RuView 生产落地路线图：从 SOTA 研究循环到可交付产品的 Tier 分级工程指南

本篇技术指南以 RuView 仓库内 PRODUCTION-ROADMAP.md 为骨架，系统讲解如何把 34+ 轮 SOTA 研究循环（physics、simulation、architecture、vertical sketches）的产出，映射为带 Owner、LOC 估算、依赖关系与优先级的可执行交付计划。读完本文，你将掌握：多站天线部署矩阵（4 轴决策矩阵与 plan-antennas CLI）、联邦训练与差分隐私链（ruview-fed crate 的 Krum 聚合、DP-SGD、安全聚合）、后量子密码迁移（Kyber-768 与 Dilithium-3）的具体落地路径，以及从 Tier 1（季度内）到 Tier 6（运维/管理）的完整关键路径与工程预算结构。

为什么需要这份路线图：把研究输出变成可交付产品

SOTA 研究循环（见 PROGRESS.md）产出了大量 tick：R1、R3、R5–R18 等研究线程、R6 家族的 9 个 tick、R12 弧线的 3 个 tick，以及 ADR-105 至 ADR-109、ADR-113 等多个架构决策。没有路线图，这些产出就无法真正 ship。

该文档的定位是研究循环的终端输出（terminal output）：把每一个循环产出映射为四类元数据——

• Owner：由哪个团队/角色接手；
• LOC 估算：粗略工程成本；
• Dependencies：必须先落地的前置项；
• Priority：HIGH/MEDIUM/LOW，基于“杠杆 × 确定性”评估。

阅读顺序约定：越靠上的小节是杠杆最高、最短路径交付的项；越靠下越是 exotic / 长周期工作。从文档结构与各 ADR 内容看，整个路线图可归纳为三条主线：部署物理层（placement）、隐私 + 联邦 + PQC 链（约 1,820 LOC）、cog 与垂直集成（约 1,700 LOC）。

Tier 1 — 下季度交付（Q3 2026）：最短路径上的四项高杠杆工作

1.1 wifi-densepose plan-antennas CLI 工具

这是整个路线图的第一优先项。来源 tick 为 R6.2 / R6.2.1 / R6.2.2 / R6.2.2.1 / R6.2.3 / R6.2.4 / R6.2.5 与 ADR-113，Owner 为 CLI 维护者（按 ADR-104），LOC 约 360（placement 搜索引擎、4 轴矩阵查找、3D 椭球扩展、多目标并集）。依赖项为无（examples/research-sota/02-placement/ 下已有 numpy 参考实现）。优先级 HIGH：仅靠物理模型即可带来 93× 传感覆盖提升，现有客户今天就可以重新安装天线。

路线图给出的目标 CLI 形态：

wifi-densepose plan-antennas \
    --room 5 5 [Z] \
    --target NAME X Y W H [DX DY DZ] \
    --target-mode {body, chest} \
    --cog COG_NAME \
    --freq-ghz 2.4 \
    --n-anchors N

ADR-113 中给出的完整 CLI 规格进一步明确了参数语义与默认值（这是产品化规格，总 LOC 约 100，叠加在 R6.2.5 参考实现之上）：

wifi-densepose plan-antennas
    --room W H [Z]                        # 2D 或 3D
    --target NAME X Y W H [DX DY DZ]      # 可重复（多目标并集）
    --target-mode {body, chest}           # R6.2.3
    --freq-ghz F                          # 2.4, 5.0, 6.0
    --n-anchors N                         # 省略时自动饱和
    --restarts K                          # 默认 4
    --cog COG_NAME                        # 自动选择 target-mode + N

--cog 标志是产品化关键：它按 cog 类别查表并映射到矩阵行，安装者无需理解物理细节。ADR-113 给出的 per-cog 自动选择表如下：

Cog	类别	Target mode	高度	N
cog-presence	presence	body	low	3
cog-person-count	count	body	mixed low	4
cog-pose-estimation	pose	body	mixed	5 (2D) / 7 (3D)
cog-vital-signs	vital signs	chest	low+mid	5 (2D) / 6 (3D)
cog-breathing	vital signs	chest	low+mid	5 (2D) / 6 (3D)
cog-heart-rate	vital signs	chest	low+mid	5 (2D) / 6 (3D)
cog-intruder	structure detection	body	mixed	5
cog-maritime-watch	maritime	chest	low	4
cog-wildlife	wildlife	linear	tree-mount	4

4 轴决策矩阵：维数 × 区域模式 × 占用人数 × cog

ADR-113 将 R6 家族的 9 个 tick 收敛为一张绑定性的安装规格矩阵，这是 1.1 工具背后的物理依据：

Cog 类别	维数	区域模式	占用人数	推荐 N	锚点高度	预期覆盖率
Presence / occupancy	2D	body	1	3	墙壁 @ 0.8 m	63%
Person count	2D	body	1-4	4	墙壁 @ 0.8-1.5 m 混合	86%
Pose estimation	2D	body	1-2	5	墙壁 @ 0.8/1.5 m 混合	97%
Vital signs	2D	chest	1-4	5	墙壁 @ 0.8/1.5 m	100%
Pose estimation (3D)	3D	body	1-2	7-8	混合: 0.8/1.5/2.4 m	65%+
Vital signs (3D)	3D	chest	1-4	6	墙壁 @ 0.8/1.5 m，无天花板	82%
Maritime cabin	2D	chest	1-3	4	低位 (0.5-0.8 m)	80%+
Wildlife sensing	1D 线性	full-corridor	1-5 物种	4（沿走廊）	树挂混合	70%+

矩阵背后的 7 条关键规则（摘自 R6 家族）值得安装者与集成方牢记：

1. 纯天花板安装必然失败（R6.2.1）：两天线都在天花板高度时，Fresnel 包络贴在天花板，永远够不到地面目标。至少需要一个低锚点。
2. 3D 中垂直链路多样性取胜（R6.2.1）：z 方向对角链路（如 0.8 m → 1.5 m）把椭球倾斜穿过多个高度层。
3. 锚点高度应匹配目标区域高度（R6.2.4）：z=0.3-1.5 的 chest 区域不因天花板（z=2.4）锚点受益；全身覆盖才受益。
4. vital signs 用 chest-centric 优于 body-centric（R6.2.3）：N=5 时靠更小、针对特定住户的区域换来 +27 pp 覆盖增益。
5. 多住户并集才是家庭的正确目标（R6.2.5）：单住户最优布局扩展到 4 人时损失 29 pp；按多住户优化的布局保持 100%。
6. N=5 是消费级推荐（R6.2.2 + R6.2.5）：2D chest-centric 多住户的拐点；超过 N=5 后边际收益 <1 pp。
7. 避免把目标区域放在 LOS 直射线上（R6.1）：LOS 上散射体的路径差对偏移是二阶量，呼吸几乎不改变路径长度；真实安装需要目标偏离 LOS。

1.2 R12.1 pose-PABS 闭环进入 vital_signs cog

来源 tick：R12 PABS / R12.1 / R6.1，Owner 为 vital_signs.rs 维护者，LOC 约 80。PABS（Pose-Aware Baseline Subtraction，姿态感知基线扣除）定义为：

PABS = ||observed − predicted||² / ||observed||²

其中 predicted 来自既有姿态管线（ADR-079、ADR-101），并与 R6.1 多散射体前向算子耦合。优先级 HIGH：带来 9.36× 入侵者检测提升，直接交付一个 V0 安全特性。研究细节见 R12_1-pose-pabs-closed-loop.md 与 R12-pabs-implementation.md。

1.3 cog-person-count v0.0.3（chest-centric 布局）

来源 tick：R5 / R8 / R6.2.3 / ADR-113，Owner 为 cog-person-count 维护者（ADR-103），LOC 约 50（placement-aware 训练配置 + per-cog --target-mode=body 默认值）。依赖 1.1 CLI 工具。优先级 HIGH：本循环的 K-fold + label-smoothing 工作已经交付 v0.0.2，v0.0.3 是 placement-aware 重训。

结合 ADR-103 的实现背景可以更清楚地理解这一行：cog-person-count 是一个在 ESP32-S3 1×1 SISO 硬件上、基于 HF 预训练 128 维 CSI 编码器 + count head（Linear 128→64→8 softmax over {0..7}）+ confidence head 的学习式人数统计 cog，输出 {count, confidence, count_p95_low, count_p95_high}，并用 Stoer-Wagner min-cut 做多节点融合上界。v0.0.2 的接受门槛为同房间 ±1 内 ≥80%、跨房间 ≥60%、MAE ≤0.6 人。v0.0.3 的 placement-aware 重训正是利用 1.1 工具输出的矩阵行来构造训练配置。

1.4 ADR-029 修正：并入 ADR-113 placement 矩阵

来源 ADR-113，Owner 为 ADR-029 作者/架构师，LOC 为 0（仅 ADR 修正），依赖 1.1 CLI 工具（验证矩阵）。优先级 HIGH：闭合 ADR-029（RuvSense 多站感知模式）遗留的“锚点如何放置”问题。ADR-113 明确指出：没有显式指导时，安装者任意选择放置，R6.2 实测最优与中位放置之间存在 93× 覆盖差距——沉默等于 93× 隐性损失。

Tier 2 — 未来 6 个月交付（Q3-Q4 2026）：联邦与隐私链落地

2.1 ruview-fed crate（安装内联邦）

来源 ADR-105 + ADR-106，Owner 为联邦专家（新角色），LOC 约 800（Krum 聚合器、LoRA+int8 delta 编解码、MERIDIAN 质心钩子、mincut 一致性检查、DP-SGD + Moments Accountant、原始量隔离强制）。依赖 AgentDB、ruvllm-microlora、ruvector-mincut（均已在仓库中）。优先级 HIGH：使能 R14 共情家电 + R16/R17/R18 垂直工作，约 3 周工作量。

ADR-105 规定的协议摘要（MERIDIAN-FedAvg + Byzantine 鲁棒聚合）共 8 步：

1. 轮次发起：协调者（cognitum-v0 舰队管理器）为轮次 T 选择 K 个健康节点，下发全局模型检查点 W_T；
2. 本地训练：每个节点 N_i 加载 W_T，在本地数据上微调其 AETHER 头 local_epochs 轮，本地数据永不上传；
3. MERIDIAN 归一化：计算 delta 前，各节点从本地嵌入中减去 per-room 嵌入质心（去除 env_sig，见 R3），使 delta 与环境无关；
4. Delta 压缩：计算 ΔW_i = W_T+1_i − W_T，量化为 int8 + LoRA 秩分解（rank=8）→ 约 1 MB/delta；
5. Byzantine 鲁棒聚合：协调者用 Krum 而非 FedAvg——选择与所有其他 delta L2 距离最小的 K−f 个（f 为预期 byzantine 数）聚合，切断疑似投毒异常值；
6. 多链路一致性检查（R7 扩展）：协调者对节点间更新相似度图执行 Stoer-Wagner min-cut，若某割连续多轮隔离超过 20% 节点，则标记人工审查；
7. 全局更新：W_T+1 = W_T + lr_global · Krum_aggregate(ΔW_i)；
8. 收敛检查：每 R 轮在本地留出验证集上评估，精度平稳即停止联邦。

更新频率按 cog 区分（ADR-105）：

Cog	建议联邦频率	理由
cog-person-count（R8/R5 工作）	每周	计数模型已充分训练；仅住户构成变化时需更新
AETHER re-ID 头（R3）	每日	re-ID 随季节多径变化漂移
cog-pose-estimation	每月	基础姿态稳定；仅新房间几何需微调
cog-maritime-watch（R11）	每次部署	船体运动模式各异；需按船微调

带宽分析（典型 4-seed 安装，每轮）：全局检查点下发 8 MB（组播 8 MB）、本地训练 0 传输、int8+LoRA delta 4×1 MB、聚合后新检查点 8 MB，合计约 12-44 MB/轮。按周频率 × 4 周/月，约 50-180 MB/月/安装，远低于家用宽带上限（约等于典型 300 GB 月配额中 0.06% 的带宽预算）。

2.2 带 R15 原始量隔离的 cog-vital-signs 更新

来源 R14 / R15 / ADR-106，Owner 为 vital-signs cog 维护者，LOC 约 120（PrimitiveTag 枚举、API 面的仅设备端强制、per-cog 配置 schema）。依赖 2.1 ruview-fed。优先级 HIGH：隐私合规的医疗级生命体征，是 R16 医疗部署的前提。

ADR-106 的三层防御结构：

• Layer 1 — 原始量隔离（R15 绑定约束）：静态的“仅设备端”生物特征原始量清单，联邦客户端库强制这些张量永不序列化进可传输更新：

原始量	仅设备端	原因
原始 CSI 窗口（complex64 张量）	✅	ADR-105 基线
步态步频（Hz 标量/人）	✅	R15 — 生物特征原始量
呼吸率（BPM 标量/人）	✅	R15 — 生物特征原始量
HRV 率特征（R-R 间隔数组/人）	✅	R15 — 生物特征原始量
RCS 频率响应曲线（/人/子载波幅度）	✅	R15 — 生物特征原始量
肢体时序向量（/人/步）	✅	R15 — 生物特征原始量
每人嵌入质心	✅	R3 + ADR-105 — re-ID 原始量
MERIDIAN 房间质心	⚠️	对房间内所有人聚合——非单人
LoRA 权重 delta	⚠️	编码生物信息；由 Layer 2 + Layer 3 缓解
模型 logits / softmax 输出	⚠️	推理时单人；绝不聚合传输
协调者侧聚合模型	❌	分发给节点；按构造无单人内容

• Layer 2 — 梯度裁剪：任何 LoRA 权重 delta 计算前，将单样本梯度裁剪到 L2 范数 C（标准 DP-SGD 步骤），推荐 C = 1.0（按 cog 实验，部分 cog 需 C ∈ [0.5, 2.0]）；
• Layer 3 — 聚合 delta 上的高斯噪声：传输前对聚合 LoRA delta 加高斯噪声 N(0, σ²C²I)，界定每轮隐私泄漏。

隐私预算用 Moments Accountant 追踪 (ε, δ)-DP：

配置	每轮 σ	轮数	总 ε（δ=1e-5）	判定
保守（医疗级）	1.5	50	2.0	强；符合 HIPAA 对齐建议
标准（典型 RuView）	1.0	100	5.0	强；与 Google 联邦键盘工作一致
宽松（更快收敛）	0.5	100	8.0	中等；低于 ε=10 社区软界

推荐起始 σ=1.0，per-cog 微调：cog-person-count 用 σ=1.0；AETHER re-ID 头用 σ=0.7 + C=1.5 以保留判别力；cog-pose-estimation 用 σ=1.0；cog-maritime-watch 用 σ=1.5（医疗级——船员生命体征）。DP 噪声会使模型精度下降约 3-8%（以 cog-person-count v0.0.2 的 34.3% class-1 基线为例，σ=1.0 时约降至 31-33%）。

2.3 placement 矩阵的 bench 验证套件

来源 ADR-113 honest scope，Owner 为 bench 工程师 + COM5 硬件，LOC 约 200（测试夹具 + CSI 采集 + 矩阵 vs 实测对比）。依赖 1.1 CLI 工具。优先级 MEDIUM：把 ADR-113 的合成数字变成经过验证的数字。这也是路线图“不能做什么”一节明确指出的：生产验证仍是必须的前置项——矩阵全部数值来自 numpy 仿真，真实部署可能偏移 ±5-15%。

2.4 MCP 工具 ruview_placement_recommend

来源 ADR-104 + ADR-113，Owner 为 ruview-mcp 维护者，LOC 约 60。依赖 1.1 CLI 工具。优先级 MEDIUM：使能 AI-agent 驱动的部署。ADR-113 给出的 MCP 表面为：

ruview_placement_recommend(
    room: {width, depth, ceiling?},
    targets: [{name, position, size}],
    cog: str  // auto-configures target-mode + N
) -> {
    anchors: [{x, y, z, height_category}],
    expected_coverage: float,
    placement_rationale: str
}

该工具与 ADR-104 中已实现的 @ruv/ruview-mcp（tools/ruview-mcp/）属同一 MCP 工具面——现有 MCP 服务器已暴露 6 个工具（ruview_csi_latest、ruview_pose_infer、ruview_count_infer、ruview_registry_list、ruview_train_count、ruview_job_status），采用 fail-open 原则（返回 {ok:false, warn:true, error, hint} 而非抛异常），ruview_placement_recommend 将是其自然延伸。

Tier 3 — 一年内交付（2027）：跨安装联邦与后量子迁移

3.1 跨安装联邦（ADR-107）

来源 ADR-107，Owner 为联邦 + 密码学专家，LOC +530（Bonawitz 安全聚合、阈值 Shamir、PKI 客户端、每安装轮换密钥）。依赖 2.1 ruview-fed。优先级 MEDIUM：使能 R16-R17-R18 跨安装 cogs。

ADR-107 在 ADR-105/106 三层防御之上扩展为五层防御：

层	机制	防御对象
1（ADR-106）	原始量隔离 API	经联邦通道的生物特征外泄
2（ADR-106）	梯度裁剪 L2 范数 ≤ C	单样本敏感性
3（ADR-106）	每安装高斯 DP 噪声（σ_local）	安装内成员推断
4（新增）	密码学安全聚合	跨安装聚合器只见总和
5（新增）	每安装嵌入空间轮换密钥	即使模型泄露也无法跨安装关联

安全聚合协议（Bonawitz 2016）：每安装有密钥对 (sk_i, pk_i) 与每轮 nonce；计算两两随机掩码 m_ij = PRG(seed=DH(sk_i, pk_j))；本地 delta 按 ADR-105 step 4 计算并施加 ADR-106 层 1-3；掩码化 delta_i = delta_i + Σ_j sign(i,j)·m_ij；聚合器只收到掩码化 delta，两两掩码按构造抵消，聚合器永不见任何单个 delta_i；掉线安装通过阈值 Shamir 秘密共享重构缺失掩码。

跨安装隐私预算：N 个安装各运行 σ_local = 1.0、50 轮联邦时，跨安装有效 σ = √N·σ_local = √10·1.0 ≈ 3.16，50 轮后跨安装 ε ≈ 1.5，仅为社区 ε=10 软界的 <30% 消耗。反直觉但数学上严格：跨安装联邦因放大效应反而改善隐私。带宽方面每安装每轮约 2 MB（10 安装共约 20 MB），叠加安装内 50-180 MB/月，总计 70-200 MB/月/安装，仍 <0.1% 家用宽带上限。

Layer 5 的嵌入空间轮换：embedding_local = R_i · embedding_global，R_i 为安装初始化时采样的随机正交 128×128 矩阵、仅本地存储、永不传输。联邦在旋转空间上运行，安装 i 的输出在安装 j 不可解读——即使攻击者拿到全局模型 + 安装 j 的原始 CSI，也无法在没有 R_i 的情况下把安装 i 的生物特征嵌入投影到同一空间。

3.2 PQC 迁移 Phase 1（ADR-108 + ADR-109）

来源 ADR-108 + ADR-109，Owner 为密码学专家，LOC +220（Kyber-768 KEM）+ +270（Dilithium-3 签名）= +490。依赖 3.1 跨安装联邦。优先级 MEDIUM：opt-in pgc-hybrid 模式；Phase 2（2027-Q2）必需。

Kyber-768（FIPS 203，密钥交换侧）与 Dilithium-3（FIPS 204，签名侧）均选择 NIST Level 3 / ~AES-192 等价安全，与 CNSA 2.0 推荐默认一致：

Kyber 变体	NIST 级别	公钥	密文	秘密	安全性
Kyber-512	Level 1	800 B	768 B	32 B	~AES-128
Kyber-768	Level 3	1184 B	1088 B	32 B	~AES-192
Kyber-1024	Level 5	1568 B	1568 B	32 B	~AES-256

Dilithium 变体	NIST 级别	公钥	签名	安全性
Dilithium-2	Level 2	1,312 B	2,420 B	~AES-128
Dilithium-3	Level 3	1,952 B	3,293 B	~AES-192
Dilithium-5	Level 5	2,592 B	4,595 B	~AES-256

迁移时间线（两个 ADR 同步，混合模式为腰带 + 背带式防御）：

阶段	时间	交付内容
Phase 0（现在）	2026	ADR-107 以经典 X25519 交付；ADR-100 以 Ed25519 交付
Phase 1	2026-Q4 → 2027	库升级加入 Kyber-768（--enable-pqc opt-in）；签名侧双签名（Ed25519 必需 + Dilithium-3 尽力验证）
Phase 2	2027-Q2 → 2028	混合模式（X25519 + Kyber-768）成为默认；双签名均必需，拒绝降级
Phase 3	2030+	纯 Kyber-768 / 纯 Dilithium-3，经典原语移除

混合模式的密钥派生为 shared_secret = SHA-256(kyber_ss || x25519_ss || transcript)，防御“先记录后解密”（record-now-decrypt-later）攻击——ADR-105 的隐私保证不会在量子计算时代静默过期。ADR-109 的双签名 manifest 结构：

{
  "cog_name": "cog-person-count",
  "version": "0.0.2",
  "sha256": "...",
  "signatures": {
    "ed25519": "...",
    "dilithium3": "..."
  },
  "sig_policy": "BOTH_REQUIRED_PHASE_2"
}

3.3 Real-AETHER + R3.2 嵌入级跨房间 re-ID

来源 R3 / R3.1 / R3.2 / ADR-024，Owner 为 ML 训练工程师，LOC 约 200（R3.2 协议与 ADR-024 对比头组合）。依赖 ADR-024 AETHER 训练（RTX 5080 上约 1-2 天）。优先级 MEDIUM：产出可用的跨房间 re-ID，解锁 R14 按住户功能。

ADR-024（Project AETHER）提供了对比嵌入的具体形态：基于 CsiToPoseTransformer 骨干，GlobalMeanPool 17 个 keypoint 特征得到 64 维 frame_feature，再经 2 层 MLP 投影头（64→128→128）+ L2 归一化得到 128 维 z_csi 单位向量；训练用 InfoNCE（tau=0.07）+ VICReg 正则（alpha=1.0, beta=25.0, gamma_cov=1.0）防止表示坍缩；七个物理驱动的 CSI 增强（时间抖动 J=3、子载波掩码 5-20%、高斯噪声、相位旋转、幅度缩放 0.8-1.2、子载波置换 p=0.1、时间裁剪 0-15%）；INT8 全模型约 55 KB，可装入 ESP32 SRAM。AETHER 的 128 维嵌入直接服务 4 类 HNSW 索引（env_fingerprint、activity_pattern、temporal_baseline、person_track），其中 person_track 正是跨会话 re-ID 的基础。研究细节见 R3-crossroom-reid.md 与 R3_2-embedding-level-physics-env.md。

3.4 cog-fall-detection（R12.1 生产化）

来源 R12.1 + ADR-079，Owner 为 cog 开发者，LOC 约 200（pose-PABS 管线 + 跌倒事件检测器 + EHR/告警集成 shim）。依赖 1.2 R12.1 进入 vital_signs。优先级：R16 医疗场景 HIGH，一般场景 MEDIUM。

Tier 4 — 长周期（2027-2030）：垂直领域与物理模型演进

4.1 PQC 迁移 Phase 2（混合模式默认）

来源 ADR-108 + ADR-109 Phase 2，Owner 为密码学专家，LOC +150，依赖 3.2 Phase 1 稳定。优先级 MEDIUM：CNSA 2.0 合规。

4.2 野生动物 cog（R10 + cog-wildlife）

来源 R10，Owner 为生态合作伙伴 + cog 开发者，LOC 约 300（步频分类器 + 物种先验模型 + 带标签野生动物 CSI 数据集）。依赖 2.1 联邦（用于跨部署训练）、带标签数据集（外部合作）。优先级 LOW：影响大但数据准备周期长。研究细节见 R10-through-foliage-wildlife.md。

4.3 海事 cog（R11 + cog-maritime-watch）

来源 R11，Owner 为海事合作伙伴 + cog 开发者，LOC 约 250（穿舱壁声耦合 CSI + 落水检测器 + 船员生命体征）。依赖 2.1 联邦、海事合作伙伴船舶部署。优先级 LOW：小众但单次部署价值高。研究细节见 R11-maritime-sensing.md。

4.4 R6.1 多散射体进入生产 vital_signs

来源 R6.1，Owner 为 vital-signs 维护者，LOC 约 150（以多散射体前向替换标量 Fresnel；为 R17 工业场景提供 PPE-aware 变体）。依赖 1.2 R12.1 先行。优先级 MEDIUM：改善 SNR 预算精度。研究细节见 R6_1-multiscatterer-forward-model.md。

Tier 5 — 需要研究（post-2027）：诚实范围项目

• 5.1 R6.1 真实人体 RCS 测量（来源 R6.1 honest scope，Owner 为物理顾问 + bench 工程师，LOC 0，论文 + 测量活动）：需要消声室；把各身体部位的反射率精化 2-3×。
• 5.2 室外/天气影响传播（来源 R10/R11/R17/R18 honest scope，LOC 0，论文）：需要气象站数据；室外 cogs 前置。
• 5.3 长班次步态疲劳（cog-worker-fatigue）（来源 R17 + R10，LOC 约 300）：时间步态漂移检测器；需要多小时工人带标签数据；OSHA 对齐但周期长。研究细节见 R17-industrial-safety.md。
• 5.4 带同意的灾难部署联邦（来源 R18，LOC 0，策略工作）：需要 FEMA/城市 SAR 合作；伦理先行、技术后行。研究细节见 R18-disaster-response.md。

这些条目直接源于研究循环的负结果与诚实范围发现（R12 重访、R13 地板、R3.1 架构），这也是路线图对负结果的处理方式：不强行产品化，而是明确标注为需要研究。

Tier 6 — 运维 / 管理

• 6.1 Owner 密钥轮换策略（ADR-111）（来源 ADR-109 honest scope，Owner 为安全架构师）：MEDIUM——ADR-109 Phase 1 之前的必需项。签名密钥泄露不可恢复，任何后量子论证都无法修复。
• 6.2 跨组织 PKI 引导（ADR-107 运维项）（Owner 为运维架构师）：MEDIUM——跨安装联邦进入多组织前必需。ADR-107 假设 PKI 已存在，这是明确的运维（而非架构）缺口。
• 6.3 FDA / CE 监管路径（R16）（Owner 为监管顾问）：成本 $500K-$2M/设备类别，时间线 6-18 个月，医疗部署 HIGH 优先级。这是路线图明确“不能做什么”的范围——监管批准是独立路径，不随代码交付自动获得。

关键路径图（文本版）

1.1 plan-antennas CLI ----+
                          v
1.2 R12.1 vital_signs ---+
                         v
1.3 cog-person-count v0.0.3 ---+
                               v
2.1 ruview-fed crate --------+
                             v
2.2 cog-vital-signs DP -----+
                            v
3.1 cross-install fed -----+
                           v
3.2 PQC migration --------+
                          v
3.3 R3.2 embedding cross-room
3.4 cog-fall-detection (independent of 3.3)
4.x verticals (R10, R11, R16, R17, R18)

从路径图可以清晰看到：1.1 与 1.2 是并行的两条初始支线，汇合后驱动 cog 层（1.3），然后进入联邦链（2.1 → 2.2 → 3.1 → 3.2），最后解锁垂直领域（4.x）。3.3 与 3.4 相互独立，可并行调度。

全循环产出的工程预算总览

Tier	LOC	人-周
Tier 1（Q3 2026）	~490	3-4
Tier 2（Q3-Q4 2026）	~1180	6-8
Tier 3（2027）	~1140	8-10
Tier 4-5（长周期）	~700+	6-8
合计	~3,500 LOC	~25 人-周

该预算包含隐私 + 联邦 + PQC 链（约 1,820 LOC，即 ADR-105 的 500 + ADR-106 的 300 + ADR-107 的 530 + ADR-108 的 220 + ADR-109 的 270）与 placement / cog / 集成工作（约 1,700 LOC）。从 ADR-105 的 500 LOC 一路涨到五份 ADR 合计约 1,820 LOC，这是可验证的工程事实——也解释了为什么路线图把联邦链拆成 Tier 2-4 分阶段交付。

这份路线图能做什么 / 不能做什么

能做的：

1. 团队无需重读 34 份研究笔记即可接手开始交付；
2. 为工程管理者提供优先级对齐；
3. 为项目规划提供估算锚点；
4. 为并行工作调度提供关键路径可见性。

不能做的（路线图自身的诚实边界）：

• 生产验证：仍需 Tier 2.3 bench 验证套件——矩阵数值全部来自合成物理仿真（numpy），真实部署可能偏移 ±5-15%；
• 监管批准：Tier 6.3 是独立路径；
• 合作伙伴建立：Tier 4.4 / 4.3 / 5.4 都需要外部伙伴；
• 路线图的有效性取决于底层 tick 的质量——基于合成数据的估算可能偏移。

与研究循环的对应关系：每条循环产出 → 路线图条目

• 研究线程 R1、R3、R5–R18 → Tier 3-5 cogs + Tier 1-2 实现；
• ADR 105-109 + 113 → Tier 2-4 实现工作；
• R6 家族（9 个 tick）→ Tier 1.1 CLI + Tier 4.4 生产多散射体；
• R3 弧线（3 个 tick）→ Tier 3.3 Real-AETHER + Tier 3 跨房间 re-ID；
• R12 弧线（3 个 tick）→ Tier 1.2 R12.1 pose-PABS + Tier 3.4 cog-fall-detection；
• 负结果（R12 重访、R13 地板、R3.1 架构）→ Tier 5 需要研究的条目；
• 诚实范围发现 → Tier 5 需要研究的条目。

值得强调的实现证据：路线图并非空想文档。plan-antennas 的参考 numpy 实现位于 examples/research-sota/02-placement/；MCP/CLI 基础设施已按 ADR-104 在 tools/ruview-mcp/ 与 tools/ruview-cli/ 落地；cog-person-count 的架构与接受门槛记录在 ADR-103；AETHER 对比嵌入模型的设计与参数预算记录在 ADR-024。这些文件共同构成了路线图中每一项的“实现前证据链”。

结论：如何把这份路线图用起来

对工程团队而言，正确的启动姿势是：先并行启动 Tier 1.1（CLI 工具）与 1.2（pose-PABS），因为二者无依赖、杠杆最高（93× 覆盖提升与 9.36× 入侵检测提升）；随后以 1.1 工具验证 1.3 与 1.4，再沿关键路径进入 ruview-fed（2.1）并叠加 DP-SGD（2.2）。对集成方与 AI-agent 开发者，Tier 2.4 的 MCP 工具与 Tier 1.1 的 CLI 是可直接调用的入口。对安全团队，Tier 3.1 → 3.2 的联邦 + PQC 链（约 1,820 LOC）是一个有明确分阶段时间表的密码学工程包。最后务必记住路线图的边界：所有覆盖率为合成物理仿真值，正式采纳前需要 Tier 2.3 的真实硬件验证。