證明：一次飛行，四個節拍
示範是一次連續的固定種子任務。以下是依序的四個節拍，在 LiDAR 融合關閉下記錄，也就是失效保護觸發的標題運行。
節拍 2，GPS 拒止（t=18 s，干擾泡）
無人機進入模擬的 R-330Zh 式電子戰干擾泡，GPS 掉線。EKF 交接到 VIO，沒有模式切換，持續追蹤至約 0.9% 漂移，而航位推算 IMU 基準爆到 30.95% 漂移與 75.92 m 最終誤差。準確度是真的，但那不是重點。重點是當準確度不再可能時會發生什麼。
GPS 拒止無人機自主
Lodestar 是一套用於 GPS 拒止飛行的導航完整性引擎。它在干擾泡中持續追蹤，漂移約 0.9%，當場景真正變得不可觀測時會切換為 RED 並返航，而不是帶著自信卻錯誤的定位解飛向牆壁。信任在估測器之外計算，因此無論底層 VIO 變得多好，它都站得住。
0.92%
在 GPS 拒止航段上維持的位置漂移（我們的）
固定種子的合成任務；航位推算達到 30.95%
於 52.5 s 進入 RED
隧道變得不可觀測時返航
同一任務，LiDAR 融合關閉
100% / 0.1%
已標記的不可觀測隧道／健康航段上的誤報
棄權檢查，本次運行
以下全部是一條 245.3 m 路徑上、固定種子的合成任務，可離線重現。不涉及真實無人機、飛行紀錄或電子戰發射器。
電子戰已讓 GPS 在自主無人機如今最關鍵的地方變得不可靠：爭奪中的空域、礦坑、隧道、都市峽谷。反射性的作法是加裝視覺慣性里程計（VIO）然後祈禱。但 VIO 有兩種失效方式，而大家常談的漂移只是其中一種。
第一種失效是 VIO 會漂移，GPS 拒止越久，誤差就累積越多。那是可管理的。第二種更糟：VIO 靜默失效。它鎖定移動物體或空場景，回報一個清晰、自信、卻根本錯誤的位置。對國防、採礦或 Blue UAS 買家來說，自信卻錯誤的位置比誠實的「我不知道」更危險，因為飛機會帶著十足確信依此行動，精準飛向它並不在的地方。
打造此示範時，我們把第二種失效當成真正的問題。把估測器做得更準解決不了它，因為「這個位置可信嗎？」與「這個位置是哪裡？」是不同的問題。你不能用產出第二個答案的同一套機制來回答第一個，就像你不會讓證人自行認證自己的證詞。因此 Lodestar 的持久價值不是更好的估測器。而是坐在估測器之外、願意說出不體面那句話的完整性監測器：這個位置不可信，返航。
整條管線都是真實、確定性、固定種子的程式碼。合成任務獨立於每個估測器產生真實值；緊耦合 VIO EKF 產出位置；獨立的導航完整性監測器判定該位置是否可信；基準測試加上飛行完整性報告，對照真實值為整次運行評分。
同一個緊耦合 VIO EKF 在三種真正不同的設定下運行，不是稻草人。航位推算 IMU 不使用視覺。原版 VIO 關閉語意遮罩。完整性感知 VIO（我們的）開啟語意遮罩，因此會拒絕屬於移動物體的視覺特徵，而不是去追蹤它們。當 GPS 在 t=18 s 被拒止時，EKF 從 GPS 交接到視覺，沒有操作員可見的模式切換，並保持位置連續。
導航完整性監測器刻意是獨立程式碼。它把三個訊號融合成一個帶硬閾值的完整性狀態：
RED 持續 0.5 秒會鎖住失效保護並下令返航。監測器也會隨信任變化重新權衡 GPS 與 VIO 的比重。因為它活在估測器之外，其判定不取決於被信任的那個東西。
一鍵將稽核收據匯出為 JSON 與可列印 HTML：計分板、標題指標、棄權正確性、失效保護時間、事件時間軸，以及樁件與延後項目的明確範圍揭露。它完全離線、以固定種子確定性運行，因此整個結果可重現。唯一可選的 LLM 是「草稿敘事」按鈕，它從結構化報告撰寫技術審查敘事，且完全位於飛行迴路之外；確定性完整性閘門做決定，模型只提供建議。
示範是一次連續的固定種子任務。以下是依序的四個節拍，在 LiDAR 融合關閉下記錄，也就是失效保護觸發的標題運行。
無人機進入模擬的 R-330Zh 式電子戰干擾泡，GPS 掉線。EKF 交接到 VIO，沒有模式切換，持續追蹤至約 0.9% 漂移，而航位推算 IMU 基準爆到 30.95% 漂移與 75.92 m 最終誤差。準確度是真的，但那不是重點。重點是當準確度不再可能時會發生什麼。
由報告產生器在種子 20260619、245.3 m 路徑上產出，完全可離線重現。標題運行是 LiDAR 融合關閉，RED 失效保護會觸發。
| 方法（LiDAR 關閉） | ATE | 最終誤差 | 漂移 |
|---|---|---|---|
| 航位推算 IMU | 25.37 m | 75.92 m | 30.95% |
| 原版 VIO（遮罩關閉） | 32.95 m | 70.61 m | 28.79% |
| 完整性感知 VIO（我們的） | 0.90 m | 2.26 m | 0.92% |
同一次運行中，GPS 拒止飛行有 56.3% 維持 GREEN 完整性，監測器 100% 標記真正不可觀測的隧道，在健康的 GPS 拒止航段上僅誤報 0.1%。返航失效保護於 t=52.5 s 觸發。模擬 LiDAR 融合開啟時，隧道變得可觀測，漂移降到 0.01%，GREEN 涵蓋率升至 78.9%，且沒有失效保護觸發，這是正確行為，不是漏掉一次。
本次運行量測的吞吐量為 16,000 次 EKF 傳播更新（80 s 以 200 Hz）。NVIDIA Jetson Orin NX 16 GB 上 30 至 45 FPS 的數字是目標硬體規格，並非此處量測，報告也如此標示。
誠實就是產品，因此範圍是明確的。這是機制的示範，不是已部署的管線。
當 GPS 在干擾泡內掉線，Lodestar 交接到緊耦合視覺慣性里程計（VIO）EKF，融合相機地標與 200 Hz IMU 資料持續估測位置。在我們固定種子的合成任務上，漂移維持在飛行路徑的約 0.9%，而航位推算 IMU 基準爆到約 31%。估測器只是故事的一半：獨立的完整性監測器時刻判定位置究竟是否可信。
略為漂移的位置會優雅地劣化，操作員可以據此規劃；自信卻錯誤的位置則把飛機精準送向它自以為所在、其實並非所在的地方。VIO 在鎖定移動物體或空場景、並回報一個清晰卻根本為假的定位解時，就會這樣失效。Lodestar 的答案是誠實棄權：當沒有任何位置可信時，它說出來並返航，而不是帶著自信卻錯誤的定位解飛向牆壁。
在我們任務的黑暗隧道航段，可用視覺特徵崩到接近零，因此沒有估測器能製造出可信位置。導航完整性監測器切換為 RED，RED 持續 0.5 秒後鎖住失效保護並下令返航，本次運行於 t=52.5 s。切換開啟可選的模擬 LiDAR 融合，同一航段再次變得可觀測，因此監測器正確地維持，沒有失效保護觸發。
這是模擬。一切都是合成、固定種子的任務，真實值獨立於每個估測器產生，因此運行可逐位元組重現；沒有真實無人機、飛行紀錄或電子戰發射器，R-330Zh 僅作為具名情境。真實的是程式碼：可運作的 VIO EKF、完整性監測器與基準測試全部離線確定性運行。持久主張是結構，亦即信任在估測器之外計算、以及 RED 觸發返航，而不是一次任務的確切公尺數。
原版 VIO 估測位置，但沒有獨立的判定者來判斷該位置是否可信，而且它可能鎖定動態特徵。在同一次固定種子運行中，關閉語意遮罩的原版 VIO 鎖住移動車隊並飛離至約 29% 漂移，即經典的追蹤卡車、以為無人機還停著的案例。Lodestar 加上拒絕移動特徵的語意遮罩，以及活在估測器之外的完整性監測器，因此信任不取決於被信任的那個東西。
此示範以 FastAPI 服務搭配 NumPy EKF 與完整性監測器，在筆電上離線、確定性運行。NVIDIA Jetson Orin NX 16 GB 上 30 至 45 FPS 的數字是目標硬體規格，不是量測結果，飛行完整性報告也如此陳述。機載部署、真實影像前端，以及飛控／MAVLink 橋接均已延後，並未在此版本建置。
Blue UAS 是美國國防創新小組（U.S. Defense Innovation Unit）已核准的、符合 NDAA 的無人機清單，而 SBIR／AFWERX 資助的正是這類 GPS 拒止自主工作；我們將它們作為市場脈絡引用，而非隸屬關係。Veriprajna 並未聲稱列於任何清單或受任何合約約束。此示範為那類審查提供的，是一鍵飛行完整性報告，並明確揭露哪些是樁件、哪些已延後。
示範證明的是機制。更難的工作是把它適配到你的平台、你的感測器，以及你的任務。
如果你的團隊正在與 GPS 拒止導航搏鬥，以及自主堆疊何時該拒絕信任自己的位置，我們真心想聽聽你是怎麼思考這件事的。這個問題遍及整個產業，答案也將如此。