RuView 边缘感知控制平面解析ADR-277 的用途、区域、留存与原始 RF 不可逾越的信任边界【免费下载链接】RuViewπ RuView turns commodity WiFi signals into real-time spatial intelligence, vital sign monitoring, and presence detection — all without a single pixel of video.项目地址: https://gitcode.com/GitHub_Trending/wi/RuView导读当 Wi-Fi 的感知输出开始服务于存在检测、生命体征与人员识别时真正值得审查的问题不再是能不能感知而是感知结果凭什么、在什么授权下、以何种形态离开设备。本文以 RuView 统一 RF 空间世界模型系列中的 ADR-277 为主体剖析其在 v2 工作区ruview-unifiedcrate 中落地的边缘感知控制平面edge sensing control plane以BoundedEvent类型系统使原始 RF 外泄在结构上不可表示、以PolicyEngine对感知用途/区域/留存做全面 fail-closed 授权、并以属性化输出满足可问责性。读完你将掌握这套先授权后出口、原始信号不出界控制平面的设计原理、Rust 实现细节与其属性测试验证方法。ADR-277 属于 ADR-273统一 RF 空间世界模型五大支柱中的第五项——802.11bf / ETSI ISAC 对齐的边缘感知控制平面状态为Accepted — P1 implemented实现位于 v2/crates/ruview-unified/src/policy.rs。它与 ADR-153802.11bf 协议模型、ADR-141/120BFLD 隐私控制平面与隐私类、ADR-262 §3.3RuField P0–P5 fail-closed 映射及 ADR-032mesh 安全加固相关联是这些既有隐私哲学在感知输出侧的延伸。1. 背景为什么感知堆栈必须自带策略平面1.1 标准演进感知用途与感知区域成为一等授权对象在 IEEE 802.11bf-2025 的感知会话sensing session与 ETSI ISACIntegrated Sensing and Communication架构中感知用途purpose与感知区域zone正在成为一等授权对象。3GPP Release 20 的感知研究同步推进中。换言之行业规范正把谁、为了什么、能在哪个空间做哪种感知从实现细节提升为协议级语义。1.2 ETSI 安全报告没有策略平面的感知堆栈就是负债ETSI 随后发布的安全报告识别出19 类隐私与安全问题。ADR-277 的结论是这类问题的根源大多是代码路径存在即可用the code path existed单纯的配置式防御不足。RuView 在其它边界早已 fail-closed——ADR-262 §3.3 按信息内容而非字节值映射隐私类——本 ADR 把同样的纪律施加给感知输出并且发生在任何传输之前的设备端。1.3 PROOF 纪律数字分级按照 ADR-273 §0 的证据分级ADR-277 明确区分EXTERNAL可核查标准状态IEEE 802.11bf-2025 于 2025-09 发布IEEE 802.11bk 面向 ≤320 MHz 定位ETSI 于 2026-02 发布 ISAC 架构monostatic/bistatic/multistatic/network/device sensing并随后发布识别出 19 类隐私与安全问题的安全报告3GPP Release 20 感知研究活跃。EXTERNAL-UNVERIFIED外部未复现OpenAirInterface SRS-xApp 演示随机划分下 0.12 m MAE被视为外部数字因其划分方法与 ADR-273 §4 拒绝的域泄漏一致仓库只援引其实现路径而非该数字。2. 三条结构性规则DecisionADR-277 的核心决策可以压缩为三条结构性规则全部由类型系统/代码结构保证而非依赖配置正确。2.1 原始 RF 永不离开信任边界唯一可导出的类型是BoundedEvent——只承载类型化结论Presence(bool)、ActivityClass(u8)、RespirationBpm(f64)、Location([f64;3])、AnomalyScore(f64)。源码中的EventValue枚举policy.rs没有任何变体可以携带 RF 采样因此原始 CSI/雷达导出在结构上是不可表示unrepresentable的而非仅仅被禁止。TrustBoundary::export是唯一出口且刻意不存在任何将RfTensor序列化向外的 API。外部系统接收的是有界事件 不确定性而不是信号历史。2.2 处处 fail-closedPolicyEngine::authorizepolicy.rs的三条拒绝路径未知区域unknown zone⇒ deny——空引擎默认拒绝一切直到区域被显式配置区域内未授予该用途purpose not granted⇒ deny身份识别双闸门——IdentityRecognition必须同时满足在区域的allowed_purposes中且区域设置identity_explicitly_enabled true任一单独成立都拒绝。留存retention事件在导出时刻若超过区域retention_s配置的寿命则被丢弃并返回类型化PolicyDeniedTrustBoundary::export。单测覆盖了全部分支包括刻意构造的已授予但未显式开启已开启但未授予过期事件三种情形identity_needs_both_grant_and_explicit_enable、retention_bound_is_enforced等。2.3 每个输出都可问责ADR-273 验收项 8BoundedEvent::newpolicy.rs是唯一构造器缺少以下任一字段即构造失败不确定性uncertainty ∈ [0,1]越界即Err(InvalidInput)来源provenance设备 synthetic标志——ADR-276 的诚实标签得以跨越导出存活见 primitive.rs 的Provenance定义非零模型版本model_version 0视为未指派而禁止导出时间戳、用途、区域。验收测试outputs_leave_only_through_the_policy_boundary_fully_attributedtests/e2e_acceptance.rs跑完整管线——合成世界 → 编码器 → presence 头 → 事件 → 导出——并在同一区域断言属性归因完整、未授予用途被拒绝。3. 用途分类体系向 802.11bf / ETSI ISAC 对齐// policy.rs — SensingPurpose展示顺序无关 pub enum SensingPurpose { Presence, // 某人存在 / 不存在 Activity, // 粗粒度活动类别 Vitals, // 呼吸 / 心率类生命体征 Localization, // 位置估计 PoseTracking, // 骨骼姿态跟踪 IdentityRecognition, // 身份识别——高风险用途双重闸门 ChannelDiagnostics, // RF 信道诊断不涉及人类推断 }这 7 个用途policy.rs刻意对齐 ETSI ISAC sensing-service 类别与 WLAN sensing 用例使得未来 802.11bf 感知会话协商或 ISAC exposure API 能够 1:1 映射到区域授权。类型层面的人体身份排除除控制平面外人身份还被排除在 ADR-275 场景图scene graph之外——场景图实体类型只有EntityKind::PersonClass类别不是 person id见 graph.rs。注释一针见血图无法泄露它无法存储的东西the graph cannot leak what it cannot store。3.1 区域对象授权的最小单元PrivacyZonepolicy.rs是空间感知区域与其许可的载体字段类型说明idString区域标识映射到场景图中的房间/区域allowed_purposesBTreeSetSensingPurpose该区域被授予的感知用途集合retention_su64导出时事件的最大寿命留存上界秒identity_explicitly_enabledbool身份识别的第二因子即使用途在授权集合内也必须显式开启由于PrivacyZone、BoundedEvent、SensingPurpose等均已派生serde的Serialize/Deserialize隐私清单privacy manifest在实现上就是 zones purposes retention 的一次序列化——这是面向企业/电信对话时可交付的具体工件。4. 授权与导出管线从事件构造到跨边界把控制平面的完整路径拼起来捕获端BFLD 分类/适配器归一化 │ ▼ heads.rs 任务头presence / activity / localization / anomaly │ 输出 EventValue 类型化结论 不确定性 ▼ BoundedEvent::new(...) ← 唯一构造器问责字段缺失即失败 │ ▼ TrustBoundary::export(event, now_ns) │ ① engine.authorize(zone, purpose) ← 未知区域 / 未授予用途 / 身份单闸门 均 deny │ ② age_s (now_ns - timestamp_ns)/1e9 age_s retention_s ⇒ deny ▼ Ok(event) → 交给传输层WS / RuField 桥 / xApp / MCP Err(PolicyDenied) → 事件被丢弃不落盘、不外发单元测试区policy.rs内mod testspolicy.rs直接演示了每一分支的可执行断言unknown_zone_denies、ungranted_purpose_denies、identity_needs_both_grant_and_explicit_enable、retention_bound_is_enforcedretention_s: 3600时3500 s 的事件放行、3700 s 的事件被拒、accountability_fields_are_mandatoryuncertainty1.5与model_version0均拒绝构造。值得注意的实现细节是export使用now_ns.saturating_sub(...)计算事件年龄——即便上游时间戳异常也不产生下溢恐慌年龄上限由saturating_sub保证单调合理。4.1 与任务准入的联动SensingTask与admit_task控制平面的授权不仅发生在出口也前置到捕获开始之前。control.rsADR-280 主动感知控制平面的实现中的SensingTaskcontrol.rs承载 ISAC sensing-task 词汇purpose、target_areaSpatialZone对应 ADR-277 的PrivacyZoneid、modalities、requested_resolution_m、maximum_latency_ms、minimum_confidence、raw_retention_seconds、result_retention_seconds、authorized_consumers、consent_reference、raw_export_allowed。admit_task(engine, task)control.rs在授权层面做多重 fail-closedraw_export_allowed true⇒一律拒绝——字段仅为 ISAC 词汇兼容而保留ADR-277 §2.1 的结构性规则意味着它在今天是恒为假的开关minimum_confidence必须有限且在[0,1]requested_resolution_m必须有限且 0maximum_latency_ms 0至少声明一种 modalityIdentityRecognition任务缺少consent_reference⇒ 在进入区域检查前即拒绝最后才进入engine.authorize区域用途授权。测试task_admission_is_fail_closedcontrol.rs验证了原始导出无论如何都被拒绝的路径。5. 输出侧的分类上限用途映射到隐私类为把按内容而非字节值的纪律延续到输出表示validate_representationcontrol.rs为每个用途规定了隐私类上限ceiling与必须显式排除的信息类别用途隐私类上限必须排除Presence/ChannelDiagnosticsP2identity, vitalsActivity/LocalizationP3identityVitals/PoseTrackingP4identityIdentityRecognitionP5无其中隐私类 P0–P5 沿用 ADR-262 §3.3 词汇control.rsP0 为原始信号永不离开信任边界P2 为匿名存在/占用级别P4 为派生个人推断级别P5 为身份绑定级别。此外任何TaskSufficientRepresentation必须携带source_receipts源血统孤儿表示一律拒绝。单元测试task_sufficient_representation_is_leakage_checked与task_sufficient_representation_covers_every_purpose_branchcontrol.rs逐分支验证了全部四种 ceiling/排除集合。6. O-RAN / 蜂窝路径已随 P1 交付的接缝P1 控制平面与传输无关且已前置覆盖蜂窝接缝CellularSrsAdapteradapters.rsADP-274 §2.3将梳状采样comb-sampled的 SRS 频响去梳插值并归一化为规范RfTensor——这正是 OAI xApp 需要的数据面契约。normalize处理RawCapture::CellularSrs { comb_res, ... }hardware_id例如oai-srs-xapp。适配器注册表中可同时见到dw3000、esp32s3-csi、mr60bha2、nrf54-cs、oai-srs-xapp等硬件来源。路线图中的 P4ADR-273 §7计划把感知应用置于 DU 旁以获得亚毫秒级 I/Q–CSI–SRS 访问由 xApp 负责更广域融合该路径的每个输出仍须通过本 ADR 的TrustBoundary导出且其定位声明只在严格划分下报告——OAI 演示的随机划分是被引为警示的反例而非目标。7. 边界加固属性测试发现并修复的三个真实缺陷tests/security_boundaries.rs用proptest驱动每个经校验的构造器与授权闸门输入覆盖任意 f64包括经f64::from_bits走私的 NaN/±inf/次正规数security_boundaries.rs并断言契约每个输入要么产生有效对象要么产生类型化错误——永不恐慌、永无宽松默认。该套件真实暴露并修复了三个缺陷均为输入控制的拒绝服务或 NaN 传播ble_cs_range无限循环非有限相位inf − x inf使 unwrap 循环永不终止有限但巨大的相位1e300 rad会让同一循环跑约 1e299 次迭代。修复拒绝不合理相位 1e6 rad并以 O(1) 模运算替换基于循环的 unwrap。次正规高斯尺度导致中心密度 NaN尺度 5e-324 通过了 0检查但1/σ²上溢为 ∞使原语自身中心的密度变为 NaN。修复施加物理合理性界σ ∈ [1e-6, 1e4] m占用 ∈ [0, 1e6] nepers/m。7.1 现已证明的八个性质套件注释完整列举了现在被证明的性质RfTensor/RfGaussian/BoundedEvent构造器永不恐慌ble_cs_range永不恐慌且只产出有限、非负距离策略引擎对每一purpose, grants, zone三元组 fail-closed原始导出对每一任务配置不可达raw_export_is_unreachable相干融合拒绝一切非有限或越界同步状态coherent_fusion_rejects_non_finite_sync_state占用表示无法保留身份occupancy_representations_must_exclude_identity逐用途分支检查覆盖 P3–P5 更高风险表示而非只测 Presence 分支。此外policy_engine_is_fail_closed_under_arbitrary_grants以 256 个 case 随机化用途/授权集合/身份开关/未知区域查询把三条拒绝路径作为不变量进行性质证明。8. 与其它机制的组合关系Alternatives 边界ADR-277 评估了两个替代方案并明确拒绝直接复用 BFLD 的隐私类——被拒。BFLDADR-120分类的是捕获本控制平面按用途与区域授权输出。两者组合一个经 BFLD 分类的捕获进入某个任务头后其结果仍必须穿过TrustBoundary导出ADR-262 的map_privacy继续作为捕获侧的映射。无类型的纯配置文件白名单——被拒。ETSI 19 类问题大多属于代码路径存在型失败不可表示性优于配置unrepresentability beats configuration。9. 后果与演进Consequences面向企业/电信的对话有了具体工件隐私清单 zones purposes retention 的序列化相关类型均已serde。每一个未来面sensing-server WebSocket、RuField 桥、SRS xApp、MCP 工具必须让感知输出穿过TrustBoundary——这已写入合并前安全审查清单第 12 项。已知代价用途粒度较粗尚无按消费者授权P3 阶段将在 sensing-server 接线落地时加入消费者身份。10. 如何验证可复现本 ADR 的实现证据可在仓库内直接复现# 在仓库根目录下进入 v2 工作区 cd v2 cargo test -p ruview-unified该命令会运行 tests/security_boundaries.rs属性测试、tests/e2e_acceptance.rs含验收导出测试outputs_leave_only_through_the_policy_boundary_fully_attributed以及policy.rs内置单测。相关配套背景可继续阅读 ADR-273-unified-rf-spatial-world-model父 ADR五支柱与验收门、ADR-274统一 RF 编码器与适配器注册表与 ADR-280 所实现的可编程感知控制面 control.rs。总结ADR-277 给出了一个可以被逐行验证的答案在边缘设备上原始 RF 通过类型系统被排除在任何出口之外每个跨信任边界的输出都必须在构造时携带不确定性、来源、模型版本、用途与区域并在导出时通过区域授权与留存检查。这套控制平面不是对感知功能的外挂补丁而是 RuView 统一 RF 空间世界模型数据流中无法绕过的结构性环节——它把隐私与安全从一句口号变成了编译器与属性测试共同维护的不变量。【免费下载链接】RuViewπ RuView turns commodity WiFi signals into real-time spatial intelligence, vital sign monitoring, and presence detection — all without a single pixel of video.项目地址: https://gitcode.com/GitHub_Trending/wi/RuView创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
RuView 边缘感知控制平面解析：ADR-277 的用途、区域、留存与原始 RF 不可逾越的信任边界
RuView 边缘感知控制平面解析ADR-277 的用途、区域、留存与原始 RF 不可逾越的信任边界【免费下载链接】RuViewπ RuView turns commodity WiFi signals into real-time spatial intelligence, vital sign monitoring, and presence detection — all without a single pixel of video.项目地址: https://gitcode.com/GitHub_Trending/wi/RuView导读当 Wi-Fi 的感知输出开始服务于存在检测、生命体征与人员识别时真正值得审查的问题不再是能不能感知而是感知结果凭什么、在什么授权下、以何种形态离开设备。本文以 RuView 统一 RF 空间世界模型系列中的 ADR-277 为主体剖析其在 v2 工作区ruview-unifiedcrate 中落地的边缘感知控制平面edge sensing control plane以BoundedEvent类型系统使原始 RF 外泄在结构上不可表示、以PolicyEngine对感知用途/区域/留存做全面 fail-closed 授权、并以属性化输出满足可问责性。读完你将掌握这套先授权后出口、原始信号不出界控制平面的设计原理、Rust 实现细节与其属性测试验证方法。ADR-277 属于 ADR-273统一 RF 空间世界模型五大支柱中的第五项——802.11bf / ETSI ISAC 对齐的边缘感知控制平面状态为Accepted — P1 implemented实现位于 v2/crates/ruview-unified/src/policy.rs。它与 ADR-153802.11bf 协议模型、ADR-141/120BFLD 隐私控制平面与隐私类、ADR-262 §3.3RuField P0–P5 fail-closed 映射及 ADR-032mesh 安全加固相关联是这些既有隐私哲学在感知输出侧的延伸。1. 背景为什么感知堆栈必须自带策略平面1.1 标准演进感知用途与感知区域成为一等授权对象在 IEEE 802.11bf-2025 的感知会话sensing session与 ETSI ISACIntegrated Sensing and Communication架构中感知用途purpose与感知区域zone正在成为一等授权对象。3GPP Release 20 的感知研究同步推进中。换言之行业规范正把谁、为了什么、能在哪个空间做哪种感知从实现细节提升为协议级语义。1.2 ETSI 安全报告没有策略平面的感知堆栈就是负债ETSI 随后发布的安全报告识别出19 类隐私与安全问题。ADR-277 的结论是这类问题的根源大多是代码路径存在即可用the code path existed单纯的配置式防御不足。RuView 在其它边界早已 fail-closed——ADR-262 §3.3 按信息内容而非字节值映射隐私类——本 ADR 把同样的纪律施加给感知输出并且发生在任何传输之前的设备端。1.3 PROOF 纪律数字分级按照 ADR-273 §0 的证据分级ADR-277 明确区分EXTERNAL可核查标准状态IEEE 802.11bf-2025 于 2025-09 发布IEEE 802.11bk 面向 ≤320 MHz 定位ETSI 于 2026-02 发布 ISAC 架构monostatic/bistatic/multistatic/network/device sensing并随后发布识别出 19 类隐私与安全问题的安全报告3GPP Release 20 感知研究活跃。EXTERNAL-UNVERIFIED外部未复现OpenAirInterface SRS-xApp 演示随机划分下 0.12 m MAE被视为外部数字因其划分方法与 ADR-273 §4 拒绝的域泄漏一致仓库只援引其实现路径而非该数字。2. 三条结构性规则DecisionADR-277 的核心决策可以压缩为三条结构性规则全部由类型系统/代码结构保证而非依赖配置正确。2.1 原始 RF 永不离开信任边界唯一可导出的类型是BoundedEvent——只承载类型化结论Presence(bool)、ActivityClass(u8)、RespirationBpm(f64)、Location([f64;3])、AnomalyScore(f64)。源码中的EventValue枚举policy.rs没有任何变体可以携带 RF 采样因此原始 CSI/雷达导出在结构上是不可表示unrepresentable的而非仅仅被禁止。TrustBoundary::export是唯一出口且刻意不存在任何将RfTensor序列化向外的 API。外部系统接收的是有界事件 不确定性而不是信号历史。2.2 处处 fail-closedPolicyEngine::authorizepolicy.rs的三条拒绝路径未知区域unknown zone⇒ deny——空引擎默认拒绝一切直到区域被显式配置区域内未授予该用途purpose not granted⇒ deny身份识别双闸门——IdentityRecognition必须同时满足在区域的allowed_purposes中且区域设置identity_explicitly_enabled true任一单独成立都拒绝。留存retention事件在导出时刻若超过区域retention_s配置的寿命则被丢弃并返回类型化PolicyDeniedTrustBoundary::export。单测覆盖了全部分支包括刻意构造的已授予但未显式开启已开启但未授予过期事件三种情形identity_needs_both_grant_and_explicit_enable、retention_bound_is_enforced等。2.3 每个输出都可问责ADR-273 验收项 8BoundedEvent::newpolicy.rs是唯一构造器缺少以下任一字段即构造失败不确定性uncertainty ∈ [0,1]越界即Err(InvalidInput)来源provenance设备 synthetic标志——ADR-276 的诚实标签得以跨越导出存活见 primitive.rs 的Provenance定义非零模型版本model_version 0视为未指派而禁止导出时间戳、用途、区域。验收测试outputs_leave_only_through_the_policy_boundary_fully_attributedtests/e2e_acceptance.rs跑完整管线——合成世界 → 编码器 → presence 头 → 事件 → 导出——并在同一区域断言属性归因完整、未授予用途被拒绝。3. 用途分类体系向 802.11bf / ETSI ISAC 对齐// policy.rs — SensingPurpose展示顺序无关 pub enum SensingPurpose { Presence, // 某人存在 / 不存在 Activity, // 粗粒度活动类别 Vitals, // 呼吸 / 心率类生命体征 Localization, // 位置估计 PoseTracking, // 骨骼姿态跟踪 IdentityRecognition, // 身份识别——高风险用途双重闸门 ChannelDiagnostics, // RF 信道诊断不涉及人类推断 }这 7 个用途policy.rs刻意对齐 ETSI ISAC sensing-service 类别与 WLAN sensing 用例使得未来 802.11bf 感知会话协商或 ISAC exposure API 能够 1:1 映射到区域授权。类型层面的人体身份排除除控制平面外人身份还被排除在 ADR-275 场景图scene graph之外——场景图实体类型只有EntityKind::PersonClass类别不是 person id见 graph.rs。注释一针见血图无法泄露它无法存储的东西the graph cannot leak what it cannot store。3.1 区域对象授权的最小单元PrivacyZonepolicy.rs是空间感知区域与其许可的载体字段类型说明idString区域标识映射到场景图中的房间/区域allowed_purposesBTreeSetSensingPurpose该区域被授予的感知用途集合retention_su64导出时事件的最大寿命留存上界秒identity_explicitly_enabledbool身份识别的第二因子即使用途在授权集合内也必须显式开启由于PrivacyZone、BoundedEvent、SensingPurpose等均已派生serde的Serialize/Deserialize隐私清单privacy manifest在实现上就是 zones purposes retention 的一次序列化——这是面向企业/电信对话时可交付的具体工件。4. 授权与导出管线从事件构造到跨边界把控制平面的完整路径拼起来捕获端BFLD 分类/适配器归一化 │ ▼ heads.rs 任务头presence / activity / localization / anomaly │ 输出 EventValue 类型化结论 不确定性 ▼ BoundedEvent::new(...) ← 唯一构造器问责字段缺失即失败 │ ▼ TrustBoundary::export(event, now_ns) │ ① engine.authorize(zone, purpose) ← 未知区域 / 未授予用途 / 身份单闸门 均 deny │ ② age_s (now_ns - timestamp_ns)/1e9 age_s retention_s ⇒ deny ▼ Ok(event) → 交给传输层WS / RuField 桥 / xApp / MCP Err(PolicyDenied) → 事件被丢弃不落盘、不外发单元测试区policy.rs内mod testspolicy.rs直接演示了每一分支的可执行断言unknown_zone_denies、ungranted_purpose_denies、identity_needs_both_grant_and_explicit_enable、retention_bound_is_enforcedretention_s: 3600时3500 s 的事件放行、3700 s 的事件被拒、accountability_fields_are_mandatoryuncertainty1.5与model_version0均拒绝构造。值得注意的实现细节是export使用now_ns.saturating_sub(...)计算事件年龄——即便上游时间戳异常也不产生下溢恐慌年龄上限由saturating_sub保证单调合理。4.1 与任务准入的联动SensingTask与admit_task控制平面的授权不仅发生在出口也前置到捕获开始之前。control.rsADR-280 主动感知控制平面的实现中的SensingTaskcontrol.rs承载 ISAC sensing-task 词汇purpose、target_areaSpatialZone对应 ADR-277 的PrivacyZoneid、modalities、requested_resolution_m、maximum_latency_ms、minimum_confidence、raw_retention_seconds、result_retention_seconds、authorized_consumers、consent_reference、raw_export_allowed。admit_task(engine, task)control.rs在授权层面做多重 fail-closedraw_export_allowed true⇒一律拒绝——字段仅为 ISAC 词汇兼容而保留ADR-277 §2.1 的结构性规则意味着它在今天是恒为假的开关minimum_confidence必须有限且在[0,1]requested_resolution_m必须有限且 0maximum_latency_ms 0至少声明一种 modalityIdentityRecognition任务缺少consent_reference⇒ 在进入区域检查前即拒绝最后才进入engine.authorize区域用途授权。测试task_admission_is_fail_closedcontrol.rs验证了原始导出无论如何都被拒绝的路径。5. 输出侧的分类上限用途映射到隐私类为把按内容而非字节值的纪律延续到输出表示validate_representationcontrol.rs为每个用途规定了隐私类上限ceiling与必须显式排除的信息类别用途隐私类上限必须排除Presence/ChannelDiagnosticsP2identity, vitalsActivity/LocalizationP3identityVitals/PoseTrackingP4identityIdentityRecognitionP5无其中隐私类 P0–P5 沿用 ADR-262 §3.3 词汇control.rsP0 为原始信号永不离开信任边界P2 为匿名存在/占用级别P4 为派生个人推断级别P5 为身份绑定级别。此外任何TaskSufficientRepresentation必须携带source_receipts源血统孤儿表示一律拒绝。单元测试task_sufficient_representation_is_leakage_checked与task_sufficient_representation_covers_every_purpose_branchcontrol.rs逐分支验证了全部四种 ceiling/排除集合。6. O-RAN / 蜂窝路径已随 P1 交付的接缝P1 控制平面与传输无关且已前置覆盖蜂窝接缝CellularSrsAdapteradapters.rsADP-274 §2.3将梳状采样comb-sampled的 SRS 频响去梳插值并归一化为规范RfTensor——这正是 OAI xApp 需要的数据面契约。normalize处理RawCapture::CellularSrs { comb_res, ... }hardware_id例如oai-srs-xapp。适配器注册表中可同时见到dw3000、esp32s3-csi、mr60bha2、nrf54-cs、oai-srs-xapp等硬件来源。路线图中的 P4ADR-273 §7计划把感知应用置于 DU 旁以获得亚毫秒级 I/Q–CSI–SRS 访问由 xApp 负责更广域融合该路径的每个输出仍须通过本 ADR 的TrustBoundary导出且其定位声明只在严格划分下报告——OAI 演示的随机划分是被引为警示的反例而非目标。7. 边界加固属性测试发现并修复的三个真实缺陷tests/security_boundaries.rs用proptest驱动每个经校验的构造器与授权闸门输入覆盖任意 f64包括经f64::from_bits走私的 NaN/±inf/次正规数security_boundaries.rs并断言契约每个输入要么产生有效对象要么产生类型化错误——永不恐慌、永无宽松默认。该套件真实暴露并修复了三个缺陷均为输入控制的拒绝服务或 NaN 传播ble_cs_range无限循环非有限相位inf − x inf使 unwrap 循环永不终止有限但巨大的相位1e300 rad会让同一循环跑约 1e299 次迭代。修复拒绝不合理相位 1e6 rad并以 O(1) 模运算替换基于循环的 unwrap。次正规高斯尺度导致中心密度 NaN尺度 5e-324 通过了 0检查但1/σ²上溢为 ∞使原语自身中心的密度变为 NaN。修复施加物理合理性界σ ∈ [1e-6, 1e4] m占用 ∈ [0, 1e6] nepers/m。7.1 现已证明的八个性质套件注释完整列举了现在被证明的性质RfTensor/RfGaussian/BoundedEvent构造器永不恐慌ble_cs_range永不恐慌且只产出有限、非负距离策略引擎对每一purpose, grants, zone三元组 fail-closed原始导出对每一任务配置不可达raw_export_is_unreachable相干融合拒绝一切非有限或越界同步状态coherent_fusion_rejects_non_finite_sync_state占用表示无法保留身份occupancy_representations_must_exclude_identity逐用途分支检查覆盖 P3–P5 更高风险表示而非只测 Presence 分支。此外policy_engine_is_fail_closed_under_arbitrary_grants以 256 个 case 随机化用途/授权集合/身份开关/未知区域查询把三条拒绝路径作为不变量进行性质证明。8. 与其它机制的组合关系Alternatives 边界ADR-277 评估了两个替代方案并明确拒绝直接复用 BFLD 的隐私类——被拒。BFLDADR-120分类的是捕获本控制平面按用途与区域授权输出。两者组合一个经 BFLD 分类的捕获进入某个任务头后其结果仍必须穿过TrustBoundary导出ADR-262 的map_privacy继续作为捕获侧的映射。无类型的纯配置文件白名单——被拒。ETSI 19 类问题大多属于代码路径存在型失败不可表示性优于配置unrepresentability beats configuration。9. 后果与演进Consequences面向企业/电信的对话有了具体工件隐私清单 zones purposes retention 的序列化相关类型均已serde。每一个未来面sensing-server WebSocket、RuField 桥、SRS xApp、MCP 工具必须让感知输出穿过TrustBoundary——这已写入合并前安全审查清单第 12 项。已知代价用途粒度较粗尚无按消费者授权P3 阶段将在 sensing-server 接线落地时加入消费者身份。10. 如何验证可复现本 ADR 的实现证据可在仓库内直接复现# 在仓库根目录下进入 v2 工作区 cd v2 cargo test -p ruview-unified该命令会运行 tests/security_boundaries.rs属性测试、tests/e2e_acceptance.rs含验收导出测试outputs_leave_only_through_the_policy_boundary_fully_attributed以及policy.rs内置单测。相关配套背景可继续阅读 ADR-273-unified-rf-spatial-world-model父 ADR五支柱与验收门、ADR-274统一 RF 编码器与适配器注册表与 ADR-280 所实现的可编程感知控制面 control.rs。总结ADR-277 给出了一个可以被逐行验证的答案在边缘设备上原始 RF 通过类型系统被排除在任何出口之外每个跨信任边界的输出都必须在构造时携带不确定性、来源、模型版本、用途与区域并在导出时通过区域授权与留存检查。这套控制平面不是对感知功能的外挂补丁而是 RuView 统一 RF 空间世界模型数据流中无法绕过的结构性环节——它把隐私与安全从一句口号变成了编译器与属性测试共同维护的不变量。【免费下载链接】RuViewπ RuView turns commodity WiFi signals into real-time spatial intelligence, vital sign monitoring, and presence detection — all without a single pixel of video.项目地址: https://gitcode.com/GitHub_Trending/wi/RuView创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
