一部为每一次
操作签名的手机。

基于 AOSP 15 构建。Play Store 沙盒、旁加载的 APK、你的即时通讯、银行、办公工具和游戏，运行方式与原生 Android 完全一致——符合 Treble 的 CTS 与 LyDos CTS 测试套件在每个版本上均通过。

GMS 作为无特权的用户应用运行，而非系统组件。可按配置文件逐项开启或关闭。依赖它的应用保持可选启用；不依赖它的应用，永远看不到它。

网络、存储范围、传感器、联系人、定位、剪贴板——可按应用、按会话切换。默认一律拒绝。保存配置文件（工作 · 出行 · 媒体），一键切换。

基于文件的加密密钥由安全芯片封装，而不仅靠你的密码。丢了芯片——就丢了数据。无法离线暴力破解，密钥也无法转移到另一部手机。

主密钥封存在安全元件中，使用 ML-DSA-87 签名。私有字节绝不离开芯片；用户空间只能看到指纹。kslctl 提供计数器和轮换任务。

实时监视 247 个内核 + 系统调用钩子。状态机：NORMAL → DEGRADED → SAFE → CRITICAL LOCKDOWN。在 LOCKDOWN 状态下，每一次主权写入在抵达引擎之前都会被短路为 LsiaVetoed。

每个 OTA 都携带由 Release + Security + Ops + Compliance 负责人签名的清单。M-of-N 法定人数、角色覆盖、二进制 SHA-256 双重校验（控制器 + 代理）。拒绝即 fail-closed——没有 --skip-checks。

每一个重要决策（签名、权限、策略、更新）都会追加到一次性写入分区上的哈希链日志中。一旦篡改任何条目，链条会在下次启动认证时明显断裂。

Default Settlement Layer 是应用唯一能够签名的通道。审计发送必须先成功，KSL 才会签名；若审计失败，签名便永远不会发生。不存在无留痕的结算路径。

跨节点一致性（GCE）与保护隐私的模式联邦（GCI）。只有哈希化信号和 /24 IP 前缀会离开设备。原始负载、邮箱、用户 id——绝不外传。

紧急呼叫和 SOS 在无 SIM、任意运营商、甚至关闭蜂窝调制解调器时也能工作——通过卫星或网状网络。AFAD/EU-Alert/WEA 小区广播在抵达锁屏之前先经签名验证。

Cospas-Sarsat 遇险求救、Iridium 短突发、Starlink Direct-to-Cell、3GPP NTN、LoRa 多跳、Wi-Fi Aware、Bluetooth 网状、ultra-wideband。SOS 通过其中最健康的一条路由——自动故障转移，无需选单。

Disruption-Tolerant Networking 传输在设备上排队消息，并在蜂窝网络消失时通过邻近的 LyDos 手机进行复制。带宽经调度，跨重启持久保存。

Boot-completed 的 ResilienceService 在启动器之前就先就绪——网状遥测永不熄灭。紧急组合键（音量减 ×3 + 电源 3 秒）会擦除设备，但仅在擦除经过审计之后。

Android Verified Boot + LyDos 可信更新 + 设备端认证。每一层为下一层签名。若任一签名在启动时断裂，手机会自动进入 SAFE 模式，并由链条说明原因。

银行和办公套件会获得一份远程认证，证明这是一部真实、未被篡改、具有已知启动链的 LyDos Phone——而无需得知你的 DID、你的应用或你的位置。是应用身份，不是用户身份。

DID 由 KSL 主指纹确定性派生——没有中心化签发者。Halo2 证明器在设备端运行；见证数据绝不越过绑定器边界。证明一个事实，不透露其他任何信息。

关键应用的通知通过设备端签名的推送通道传递。无需依赖 Google Cloud Messaging——即使没有 GMS，你的即时通讯也照常送达，而伪造的通知会在通道处被拒绝。

factory-img-builder + release-pack-signer 生成确定性的工厂镜像。SHA-256 随构建一同发布；自己编译源码、对结果做哈希、再比对。如果数字对不上——拉响警报。

单条命令即可转储全部 13 个引擎的实时状态：KSL 计数器、LSIA 模式、TUP 上次验证的发布、ASR 链头、GCE 漂移、网状对等节点。只读、签名的输出，可直接粘贴进 bug 报告。

ota-delta 让卫星链路上的更新带宽极小。负责人密钥通过有文档记录的 Faraday 屏蔽笼仪式轮换——气隙隔离、ed25519 + Dilithium3 混合、强制 mode 0400。