RGC–DPIED-13｜跨觀察者證據交換的可信協議：來源衝突、因果順序與分散式世界判斷

English title: Trust-Constrained Cross-Observer Evidence Exchange: Provenance Conflicts, Causal Ordering, and Distributed World Judgments

研究系列： 關係幾何與載體展開（RGC）× 數位—實體智能演化解耦論（DPIED）
篇次： RGC–DPIED-13；不等於原始 DPIED 系列的同號篇次
版本／日期： v1.0｜2026-11-05
作者署名： Neo.K Polaris｜EveMissLab
候選模組： COEP-0.1（Cross-Observer Evidence Protocol；跨觀察者證據協議）
對接研究： OCVC、COBM、OCOM、CATC、CACG、CRRV、EDRC、AECD、ECTR，尤其 RGC–DPIED-09 至 -12
方法： 有限域定理與反例、不可變證據集合、條件式正規化、簽署訊息示範、向量時鐘比較、窮舉與跨篇回歸
性質聲明： 此為研究協議原型；簽署示範採人工密鑰 HMAC-SHA256，沒有真實硬體身分認證、分散式共識、實體感測器實測或物理行動授權
正式原稿： 原始 UTF-8 Markdown；數學僅使用 $...$ 及 $$...$$ 作為 canonical LaTeX 定界符

機構： EveMissLab／一言諾科技有限公司
日期： 2026-11-05
版本： v1.0

摘要

RGC–DPIED 系列從「幾何投影不等於物理載體本身」的問題出發，依序處理異質觀察者的視覺補正、任務可辨識性、感測器模型失配、物理作用轉譯、多機體協同、依賴證據修復以及證據的時間有效性。RGC–DPIED-12 建立 ECTR-0.1，對固定有限域區分歷史有效、目前適用與足以形成任務證書的資料。但當證據分散在不同 AI、攝影機、機器人或資訊代理中時，問題不只是舊證據是否過期：多個來源可能引用同一個原始觀測、使用不相容的視覺投影、處於不同世界版本，或在同一個明示條件下提出互斥結果。直接投票、以最後到達訊息覆蓋舊值，或把接收到的全部紀錄視為獨立佐證，都可能錯誤地提高下游契約的可信度。

本文提出候選協議 COEP-0.1，將跨觀察者證據分成不可變訊息層、觀察者條件驗證層、來源根與相依性層、任務限定之推論層、以及獨立於資料協商的實體作用授權層。對固定四上下文布林求值器，本文建立有限而明確的接收條件：訊息的簽署完整性、模型與世界時期一致、時間窗口適用、感測能力存在，以及跨觀察表示具有已核准的語義轉換。資料合併採集合聯集，使有限不可變收據在最終交付與共同政策固定時具交換律、結合律、冪等律；但該資料收斂並不推出物理事實一致、證書永遠不變或分散式安全共識已成立。

本文構造五組關鍵反例：相同感測來源的多次轉發造成假獨立；未校正的反相編碼造成偽衝突；不同世界時期被誤合併成當前衝突；已通過的暫時陰性集合因新證據到達而轉成衝突；以及兩個正確簽署的來源共同回報錯誤物理值。後者尤其表明，訊息完整性與來源身份不是世界真實性的保證。人工來源根門檻只能在明示獨立性前提下提供協議內的證據完整性，不能替代真實因果獨立性或容錯共識。

原始 Python 標準函式庫參照程式通過 60 項單元測試，以獨立分類式窮舉 256 組雙來源四上下文配置：其中 1 組被標為限定模型內的陰性集合、15 組出現無矛盾的正見證、240 組包含至少一個互斥讀值；另外確認 40,320 種八訊息到達排列在固定接收政策下收斂至相同終態。與上一版 ECTR-0.1 原始程式的交叉回歸亦通過。所有數值均為合成有限模型的計數，既不是 AI 視覺能力提升的實測數字，也不是實體系統的安全保證。

本文的核心判準是：不同智能體共同持有相同證據，不等於它們共同理解了相同物理世界；只有當來源、觀察條件、任務作用域及證據完成規則都明確時，資料合併才可能支撐受限的共同判斷。

關鍵詞： 關係幾何；跨觀察者視覺；證據交換；來源追溯；因果順序；不可變收據；CRDT；語義橋接；感測通道盲區；相關觀測；分散式衝突；限定域證書；具身智能；COEP

Abstract

Prior RGC–DPIED research developed observer-conditioned visual correction, finite dependency witnesses, compositional action contracts, incremental revalidation, cost-aware exploration, and temporally qualified evidence reuse. This paper addresses an additional failure mode: distributed observers may exchange individually well-formed reports that refer to different projection semantics, world epochs, causal histories, or physical evidence roots. Message authenticity, duplication, and data convergence do not by themselves establish correct physical inference. We propose COEP-0.1, a narrowly scoped research protocol separating immutable receipts, declared provenance, observer-specific normalization, finite-context judgment, and physical authorization.

For a deterministic four-context Boolean task, we formalize receipt admission, independent-root counting, a positive-witness/negative-completeness asymmetry, and explicit conflict preservation. Set union gives eventual replica convergence under eventual delivery and fixed validation policy, but the derived status is not monotone and does not constitute consensus or a sealed snapshot. A signed wrong-world counterexample shows why authenticated agreement does not establish physical truth. In a reproducible Python model, 60 unit tests, 256 exhaustive two-source configurations, 40,320 message-arrival permutations, and a direct regression call into the previous ECTR-0.1 implementation pass. The experiment counts are synthetic. HMAC keys, source-root independence, world-epoch validity, sensor capability inventories, and semantic bridges are stipulated by the test harness, not established for actual robots. No physical actuation is authorized.

0. 問題來源與跨篇接點

RGC 的起點是三線成方：相同視覺投影可能對應不同實體幾何。後續 RGC-BV 生物視覺研究補充了不同眼睛、主動掃描與偏振感測的載體差異。這一系列的核心不是要求所有生物及機器都看見同一組像素，而是區分可互譯的關係、尚未取得的資訊，以及無法由原有通道復原的物理量。數位—實體智能演化解耦論則指出，理解或模擬影像不等於已具備穩定、可驗證的物理作用能力。

前十二篇已依序形成以下關係：

篇次	既有研究定位	第十三篇的承接
-01 v1.1、RGC-BV04	觀察條件補正與偏振通道盲區	沒有能力量測的通道不得參與該項證據
-02、-03	來源條件遺失及觀察圖冊一致性	共同張量不等於共同觀察語義
-04、-05、-06	主動補觀測、聯合信念、開放世界失配	不可識別的來源差異必須保留為未知
-07、-08	作用契約與多機體組合限制	證據合併不能直接授權實體協作
-09 CRRV	完整依賴圖下的局部重驗	跨節點轉發不得抹除原始來源關係
-10 EDRC	存在見證與不存在證書的非對稱性	正見證與完整陰性集合採不同判準
-11 AECD	證據完成價值與實驗成本	收集更多來源不一定增加真正證據
-12 ECTR	證據有效期、條件橋接及重用	交換時仍要重新判定版本、作用域與時間

第十二篇中的有效證據帳本，可以在單一可信評估位置下工作。但分散式情境增加四項問題。第一，訊息可能延遲、重播或改變到達順序。第二，多個代理可能從同一攝影機複製同一張圖。第三，兩個來源表面上不同，但實際上使用同一世界模型或同一上游感測器。第四，資訊交換者未必共享相同的校準、時間與任務視角。因此，跨觀察者的「資料互通」與「共同證據完成」必須拆開實作。

本篇不主張資料來源追溯、加密訊息認證、向量時鐘、CRDT 或拜占庭容錯是新發明。現有 W3C PROV-O [E1]、Lamport 與 Mattern 的事件順序理論 [E2, E3]、CRDT 文獻 [E4]、透明日誌標準 [E5]、PBFT [E6] 及分散式共識限制 [E7]，已提供成熟的相鄰基礎。本文的研究性增量限定在：把 RGC 視覺來源語義、ECTR 時間證據、EDRC 有限證書以及跨載體行動拒絕規則整合成一份可重現的研究協議及反例集合。

1. 三種必須分開的「一致性」

1.1 位元與資料結構一致性

兩個 AI 可以收到完全相同的檔案，具有相同 SHA-256，或保存相同的 JSON 收據。這只表示它們保存了相同的位元內容，並不表示內容適用於相同的觀察條件，更不保證資料真實。

1.2 觀察語義與任務命題一致性

相同的二元值可以代表亮暗、偏振方向、座標方向或任務對照的差異。只有當量測方式、投影、時間、參考座標與任務作用域經過驗證或具有有效語義橋接時，兩份資料才可能被視為回答同一個命題。

1.3 物理作用與安全一致性

即使多個 AI 對某個感測任務得到相同結論，還需要個別檢查機體的動作能力、接觸幾何、時限、共享資源、風險及授權。觀測證據的 PASS 不得被作為物理致動的 ALLOW。

定義 1.1。 對固定任務 $Q$ ，令 $C_D$ 為資料複本一致、 $C_S$ 為在聲明條件下觀察語義相容、 $C_A$ 為動作契約相容。一般情況下只有以下非蘊含關係：

C_D\not\Rightarrow C_S,\qquad C_S\not\Rightarrow C_A.

這裡的非蘊含可用本系列先前的反例構造；它不是宣稱三者永遠互斥，而是指出不能把其中一種當作另一種的充分條件。

2. 有限研究域與觀察者條件

2.1 固定外延依賴任務

沿用 RGC–DPIED-10 至 -12 的有限布林模型。給定固定版本的確定性求值器：

f:\{0,1\}^3\longrightarrow\{0,1\}.

取上下文集合：

\mathcal C=\{00,01,10,11\}.

對每個 $c=(a,b)\in\mathcal C$ ，目標命題為：

q_c(f)=f(0,a,b)\oplus f(1,a,b).

若 $q_c(f)=1$ ，代表在固定的上下文、指定函數版本及合法對照操作下，第一個輸入的改變會使輸出改變；若四項 $q_c$ 都為零，才能形成固定有限域內的不存在依賴命題。這個命題不能被外推為真實物理因果圖中的無作用保證。

2.2 來源編碼不必相同

不同觀察者 $o$ 得到的原始讀值記為：

y_{o,c}=g_{o,c}(q_c,\theta_{o,c}),

其中 $\theta_{o,c}$ 是感測機制、校準與時間條件。若存在被獨立驗證、適用於當前作用域的正規化轉換 $N_{o,c}$ ，便可在限定條件下計算：

N_{o,c}(y_{o,c})=q_c.

本篇採兩種完全人工的可逆編碼：來源 A 直接回報 $y=q$ ，來源 B 回報 $y=1-q$ ，而 B 的反相橋接必須存在於已核准的人工清單。橋接若未獲核准，B 的訊息不能直接轉成共同命題。此例只是測試有可逆補正的情況，不代表所有生物感測器都存在可逆的跨模態映射。

2.3 能力盲區

人工任務將上下文 11 指定為需要 circular_pol 感測能力的檢查，其餘三項只要求 generic。對沒有該通道的人工來源 linear，就算它輸出合法的 0 或 1，協議仍回報 CHANNEL_MISSING。此設定僅借用 RGC-BV04 的「未量測之物理分量不能靠重複既有通道恢復」這一結構性邏輯；布林上下文 11 並不是螳螂蝦視覺的實測圓偏振神經編碼模型。

3. 跨觀察者證據收據與來源根

3.1 不可變收據

一份收據包含來源、上下文、原始位元、世界時期、求值器版本、相機校準、座標框架、取得時刻、有效時限、去重 nonce、向量時鐘、命題作用域與訊息鑑別碼。形式上記為：

r=(o,c,y,e,m,\theta,F,t_a,t_e,n,\mathbf v,Q,\sigma).

這些欄位共同形成固定序列化規則下的內容識別；內容雜湊只用於一致性及去重，不能當成來源真實性的證據。 本篇示範對 canonical JSON 的位元內容計算 SHA-256 摘要，並用共享示範密鑰 HMAC-SHA256 檢查訊息是否被未持有密鑰者修改。真實系統會需要更嚴格的裝置憑證、金鑰輪替、可信量測基礎、撤銷及防重播設計。

3.2 觀察者與觀察根不是同一個數量

一台攝影機 A 的資料可以先送給 AI-X，再轉給 AI-Y、AI-Z。三個代理的訊息擁有不同 sender 並不意味產生三次獨立物理觀測。因此定義在可信來源註冊表下的來源根映射：

\rho:o\longrightarrow\mathcal R.

alpha 與 alpha_forwarder 在人工註冊表中都指向 ROOT_A。只有來源根可判定為不同，且其獨立性條件另有可信依據，才可在指定證書政策下計數。

重要邊界： 程式的來源根映射是由測試者直接提供，並沒有證明現實中兩台攝影機在電源、資料預處理、雲端模型或環境干擾方面真的獨立。若一項任務依賴獨立錯誤假設，真正的來源相關圖必須比單一根 ID 更細緻。

3.3 來源信任分層

本篇至少把以下事項拆成不同欄位：

條件	在本篇中能檢查什麼	不能推出什麼
內容摘要	同一份序列化資料是否未變	提供者身分與量測真實性
HMAC 示範	在已知共享密鑰假設下驗證訊息完整性與密鑰持有	物理來源不可偽造或裝置無故障
來源根登記	在人工註冊表內避免把轉發視為新來源	來源在真實世界的因果獨立性
語義橋接清單	測試者允許哪些可逆表示轉換	已自動證明所有場景均可逆
世界時期標記	拒絕與指定有限時期不同的訊息	時期標記已由真實物理系統權威認證
感測能力宣告	不將人工缺失通道當成有效證據	感測器實際運行正常或精度達標

對任何缺少可信來源或無法正規化的訊息，正確行為是記錄拒絕理由並保留原始歷史資料，而不是將其自動視為陰性讀值。

4. 接收規則：身份、時間、語義與能力的合取

對收據 $r$ 、政策 $P$ 、目前模型時期 $e$ 及查詢時刻 $t$ ，令可接納性為：

A_P(r,t)=I_P(r)\land V_P(r)\land E_P(r)\land T_P(r,t)\land M_P(r)\land C_P(r).

其中 $I_P$ 是接收者按照固定註冊表完成訊息身分／完整性檢查， $V_P$ 是聲明版本與作用域相同， $E_P$ 是世界時期相符， $T_P$ 是指定有效時窗內、沒有未來時間矛盾， $M_P$ 是正常化後回答同一個命題， $C_P$ 是必要感測通道存在。

在參照程式中，接收失敗只產生帶理由的拒絕紀錄，不創造 $q_c=0$ 或 $q_c=1$ 。例如：

INVALID_MAC：內容可能遭修改或來源不具備測試密鑰。
EPOCH_MISMATCH：資料屬於另一個人工世界時期。
BRIDGE_NOT_APPROVED：此來源的反相編碼缺少核准轉換。
CHANNEL_MISSING：來源不具備某項上下文所要求的物理感測通道。
EXPIRED_OR_INVALID_INTERVAL：證據不適用於現在的目標時點。
FRAME_MISMATCH 或 CALIBRATION_MISMATCH：來源的必要觀察條件不同。

真正的網路協議仍需處理時鐘漂移、惡意重播、丟包、可靠身分與模式變更。程式未宣稱完成這些安全性保證。

5. 定理一：不可變證據集合的合併代數

5.1 收據集合與聯集

令每個副本持有有限且不重寫既有內容的收據集合 $L_i$ ，其識別由固定 canonical 序列化內容及摘要決定。定義合併：

L_i\sqcup L_j=L_i\cup L_j.

定理 5.1｜聯集收斂的代數條件

若收據不可變、識別一致且同一識別不允許對應互斥內容，則合併運算具結合律、交換律及冪等律：

(L_1\sqcup L_2)\sqcup L_3=L_1\sqcup(L_2\sqcup L_3),

L_1\sqcup L_2=L_2\sqcup L_1,\qquad L\sqcup L=L.

證明。 直接由集合聯集的三項基本性質得到。固定識別規則讓同一收據不會因不同副本的到達順序而重複形成新元素。在最終訊息全部交付且副本採相同政策與求值時刻後，各副本含有相同收據集合，因而具有相同的研究模型判定。證畢。

此定理在資料結構層面與現有 grow-only set CRDT 的基本原理相同 [E4]。它不能證明訊息一定會送達、每個來源一定誠實，亦不能證明系統達成線性一致性或拜占庭共識。若兩個副本對時刻、校準、橋接或來源根使用不同政策，即使集合完全相同，兩者的判斷仍可能不同。

5.2 合併後須重新計算結論

令 $J_P(L,t)$ 為對整個收據集合按政策 $P$ 重新檢查得出的任務狀態。通常不能用「先算出兩個摘要，再對摘要使用最後寫入覆蓋」代替：

J_P(L_1\sqcup L_2,t)\ne\mathrm{LWW}(J_P(L_1,t),J_P(L_2,t)).

反例。 $L_1$ 包含同一上下文下的有效零值， $L_2$ 包含有效一值。兩者分別看似有自己的結論，合併後必須保留互斥證據；任何純粹以到達時間挑選單一讀值的方式都會丟掉衝突事實。

6. 定義：獨立根門檻、正見證與陰性完整性

令通過接納與語義正規化的上下文 $c$ 、讀值 $b\in\{0,1\}$ 之來源根集合為：

R_{c,b}(L)=\{\rho(o):r\in L,\ A_P(r,t)=1,\ N_o(y_r)=b,\ c_r=c\}.

本篇示範設定人工陰性門檻 $k=2$ ，且只對當下特定世界時期與固定上下文集合進行判斷。決策規則如下：

若存在 $c$ 使 $R_{c,0}$ 與 $R_{c,1}$ 都非空，輸出 CONFLICTING_VERIFIED_REPORTS；不以來源數量投票覆蓋其中一方。
否則若有任一 $c$ 具有效正值，輸出 PRESENT_WITNESS_RESEARCH_ONLY；其正確性仍以來源資料聲明的任務函數為前提。
否則僅當所有 $c$ 的 $|R_{c,0}|\ge k$ ，才輸出 ABSENT_SCOPED_RESEARCH_ONLY。
其他情況輸出 UNKNOWN_INCOMPLETE_OR_UNVERIFIED。

命題 6.1｜轉發無法增加來源根數

假設 $r_a$ 與一組被轉發的收據 $r_1,\dots,r_m$ 在可信來源登記下共享同一個原始來源根 $\rho_a$ 。則加入這些收據前後，同一讀值的獨立來源根數量不因轉發本身而增加：

|R_{c,b}(L\cup\{r_1,\dots,r_m\})|=|R_{c,b}(L)|

當 $\rho_a\in R_{c,b}(L)$ 且新增收據沒有其他來源根時成立。

證明。 新增收據只向相同的集合加入已存在元素 $\rho_a$ ，集合基數不變。證畢。

若來源根登記被欺騙，或多台來源共享未記錄的上游資料，此結論不足以保證真實因果獨立。此門檻是證據整合政策，不是統計顯著性或拜占庭容錯證明。

命題 6.2｜陰性完整性是受限結論

在固定模型時期、固定函數 $f$ 、四項上下文均被合法覆蓋，且每個有效讀值確實正確反映其對應 $q_c(f)$ 的前提下，若所有上下文均為零，則可推出：

\forall c\in\mathcal C,\quad q_c(f)=0.

證明。 由已聲明的感測正確性，所有被有效覆蓋的 $q_c$ 等於零，四項上下文即完整涵蓋 $\mathcal C$ ，故成立。證畢。

請注意：感測正確性是本命題的重要外部前提，不是由 HMAC、來源根門檻或聯集代數自動建立的。 若來源一致但共同測錯，前提不成立，不能使用此命題聲稱世界真實性。

7. 命題二：衝突不能由訊息到達順序解決

取一份來源 A 的有效收據，其正規化結果為 $q_{00}=0$ ；另取來源 C 的有效收據，對同一時期、同一作用域回報 $q_{00}=1$ 。即使兩個收據分別符合訊息身分、時間與格式條件，合併集合仍包含互斥命題。

命題 7.1。 在不引入可靠的撤回、版本修訂或外部仲裁機制時，使用「最後到達訊息代表真相」無法在任意網路重排序下保存此衝突。

證明。 若先收到零再收到一，最後寫入法選一；反過來則選零。底層收據集合相同，結果卻不同，故此規則不具有收據集合的順序無關性。相反地，集合式衝突保留在兩種順序下都回報衝突。證畢。

本篇參照實作不嘗試自行解決這類物理衝突，而要求新的觀測、可信作用域修訂或經正式建立的證據排除。這不是說所有衝突都必然有一方造假；它也可能來自漏記錄的環境變動、不同視覺轉換、隱藏共因或模型錯誤。

8. 向量時鐘與世界時期不能混同

8.1 邏輯先後關係

對兩個相同維數的非負向量時鐘 $\mathbf v_a,\mathbf v_b$ ，若各分量皆滿足 $v_{a,i}\le v_{b,i}$ 且至少一項嚴格小於，便可在遵守標準時鐘更新規則的前提下，表示對應事件的可能因果先後；若互相都不是分量不大於，則標為併發。這是分散式事件因果順序的經典結構 [E2, E3]。

\mathbf v_a\prec\mathbf v_b \quad\Longleftrightarrow\quad (\forall i,\ v_{a,i}\le v_{b,i})\land(\exists j,\ v_{a,j}<v_{b,j}).

在本篇人工測試中， $(1,0)$ 與 $(0,1)$ 互相不可比較，回傳 CONCURRENT。需要留意，向量時鐘的因果意義依賴節點遵守更新規則；單純讓惡意來源寫進某個向量，不能使它自動成為可信因果證據。

8.2 邏輯事件順序不等於物理同時

假設兩台攝影機觀測同一個會移動的物體。即使其中一台訊息在網路上先到達，也不能據此證明它拍攝到的物理狀態較早。反過來說，向量時鐘標示併發，也不代表兩次實際曝光發生在完全相同的物理時刻。

因此本篇另設研究用的世界時期 $e$ ，僅接受與目標查詢一致的收據。這個世界時期在程式中由測試者預先指定；尚未具備可信分散式快照協議、物理時鐘誤差界或外部時期驗證。在真實系統中，若無法確認兩份資料回答的是同一個世界狀態，就應先保留作用域未定，不能藉格式相同把它們硬合成互斥證據。

命題 8.1｜跨時期讀值不構成同時期矛盾

若 $r_a$ 有效於世界時期 $e_a$ ， $r_b$ 有效於世界時期 $e_b$ ，且 $e_a\ne e_b$ ，那麼僅由兩份讀值相反，不能推出「同一時期同一物理狀態」存在矛盾。

證明。 存在世界狀態實際隨時期變化的模型，使前一時期 $q_c=0$ 、後一時期 $q_c=1$ ，兩筆資料各自正確，因此跨期相反並非邏輯衝突。證畢。

這不意味舊資料可永久忽略；舊資料可能對變動探測或世界模型更新有價值，只是不能直接作為當前精確證書。

9. 定理二：資料收斂不保證結論單調

在固定政策 $P$ 下，若目前資料集合 $L$ 恰好包含全部四項上下文的兩個獨立陰性來源，研究函數可回傳 ABSENT_SCOPED_RESEARCH_ONLY。現在另一份有效的新收據 $r^+$ 回報 $q_{11}=1$ ，則：

J_P(L,t)=\mathrm{ABSENT},\qquad J_P(L\cup\{r^+\},t)=\mathrm{CONFLICT}.

定理 9.1｜研究狀態非單調

存在 $L\subset L'$ ，使 $J_P(L,t)$ 是限定陰性狀態而 $J_P(L',t)$ 為衝突。因此，對收據集合的單調增長，不代表對任務結論的單調增強。

證明。 取上述 $L'=L\cup\{r^+\}$ 即為反例。證畢。

此結果和不可變收據的聯集收斂沒有矛盾：底層資料集合可以單調增長，而衍生出的最佳當前判斷必須允許撤回。 若某個系統在開放網路上把當下已收齊的陰性收據，直接視為不可撤銷的行動許可，就可能在遲到的有效證據到來後暴露不一致。

9.1 證據封閉快照與共同政策

要比本篇更強地宣稱「此時所有應納入的證據均已納入」，需要額外說明快照成員、證據截止時刻、簽署的收件集合、可靠成員資格以及對延遲訊息的處理。若要求分散式共同決定某份快照已完成，還涉及共識與故障模型；不能由 grow-only set 自動完成。經典拜占庭容錯複製理論 [E6] 與非同步故障下的共識不可終止結果 [E7] 都提醒研究者，不應將簡單的集合收斂誤稱成全域協議安全。

本篇的 certificate_is_closed_snapshot 明確為 false。即使有限模型顯示 ABSENT_SCOPED_RESEARCH_ONLY，也不產生已封閉的正式分散式證書。這份原型的 physical_authorization 永遠是 NONE_RESEARCH_ONLY。

10. 命題三：正確簽署的共同錯誤仍是錯誤

設想固定物理任務中真實 $q_{00}(f)=0$ ，但來源 A 與 B 由共同錯誤的校準或上游世界模型產生 $q_{00}=1$ 。兩個觀察者各用有效密鑰對該數值簽署，來源根在人工註冊表內亦不同。這時協議可正確判定：「它收到兩份在政策內有效、正規化結果為一的來源回報。」

然而它不能據此推出真實物理 $q_{00}(f)=1$ 。

命題 10.1｜來源認證無法替代感測正確性

在不預設感測器回報必定反映真實命題，亦沒有其他外部物理錨點的情況下，任何只檢查消息來源與一致性的程序，都不能排除兩份認證收據共同誤報的可能性。

證明。 構造兩個物理候選世界： $W_0$ 的真值為零但兩來源都因共同故障回報一； $W_1$ 的真值為一且兩來源正確回報一。若訊息來源、時間、簽署及格式在兩世界完全相同，任何只讀取這些收據的程序取得完全相同輸入，無法區分 $W_0$ 與 $W_1$ 。證畢。

此反例從 RGC-BV04 的感測通道限制，延伸到「共同來源偏差」問題。增加更多 AI 轉發者或一致的模型輸出，不一定增加能夠區分兩世界的資訊。真正的解法可能需要不同物理量測路徑、獨立校準或主動實驗，但這些都是額外觀察條件，不能由簽章自動生成。

11. 精確有限實驗：四上下文、兩個來源根

11.1 實驗設置

固定四個上下文，每項有兩個具備人工來源根差異的來源 A、B；其正規化後的數值各自為零或一。因此全體配置數量為：

2^{4\times2}=256.

人工接收政策對每個上下文要求兩個不同來源根的陰性收據，以建立限定的陰性狀態。任何同時具有零與一的上下文都標記為衝突；沒有衝突但存在一則正見證時標記為存在；所有上下文都是兩個零時才標記為陰性。

定理 11.1｜完整雙來源配置的精確分類數量

在上述完整而無遺失的二來源配置中，共有一組陰性配置、十五組無衝突正見證配置、二百四十組衝突配置。

證明。 每個上下文的兩個來源可回報 00、01、10 或 11，共有四種。其中沒有互斥值的只有 00 與 11。四個上下文全無衝突的配置數為 $2^4=16$ ；這十六組中，全為 00 的只有一組，其餘十五組至少一處為 11，因此有正見證。其餘 $4^4-2^4=256-16=240$ 組至少一處包含 01 或 10，故為衝突。證畢。

程式在全部 256 組配置上，以獨立寫出的初等分類式核對了主引擎輸出，結果完全一致。這只是人工均勻列舉的結構計數，不能說真實系統「衝突機率有 93.75%」，因為自然世界沒有被假設按此分布生成。

四上下文雙來源的有限分類結果

11.2 八訊息到達順序

取四份 A 來源陰性收據與四份 B 來源陰性收據。全部八份訊息到達順序共有：

8!=40{,}320.

獨立審計逐一生成八份收據的全部排列，每次均重建完整帳本再執行原有驗證器，40,320 種順序最終皆回傳 ABSENT_SCOPED_RESEARCH_ONLY。這與定理 5.1 的集合代數一致，並非網路流量、大型 AI 訓練或真實分散式容錯壓力測試。

11.3 分割、合併與遲到衝突

在示範中，只有 A 的四份陰性收據時，因每個上下文只有一個來源根，狀態為 UNKNOWN_INCOMPLETE_OR_UNVERIFIED；只有 B 時亦同。把兩組收據合併後，四個上下文都具有兩個人工獨立來源根，形成限定的陰性研究狀態。再加入來源 C 於上下文 11 的正值，狀態轉為 CONFLICTING_VERIFIED_REPORTS。

分割、合併與新增矛盾證據

這並非真正分散式共識協議，只是固定政策下的資料合併及衍生判斷示範。

12. 失配與攻擊面實驗

12.1 代理轉發重複計數

將 A 的四份陰性收據與 alpha_forwarder 的四份陰性收據合併。雖然共有八份簽署訊息，人工註冊表判定兩者的原始來源根都為 ROOT_A。因此每個上下文只有一個來源根，結果仍為 UNKNOWN_INCOMPLETE_OR_UNVERIFIED。這是「訊息數目多於獨立觀測數」的直接反例。

12.2 反相視覺表示與橋接

B 的來源讀值採人工反相編碼。在真實的共同命題為零時，B 的原始位元是一。若未啟用已核准的反相橋接，其四份訊息會被拒絕為 BRIDGE_NOT_APPROVED，不能把原始一值直接當成正見證；啟用橋接後才正規化成零。這說明「先正規化再比較」與「直接把原始值混合」的差異。

12.3 時期、過期及通道盲區

有效簽署但標記為前一個世界時期的訊息，回報 EPOCH_MISMATCH，不與目前時期的收據形成直接矛盾。超出時間有效期的收據回報 EXPIRED_OR_INVALID_INTERVAL。人工線偏振來源嘗試提交需要 circular_pol 的上下文 11，則回報 CHANNEL_MISSING，不能以缺失通道為零值。

12.4 內容被修改

只修改已簽署收據的原始位元而不更新合法密鑰所產生的 HMAC，會被拒絕為 INVALID_MAC。這項測試只檢查測試密鑰與 canonical 序列化下的完整性；持有密鑰的來源若自己報錯，HMAC 仍可能有效。

12.5 向量時鐘不是投票權

來源 A 與來源 C 若對同一時期的上下文提出互斥讀值，即使 A 的向量時鐘在 C 之前，也不能單憑這種網路事件順序宣布 C 的內容是真或假的。程式對此保留 CONFLICTING_VERIFIED_REPORTS，除非另有可信的版本撤回或狀態替換契約。人工收據本身沒有實作經驗證的修訂機制。

13. COEP-0.1 的協議接口與證據階梯

13.1 分層接口

推薦將資料通路至少分成五層：

收據傳輸層： 接收與去重不可變訊息，保留原始資料及內容摘要。
接納條件層： 檢查來源、時間、模型、相機條件、能力通道與合法的觀察語義橋接。
證據依賴層： 保存真實觀測來源根、上游衍生關係、共同模型與隱藏共因的候選依賴。
任務限定判斷層： 對指定的世界時期、任務與上下文形成 UNKNOWN、PRESENT、ABSENT 或 CONFLICT，並保留未完成證據。
實體授權隔離層： 由另一個有實際控制權、風險評估與安全保護的系統決定是否允許物理動作。本篇永遠輸出 NONE_RESEARCH_ONLY。

其中第 3 層的真實來源圖在目前程式中只是可信人工註冊表。它不能僅靠機器學習提出的關係假說自動升格成已證明的因果獨立證書，這與 -10、-11 的證據階梯要求一致。

13.2 研究狀態與拒絕碼

候選接口使用以下狀態：

研究狀態	意義	是否已封閉分散式快照
`UNKNOWN_INCOMPLETE_OR_UNVERIFIED`	有必要上下文或來源證據未滿足	否
`PRESENT_WITNESS_RESEARCH_ONLY`	取得無相反值的限定域正見證	否
`ABSENT_SCOPED_RESEARCH_ONLY`	所有上下文在接收集合內均有足夠陰性來源根且無矛盾	否
`CONFLICTING_VERIFIED_REPORTS`	存在同一命題下互斥的有效來源回報	否

所有這些狀態都不代表真實物理世界已被完整證明。尤其 ABSENT_SCOPED_RESEARCH_ONLY 只是一個目前接收集合的暫時研究分類；沒有可信封閉快照與感測正確性前提，就不能把它當成不可撤回的證書。

13.3 機器可讀範例

封裝內 schemas/coep01_receipt_example.json 提供完整人工來源 A、B 的八份訊息、HMAC、內容識別、各上下文支持根與當下狀態。其關鍵欄位包括：

{
  "protocol": "COEP-0.1-SYNTHETIC-RESEARCH",
  "source_registry_version": "DEMO_REGISTRY_01_STIPULATED",
  "snapshot_sealed": false,
  "physical_authorization": "NONE_RESEARCH_ONLY"
}

這份 JSON 是可以重現程式輸出的資料範例，不是符合所有真實設備安全要求的正式國際通訊標準。

14. 與分散式系統及來源追溯文獻的關係

14.1 來源追溯與版本化

PROV-O [E1] 將 entity、activity 與 agent 及其衍生、修訂、失效關係納入標準來源模型。COEP 的收據與來源根可以與這種模型對接，但程式並沒有直接輸出符合所有 PROV-O 本體約束的 RDF 圖。因此本篇不能把它宣稱為已完成 W3C PROV-O 相容測試的產品。

14.2 向量時鐘與分散式因果

Lamport [E2] 與 Mattern [E3] 的工作提供事件先後與向量時鐘的理論背景。COEP 只實作了給定向量之間的比較，沒有實作完整傳訊時鐘更新規則、物理時鐘同步或可信全域快照；它不能用向量時鐘解決所有觀測時間歧義。

14.3 CRDT 收斂與快照封閉

Shapiro 等人 [E4] 對收斂型資料型態已有形式化研究。COEP 的不可變收據集合是其中非常簡單的特例；它的衍生判斷具有撤回可能，無法由底層集合收斂推出持續安全。RFC 9162 [E5] 的 Merkle 日誌、包含與一致性證明提供另一條可查核附加記錄的成熟標準；本文僅使用單項內容摘要，不宣稱已實作符合該 RFC 的透明日誌。

14.4 共識與拜占庭容錯

Castro 與 Liskov [E6] 的拜占庭容錯複製研究處理惡意參與者下的狀態機一致性；Fischer、Lynch 與 Paterson [E7] 在非同步故障模型下證明了確定性共識的終止限制。COEP 並未實作 PBFT、共識法定人數、網路分割處理或惡意方上界。它只證明有限不可變收據的聯集合併特性，因此不應被描述為真實分散式安全協議。

14.5 簽署認證的作用域

NIST SP 800-204D [E8] 討論軟體供應鏈的產物、來源與佐證策略，可協助區分來源追溯、簽署驗證與可信交付；但對真實相機或機器人的感測真值仍需不同的物理證據鏈。COEP 的 HMAC 只是展示「有人持有某個測試密鑰並簽了這些位元」，無法認證感測器確實測到了宣稱的世界狀態。

15. 驗證、可重現性與明確限制

15.1 測試與交叉檢查

tests/test_coep.py：60 項 Python unittest 測試，涵蓋集合合併、根去重、語義反相、衝突優先順序、密碼完整性、時間、模型、通道、向量時鐘與物理授權隔離。
src/independent_audit.py：使用與主引擎不同的初等分類式，獨立核對 256 組雙來源配置；窮舉八訊息的 40,320 種抵達順序。
src/cross_series_regression.py：直接呼叫前一篇 ECTR-0.1 的完整原始程式快照，比較舊證書失效與新版增加的來源根門檻。
src/run_experiments.py：輸出預設資料分割、合併、重播、反相橋接、能力盲區與簽署篡改的研究狀態及機器可讀收據。
src/render_figures.py：由機器可讀結果生成兩組 PNG/SVG 研究圖，全部為合成有限數據。

這些測試檢查的是指定模型內的程式與數學關係。它們不衡量模型在真實視頻、不同生物眼睛、無人機、手臂、ROS 2 或多代理環境上的泛化能力。

15.2 與第十二篇的差異不能隱藏

ECTR-0.1 使用單一可信研究求值器的四項陰性證據，在原來前提下就可形成 ABSENT_EXHAUSTIVE_IN_TOY_MODEL。COEP-0.1 為分散式交換另加人工的「每個上下文兩個來源根」門檻，因此同樣只有四項單來源陰性資料在新模組中會回報 UNKNOWN_INCOMPLETE_OR_UNVERIFIED。這是新的政策前提，不是先前數學定理被推翻。交叉回歸會同時保留兩種結果，避免偷偷改寫舊接口。

15.3 威脅模型與未完成的工程部分

本文沒有證明的事項包括：

真實裝置身份、遠端驗證與設備量測抗偽造性。
分散式來源根的真實因果獨立性，以及共同失效與共謀的處理。
網路分割期間的安全全域封閉快照、法定人數或共識終止。
感測器輸入分布、影像投影、物理時鐘、未知校準與現場動力學的正確性。
允許任意未知視覺格式或感測維度的普適可逆轉換。
在惡意資料、錯誤外部世界時期或不完整註冊表下的容錯保證。
任何實體機器人的碰撞安全、致動合法性或自主修復授權。

正因為這些事項尚未證明，所有 JSON 回執一律保持 physical_authorization 為 NONE_RESEARCH_ONLY。這是研究邊界，不是認定所有真實跨機體資料共享都不可行。

15.4 可推翻的實證條件

此研究可被以下方式具體檢驗或修正：若在實際感測器上觀察到來源標籤與真實原始資料根不一致，人工根去重政策就不成立；若攝影機投影補正未能保持同一任務差異位元，反相橋接原型便不能外推到該幾何；若現場時鐘無法提供有界同步，人工時期匹配無法對應真實同時狀態；若不同來源的錯誤高度相關，原本假設的獨立來源增益亦應撤回。這些反例不是研究失敗的例外，而是劃定可驗證適用域所必需的結果。

16. 結論

前十二篇的研究從不同視覺載體之間的補正，推進到證據完成、局部重驗與時間效力。第十三篇補上另一個不能跳過的環節：當資料由多個觀察者分散持有與交換時，收據數量、來源數量、獨立物理觀測數量及可供行動的有效證據數量，通常不是同一個數字。

有限數學與程式結果已表明，不可變資料的聯集合併能在固定政策下消除訊息到達順序對最終收據集合的影響；但是資料結構收斂並不意味物理真值正確，證據狀態也可能在新訊息到來後從暫時陰性變成衝突。只有對觀察者條件、來源關係、任務作用域、時間與證據完成規則維持嚴格區分，才能不把資料互通誤判成世界理解。

COEP-0.1 所提供的不是宣稱完成了通用分散式具身智能，而是一個可檢查的最小研究接口：它允許不同觀察者保留各自的感測表徵，並要求每次跨觀察者的共同結論明確指出哪些資訊可轉譯、哪些來源其實重複、哪些讀值互斥、哪些前提尚未被驗證，以及為何沒有任何自動的物理行動授權。

不同存在可以交換同一份證據；但共同看見某個答案，仍不等於共同證明了那個世界。

參考文獻與來源核對

[E1] W3C, PROV-O: The PROV Ontology, W3C Recommendation, 2013-04-30. https://www.w3.org/TR/prov-o/

[E2] Leslie Lamport, “Time, Clocks, and the Ordering of Events in a Distributed System,” Communications of the ACM, 21(7), 558–565, 1978. DOI: https://doi.org/10.1145/359545.359563

[E3] Friedemann Mattern, “Virtual Time and Global States of Distributed Systems,” Proceedings of the International Workshop on Parallel and Distributed Algorithms, 1989, pp. 215–226. Bibliographic record: https://vs.inf.ethz.ch/publ/bibtex.html?file=papers%2FVirtTimeGlobStates

[E4] Marc Shapiro, Nuno Preguiça, Carlos Baquero, Marek Zawirski, “A Comprehensive Study of Convergent and Commutative Replicated Data Types,” INRIA Research Report 7506, 2011. https://dsf.berkeley.edu/cs286/papers/crdt-tr2011.pdf

[E5] RFC 9162, Certificate Transparency Version 2.0, 2021. https://www.rfc-editor.org/rfc/rfc9162.html

[E6] Miguel Castro and Barbara Liskov, “A Correctness Proof for a Practical Byzantine-Fault-Tolerant Replication Algorithm,” MIT/LCS, June 1999. https://www.microsoft.com/en-us/research/publication/correctness-proof-practical-byzantine-fault-tolerant-replication-algorithm/

[E7] Michael J. Fischer, Nancy A. Lynch, Michael S. Paterson, “Impossibility of Distributed Consensus with One Faulty Process,” Journal of the ACM, 32(2), 374–382, 1985. DOI: https://doi.org/10.1145/3149.214121

[E8] NIST SP 800-204D, Strategies for the Integration of Software Supply Chain Security in DevSecOps CI/CD Pipelines, February 2024. https://doi.org/10.6028/NIST.SP.800-204D

來源邊界： 上列文獻提供既有協議與理論背景，不支持把本篇有限合成測試寫成真實生物視覺測量、硬體可靠度或公共網路安全認證。所有新增數值結果均可由本封裝的本地程式直接重現。

附錄 A｜重現步驟

使用 Python 3.10 以上版本，除產生圖檔需安裝 matplotlib 以外，數學核心及測試不需要第三方依賴。

python -m unittest discover -s tests -p 'test_coep.py' -v
PYTHONPATH=src python src/independent_audit.py
PYTHONPATH=src python src/cross_series_regression.py
PYTHONPATH=src python src/run_experiments.py
PYTHONPATH=src python src/render_figures.py
python validate_release.py

Windows PowerShell 可使用 $env:PYTHONPATH='src' 設定模組路徑；程式亦可由包含套件檔案的專案目錄執行。主原稿位於專案根目錄的 RGC-DPIED-13.md。完整執行輸出位於 results/；所有圖片來源與程式一併放入 figures/ 及 src/。參考程式快照 references/ectr12_original.py 用於交叉回歸，沒有將舊論文改寫成新論文。

附錄 B｜最小研究協議禁止事項

COEP-0.1 不允許將來源轉發當作新的獨立觀測；不允許將沒有核准橋接的原始位元直接混合；不允許把缺失感測通道當作量得的零；不允許跨時期互斥數值直接構成同時期衝突；不允許以晚到訊息取代先到訊息而丟失矛盾；不允許把 HMAC、來源根門檻、固定集合收斂與物理真實性畫上等號；不允許由研究狀態直接授予具身機體實際行動權限。

這些禁止事項在本篇的限定人工模型中可執行、可測試，並且各有對應的失敗案例。它們之所以值得單獨成篇，不是因為每條規則都前所未見，而是因為觀察者幾何、資料來源、證據有效性及物理作用權限必須在同一個接口中保持彼此不可偷換的語義。