证明：一次飞行，四个节拍
本演示是一次连续的固定种子任务。以下是按顺序的四个节拍，在 LiDAR 融合关闭时记录，即故障保护触发的头条运行。
节拍 2，GPS 拒止（t=18 s，干扰泡）
无人机进入模拟的 R-330Zh 式电子战干扰泡，GPS 掉线。EKF 交接到 VIO，没有模式切换，持续跟踪至约 0.9% 漂移，而航位推算 IMU 基线飙升至 30.95% 漂移和 75.92 m 最终误差。精度是真实的，但那不是要点。要点是精度不再可能时会发生什么。
GPS 拒止无人机自主
Lodestar 是面向 GPS 拒止飞行的导航完好性引擎。它在干扰泡中持续跟踪，漂移约 0.9%；当场景真正不可观测时，它翻为 RED 并返航，而不是带着自信却错误的定位飞向墙壁。信任在估计器之外计算，因此无论底层 VIO 变得多好，它都成立。
0.92%
GPS 拒止航段中保持的位置漂移（我们的方案）
固定种子合成任务；航位推算达到 30.95%
52.5 s 时 RED
隧道变得不可观测时返航
同一任务，LiDAR 融合关闭
100% / 0.1%
已标出不可观测隧道 / 健康航段上的误报
本次运行的弃权检查
以下全部是沿 245.3 m 路径的固定种子合成任务，可离线复现。不涉及真实无人机、飞行日志或电子战发射源。
电子战已使 GPS 在自主无人机如今最关键的地方变得不可靠：对抗空域、矿坑、隧道、城市峡谷。本能的补救是加装视觉-惯性里程计（VIO）并寄希望于它。但 VIO 有两种失败方式，其中只有一种是人人都在谈论的漂移。
第一种失败是 VIO 会漂移，GPS 拒止越久，误差累积越多。这还可以应对。第二种更糟：VIO 会静默失败。它锁定运动物体或空场景，却报告一个清晰、自信、却完全错误的位置。对国防、采矿或 Blue UAS 买家而言，自信却错误的位置比诚实的「我不知道」更危险，因为飞行器会带着十足确信据此行动，精确飞向它并不在的地方。
我们构建本演示时，把第二种失败当作真正的问题。把估计器做得更准并不能解决它，因为「这个位置可信吗？」与「这个位置是什么？」是不同的问题。你不能用产生第二个答案的同一套机制来回答第一个，正如你不会让证人给自己的证词背书。因此 Lodestar 的持久价值不是更好的估计器。它是坐在估计器之外、愿意说出那句不体面的话的完好性监视器：这个位置不可信，返航。
整条流水线都是真实、确定性、固定种子的代码。合成任务独立于每一个估计器生成真值；紧耦合 VIO EKF 产出位置；单独的导航完好性监视器判定该位置是否可信；基准测试加上飞行完好性报告对照真值给整次运行打分。
同一个紧耦合 VIO EKF 在三种真正不同的设置下运行，不是稻草人。航位推算 IMU 不使用视觉。原版 VIO 关闭语义掩蔽。完好性感知 VIO（我们的方案）开启语义掩蔽，从而拒绝属于运动物体的视觉特征，而不是去跟踪它们。当 GPS 在 t=18 s 被拒止时，EKF 从 GPS 交接到视觉，没有操作员可见的模式切换，并保持位置连续。
导航完好性监视器刻意是独立代码。它把三个信号融合成一个带硬阈值的完好性状态：
RED 持续 0.5 秒即锁存故障保护并指令返航。监视器还会随信任变化重新加权 GPS 与 VIO 的平衡。因为它活在估计器之外，其裁决不依赖于被信任的那个东西。
一键将审计凭据导出为 JSON 和可打印 HTML：记分板、头条指标、弃权正确性、故障保护时间、事件时间线，以及何为桩实现、何为推迟的显式范围披露。它完全离线、以固定种子确定性运行，因此整份结果可复现。唯一可选的 LLM 是「撰写叙述」按钮，它根据结构化报告撰写技术评审叙述，并完全位于飞行回路之外；确定性完好性关卡作裁定，模型只作建议。
本演示是一次连续的固定种子任务。以下是按顺序的四个节拍，在 LiDAR 融合关闭时记录，即故障保护触发的头条运行。
无人机进入模拟的 R-330Zh 式电子战干扰泡，GPS 掉线。EKF 交接到 VIO，没有模式切换，持续跟踪至约 0.9% 漂移，而航位推算 IMU 基线飙升至 30.95% 漂移和 75.92 m 最终误差。精度是真实的，但那不是要点。要点是精度不再可能时会发生什么。
由报告构建器在种子 20260619 上沿 245.3 m 路径生成，完全可离线复现。头条运行是 LiDAR 融合关闭，RED 故障保护在此触发。
| 方法（LiDAR 关闭） | ATE | 最终误差 | 漂移 |
|---|---|---|---|
| 航位推算 IMU | 25.37 m | 75.92 m | 30.95% |
| 原版 VIO（掩蔽关闭） | 32.95 m | 70.61 m | 28.79% |
| 完好性感知 VIO（我们的方案） | 0.90 m | 2.26 m | 0.92% |
同一次运行中，GPS 拒止飞行的 56.3% 保持 GREEN 完好性，监视器 100% 标出真正不可观测的隧道，在健康的 GPS 拒止航段上仅 0.1% 误报。返航故障保护在 t=52.5 s 触发。打开模拟 LiDAR 融合后，隧道变得可观测，漂移降至 0.01%，GREEN 覆盖升至 78.9%，故障保护未触发，这是正确行为，而不是漏检。
本次运行测得吞吐量为 16,000 次 EKF 传播更新（80 s、200 Hz）。NVIDIA Jetson Orin NX 16 GB 上 30 至 45 FPS 的数字是目标硬件规格，并非在此测得，报告亦如此标注。
诚实即产品，因此范围是显式的。这是机制演示，不是已部署流水线。
当 GPS 在干扰泡内掉线时，Lodestar 交接到紧耦合视觉-惯性里程计（VIO）EKF，融合相机路标与 200 Hz IMU 数据以持续估计位置。在我们的固定种子合成任务上，漂移保持在已飞路径的约 0.9%，而航位推算 IMU 基线飙升至大约 31%。估计器只是故事的一半：单独的完好性监视器时刻判定位置究竟是否可信。
略有漂移的位置会优雅降级，操作员可以据此规划；但自信却错误的位置会把飞行器精确送向它自以为所在、实际并非所在的地方。当 VIO 锁定运动物体或空场景、并报告一个清晰却完全虚假的定位时，就会这样失败。Lodestar 的答案是诚实弃权：当没有任何位置可信时，它如实说明并返航，而不是带着自信却错误的定位飞向墙壁。
在我们任务的黑暗隧道航段，可用视觉特征塌缩至近乎为零，因此没有任何估计器能制造出可信位置。导航完好性监视器翻为 RED，持续 RED 0.5 秒后锁存故障保护并指令返航，本次运行发生在 t=52.5 s。打开可选的模拟 LiDAR 融合，同一航段再次变得可观测，因此监视器正确地保持，故障保护未触发。
这是仿真。全部是合成、固定种子任务，真值独立于每一个估计器生成，因此运行可按字节复现；没有真实无人机、飞行日志或电子战发射源，R-330Zh 仅用作具名场景。真实的是代码：可用的 VIO EKF、完好性监视器和基准测试全部离线确定性运行。持久主张在于结构，即信任在估计器之外计算以及 RED 触发返航，而不是一次任务的精确米数。
原版 VIO 估计位置，但没有单独的判定者来判断该位置是否可信，并且它可能锁定动态特征。在同一次固定种子运行中，关闭语义掩蔽的原版 VIO 锁住运动车队并飞离至约 29% 漂移，即跟踪卡车却以为无人机还在原地的典型情形。Lodestar 增加拒绝运动特征的语义掩蔽，外加活在估计器之外的完好性监视器，使信任不依赖于被信任的那个东西。
本演示作为带 NumPy EKF 与完好性监视器的 FastAPI 服务，在笔记本电脑上离线、确定性地运行。NVIDIA Jetson Orin NX 16 GB 上 30 至 45 FPS 的数字是目标硬件规格，不是测得结果，飞行完好性报告亦如此陈述。机载部署、真实图像前端以及自动驾驶仪/MAVLink 桥接均已推迟，并未在本版本中构建。
Blue UAS 是美国国防创新单元已核准的 NDAA 合规无人机清单，SBIR/AFWERX 正资助这类 GPS 拒止自主工作；我们将其作为市场语境引用，而非隶属关系。并未声称 Veriprajna 在任何清单上或处于任何合同下。演示为那种评审提供的是一键飞行完好性报告，带有何为桩实现、何为推迟的显式范围披露。
演示证明的是机制。更难的工作是把它适配到你的平台、你的传感器和你的任务。
如果你的团队正在应对 GPS 拒止导航，以及自主堆栈何时应拒绝信任自身位置的问题，我们真心希望听听你们的想法。这个问题是全行业的，答案也将如此。