥有否决权，并保留首次证据。未知、身份及安全错误不会被转成普通可重试错误。日志通过后台写入队列保存明细，显示简短原因，不让磁盘操作延迟紧急输入释放。界面观察到的航线变化不再调用用户停止命令或递增用户停止计数。目标确认日志的去重同时包含目标及 generation，避免连续两跳的成功回执相互覆盖。

健康样本超过五百毫秒仍禁止任何驾驶输入。只有导航 runner 已成功释放输入，且同一次载入、同船、同模式、同原星系、同实际跃迁目标和起跳事件均匹配时，监测才可在原有最多七十五秒的跃迁等待期间继续只读核对，不因三十秒缺帧取消整段航程。资格撤回、原期限到达、未知来源或真实危险仍暂停；健康 gap 自身另有七十五秒上限。等待不会刷新旧血量、延长输入资格或授权重启。恢复到普通飞行后必须重新取得当前健康样本及正常原生控制资格。

该补充版本通过上述 1859 项完整回归及发布构建，原生支持包与当前游戏所用包一致；目前是待接续的修复候选。此前第十六轮的实机交货与视觉通过属于前一运行版本；新的长等待分支已由隔离 IPC 和策略测试覆盖，尚未在游戏中再次人为制造健康数据缺失验证，不能把候选构建写成已经恢复第十七轮。