公开研究副本：本地绝对路径、实验主机地址已脱敏。NA 保留，Infomap社区不是业务功能金标；入口为Oracle Replay；未做真实设备在线验证。角色与功能关联是可审核离线推断，未经人工金标或独立外部审查。历史代表截图不认证当次控件对齐。原件 SHA 只认证原件，公开字节 SHA 见发布清单。

实现、接入与行为边界

Native 被动链路

既有链路为 StatefulAgent → JevRuntime.beforeInput → eventsGenerated → eventInjected/inputSummary → sync/recordTransition。Graph/StateTransition 提供模型边，但只有当前 Input 发生确认且有新的 GUITreeTransition，才输出可计流量的 TRANSITION。

writer 使用有界队列（默认 2048）和独立 daemon，Native offer 不等待消费。序号缺口、dropped、failed、queue peak 和 writer alive 均留证。异常使 Shadow 停止或丢日志，不进入 APE 决策；关闭最多等待 writer 3 秒。正常动作路径不做 Infomap 或磁盘 flush，JSON 冻结/序列化仍有实测成本。只启用 Shadow 会复用既有 observer Runtime，其初始化及既有审计成本尚未在 Android 上测量。

Native 输出目录需每 Run 独立；已有同名事件文件拒绝重写：

ape.jev.flow_shadow=true
ape.jev.flow_shadow.run_id=<unique-run-id>
ape.jev.flow_shadow.queue=2048

默认开关为 false。开启前仍应保证现有配置没有主动 Probe/Region gate/Provider；本实现不替用户更改这些配置。

独立分析器

tools/region_flow_shadow/core.py 是 Replay 与 Follow 共用 reducer；__main__.py 提供 JSONL 文件输入、周期 Snapshot、检查点、原子写文件及退出摘要。依赖成熟 infomap==2.15.1，未实现 Java Infomap 或修改正式依赖。

python -m tools.region_flow_shadow --input /path/region-flow-events.jsonl \
  --output /path/NEW-shadow-output --run-id RUN --interval 250 --follow

去掉 --follow 即 Replay。--idle-timeout 0 持续监听，SIGTERM/SIGINT 写终端删失快照；终端会话必须由调用者管理，本轮未部署长期服务。可用 --checkpoints 500,1000 增加确认执行计数检查点。半行保留，Replay 遇截断 fail closed，Follow 不提前解析。文件截短拒绝继续；同路径轮换文件不属于本轮支持的日志协议，应使用新 run/input/output。

可选入口目录 --entries FILE；事后标签额外要求 --allow-oracle。在线已审核目录应有 known_at_event_seq、同 Source Activity、精确成员身份；ModelAction 单独不构成入口。

分析器同步计算自己已冻结的图，Native 在另一进程继续写文件；计算期间的新事件保留到下一次读取。不是每动作重算，也不是成熟优化器本身的增量更新。max_event_seq 表示已消费事实，不是预测。异常通过独立进程返回，不回传 Native。无数据库、远程服务、GPU 或模型调用。

已验证与未验证

Native 输出 14 条事件中两条确认转换，Python 接入后图权重恰为 2；失败输入未继承旧成功。同固定 action/input/RNG trace 开关一致，c161 基线与本分支九条 constructor/selection trace 一致。JVM/DEX 构建通过。

这些测试证明覆盖路径的行为一致性，不是任意 Android 调度和故障下的形式证明。未做设备端 pull/tail 端到端在线验证；需要未来独立设备与 Run，不能以本轮 Replay 宣称在线完成。