P3: consolidate native runtime and exact-output foundations

.github/workflows/release.yml

@@ -61,15 +61,21 @@ jobs:
           wheels=("$RUNNER_TEMP"/wheelhouse/pops-*.whl)
           test "${#wheels[@]}" -eq 1
           evidence="$RUNNER_TEMP/pops-final-evidence.json"
+          public_api_evidence="$RUNNER_TEMP/pops-final-evidence-public-api.json"
           python scripts/run_final_gate.py --wheel "${wheels[0]}" --evidence "$evidence"
+          python scripts/prove_public_api_parity.py \
+            --wheel "${wheels[0]}" \
+            --installed \
+            --evidence "$public_api_evidence"
           python - <<'PY'
           from pops.runtime_environment import runtime_environment_report
           report = runtime_environment_report()
           assert report["kokkos_backend"] == "Serial", report
           assert report["mpi_compiled"] is False, report
           PY
           python scripts/release_preflight.py \
-            --release --tag "$GITHUB_REF_NAME" --installed --evidence "$evidence"
+            --release --tag "$GITHUB_REF_NAME" --installed --evidence "$evidence" \
+            --public-api-evidence "$public_api_evidence"
 
       - name: Retain authenticated release evidence
         uses: actions/upload-artifact@v7

CHANGELOG.md

@@ -18,11 +18,36 @@ Format: [Keep a Changelog](https://keepachangelog.com/en/1.1.0/); versioning
 
 ### Changed
 
+- `Program.cadence(substeps=..., stride=...)` now authors the native global cadence as immutable,
+  identity-bearing Program data and installs it before the Uniform or AMR runtime freezes.
+- `AsyncScientificOutput` now accepts fields, diagnostics, or both on one exact schedule. Diagnostic
+  reductions, including the five-term `Balance` ledger, are captured transactionally before the
+  accepted snapshot is detached; the asynchronous worker receives only immutable arrays and
+  scalars. Sparse Balance cadences elide off-cadence reductions, publish an exact zero ledger for
+  held Program strides, and replay accepted state without reopening the native mailbox.
+- ParaView output now has one collection-authoring keyword: `collection`. The deprecated
+  `ParaView(series=...)` compatibility route is deleted instead of being retained beside the
+  canonical PVD collection contract.
+- Release codesign now preserves an existing valid ad-hoc signature and refuses publication when
+  post-install signing changes the retained wheel's native bytes, so the published wheel and the
+  runtime exercised by conformance and final examples are byte-identical.
 - Strict AMR checkpoint payload v7 now persists the accepted shared-interface flux audit together
   with Program clocks, histories, tagging state, conservative ledger and synchronization report.
   Restart validates every fragment's topology epoch, level pair, exact clock window, resolved
   rational stage weight, geometry and duration before publishing the image; rejected restart or
   Program attempts leave the previous accepted report byte-exact.
+- The final release gate now proves an external source component against the exact installed wheel:
+  its isolated AOT lane clears the checkout-owned `POPS_INCLUDE`, requires the wheel-owned signed
+  header tree and native Kokkos extension, compiles/installs/loads the component, and retains one
+  exact no-skip/no-xfail JUnit result whose node ID and command are reauthenticated by preflight.
+- External AMR `Reflux` components now use the normalized public provider route from
+  `AMR(..., reflux=...)` through resolve, compiled provenance and transactional native
+  installation; the builtin flux-register kernel follows the same reported contract.
+- Generated physical-flux bricks now make their qualified provider requirements executable native
+  ABI evidence: the binder validates every row at compile time and reads only its declared storage
+  slots instead of scanning the model's complete auxiliary width. Physical laws consume that exact
+  pack directly through compile-time provider reads; `PhysicalFluxView` no longer reconstructs a
+  process-wide `Aux` value.
 - AMR checkpoint capability reports now distinguish same-rank bit-identical replay from
   non-bit-identical rank-count rematerialization with Dense persisted histories. The explicit
   `RegridOnRestart()` policy now restores and authenticates the recorded accepted state before one
@@ -116,6 +141,8 @@ Format: [Keep a Changelog](https://keepachangelog.com/en/1.1.0/); versioning
   native ABI, and checkpoint envelopes independently in one generated Python/C++ release contract;
   declares the exact source/wheel matrix; and adds a fail-closed release preflight requiring exact
   tag, installed native identity, clean tree, generated products, and authenticated final-gate evidence.
+  The retained wheel filename and its internal `WHEEL` record must also identify exactly the promised
+  native macOS/arm64/cp312 lane; Python/ABI, platform, purelib, build-tag, or metadata drift is refused.
 - ADC-633 Compiled condensed-implicit time Program (std.condensed_schur, theta=1) on the AMR hierarchy: the condensed operators run per level through AmrProgramContext::grid_context / assembly_target / assembly_source (matrix-free coefficiented apply, reconstruct, energy), so a flat hierarchy is bit-identical to the uniform Program (the emitted matrix-free BiCGStab runs on level 0 through ctx.solve_linear_matfree) and a refined hierarchy solves the tensor elliptic by the composite FAC (CompositeFacPoisson in amr_condensed_elliptic.hpp), matching the native source-stage route; the vestigial AMR deferral stubs are removed and the Spec 6 sec.20 clean_schur_program.amr.mono cell flips to green.
 - ADC-640 One spatial-reconstruction dispatch generator (include/pops/runtime/builders/scheme_dispatch.hpp): dispatch_limiter binds a typed LimiterRouteId to its compile-time reconstruction policy behind an X-macro plus a count-lock static_assert, so the 17 hand-written limiter ladders across the System, polar, AMR multi-block, AMR compiled and external-brick builders collapse to one dispatch_limiter call each. A forgotten limiter is now a build error (the -Werror-free tree could only warn on a missing switch arm). Same template instantiations, bit-identical.
 - ADC-637 condensed_schur gained a generic lowering route: the electrostatic-Lorentz linearization J = [[0, B_z], [-B_z, 0]] is authored in the DSL (pops.lib.physics.author_electrostatic_lorentz, an m.local_linear_map on the momentum subset) and the macro (route="generic") lowers the condensed tensor coefficient A = I + c*rho*(I - theta*dt*J)^-1, the fused RHS and the velocity reconstruction through the closed-form block_inverse codegen, with no coupling/schur vocabulary. Bit-identical to the retiring hand-written Schur brick over a multi-step trajectory at theta == 1 and theta == 0.5 (golden, np.array_equal): the coefficient tensor reuses block_inverse<2> (== LorentzEliminator's binv entries) and the flux/reconstruct vector applies reuse a new factored block_apply_inverse intrinsic reproducing apply_Binv's operation order. The brick route stays the default until it is retired.

docs/ARCHITECTURE.md

@@ -799,6 +799,13 @@ model-qualified `FaceTrace` values plus `FaceContext` and returns a typed densit
 `SpatialOperator` alone applies face and cell measures. Provider packs are selected from exact
 `(owner, space kind, space name, component)` identities. Missing, unavailable or contract-mismatched
 providers fail during selection; homonymous components from different owners never alias.
+Generated physical models carry those qualified rows as `flux_provider_requirements`. The native
+binder validates their count, qualification, availability, unique in-range storage slots and then
+loads only those declared slots into the model-qualified device pack. The physical law reads that
+pack directly through the bounded `flux_provider<Component>()` protocol: `PhysicalFluxView` never
+reconstructs the global `Aux` source/implicit carrier. Hand-written C++ fixtures that do not declare
+the generated ABI may populate a full-width test pack, but they execute through the same direct
+physical-flux protocol.
 
 ## Limitations
 

docs/VERSIONING.md

@@ -86,5 +86,9 @@ before the official build begins.
    `## [x.y.z] - YYYY-MM-DD` section.
 3. Run `python scripts/generate_release_contract.py --check` and the release preflight; a missing
    build/codesign/example/conformance evidence record blocks tagging.
+   The Darwin gate first preserves an already-valid ad-hoc signature and requires the post-codesign
+   native digest to remain byte-identical to the retained wheel member. A repair confined to the
+   installed copy therefore blocks publication: the wheel users receive must itself contain the
+   exact signed runtime exercised by conformance and the final examples.
 4. Merge, then `git tag vx.y.z` on master and `git push --tags`. The `release.yml` workflow
    turns the tag into a GitHub Release built from that CHANGELOG section.

docs/design/SPECIFICATION_TECHNIQUE_FINALE_POPS_ARCHITECTURE.md

@@ -606,22 +606,24 @@ Les builtins de `pops.lib.amr` et les composants externes implémentent le même
 provider. Un composant externe est sélectionné sans callback Python :
 
 ```python
-from pops.amr import ClusteringProvider, TaggerProvider
+from pops.amr import ClusteringProvider, RefluxProvider, TaggerProvider
 
 layout = AMR(
     ...,
     tagger=TaggerProvider(component=my_tagger),
     clustering=ClusteringProvider(component=my_clustering),
+    reflux=RefluxProvider(component=my_reflux),
 )
 resolved = pops.resolve(
     pops.validate(case),
     layout=layout,
-    components=(my_tagger, my_clustering),
+    components=(my_tagger, my_clustering, my_reflux),
 )
 ```
 
-Les deux valeurs doivent référencer un exact `pops.external.ExternalComponent` portant
-respectivement l'interface générée `Tagger` ou `Clustering`. Le même objet exact doit être fourni à
+Les trois valeurs doivent référencer un exact `pops.external.ExternalComponent` portant
+respectivement l'interface générée `Tagger`, `Clustering` ou `Reflux`. Le même objet exact doit
+être fourni à
 `resolve(components=...)`; son identité de manifest, son interface et sa version traversent
 `resolve -> compile -> bind`. Le manifest doit déclarer une classification déterministe `bitwise` ou
 `reproducible`, car chaque rang doit produire la même hiérarchie. Un `Tagger` déclare en plus une
@@ -705,9 +707,13 @@ doivent couvrir exactement la hiérarchie.
 
 Le provider natif livré matérialise le coeur maillage/stockage en 2D et ses kernels de transfert,
 correction conservative et sous-cyclage AMR exigent un ratio de transition égal à 2. La correction
-coarse/fine reste l'unique ledger de flux détenu par PoPS : aucune interface externe `Reflux`
-n'existe, car déléguer ce dépôt créerait une seconde autorité conservative. Une autre dimension ou un autre
-ratio est refusé pendant la résolution ou le bind avec les capacités observées. Le coeur de
+coarse/fine reste l'unique ledger de flux détenu par PoPS. L'interface native `Reflux` ne peut
+déléguer qu'un kernel local et non collectif : PoPS lui fournit les flux coarse/fine déjà intégrés
+dans le temps et ramenés sur la même face coarse ; le kernel écrit la correction locale
+`side * (fine - coarse) / dx`. PoPS conserve exclusivement la topologie d'interface, le ledger, la
+réduction MPI, la transaction et l'application à l'état. Un provider `Reflux` ne devient donc jamais
+une seconde autorité conservative. Une autre dimension ou un autre ratio est refusé pendant la
+résolution ou le bind avec les capacités observées. Le coeur de
 planification ne normalise jamais la demande vers ce sous-ensemble. Défensivement,
 `AmrProgramContext` revalide aussi chaque transition à sa construction et refuse un ratio différent
 de 2 avant le premier pas : cette limite appartient au provider natif reflux/average-down installé,
@@ -1405,14 +1411,30 @@ paramètres, interfaces, requirements, capabilities, effets, layouts, clocks, d
 restart et points d'entrée.
 
 Le même catalogue génère les IDs et tables C/POD versionnées des interfaces natives (flux numérique,
-ghost boundary, closure de champ, tagging, clustering, transfert, solveur de champ, writer et
-topologie de champ). Le reflux conservatif reste une autorité interne pilotée par le flux ledger ;
-aucune table externe `Reflux` n'est annoncée. Chaque famille possède sa propre version d'interface, indépendante de la version
+ghost boundary, closure de champ, tagging, clustering, transfert, kernel local de reflux, solveur de
+champ, writer et topologie de champ). Le reflux conservatif complet reste une autorité interne
+pilotée par le flux ledger ; la table externe `Reflux` ne couvre que la transformation locale,
+non collective, de flux intégrés en correction non appliquée. Chaque famille possède sa propre version d'interface, indépendante de la version
 du protocole enveloppe. Le loader authentifie identité sémantique, manifest, digest du catalogue,
 taille/header de table et opérations requises avant de conserver le handle de bibliothèque. Les tables
 sont résolues une fois à l'installation ; aucun `dlsym`, nom de classe ou dispatch Python n'entre dans
 une boucle de cellules.
 
+Le contrat `Reflux` v1 possède maintenant un adaptateur préparé interne vers
+`PreparedAmrProgramRefluxTransition`. Pour chaque patch enfant local, l'adaptateur reçoit quatre
+paires de flux déjà intégrés et écrit quatre corrections dans des buffers persistants empoisonnés
+avant l'appel. PoPS vérifie que chaque valeur a été écrite et reste finie, atteint un consensus
+d'échec entre rangs, puis applique seul périodicité, masque de couverture, réduction MPI et
+publication transactionnelle. La présence et le contrat exact du provider sont également comparés
+entre rangs avant toute exécution.
+
+La sélection `AMR(..., reflux=RefluxProvider(component))` traverse désormais la même résolution
+normalisée, identité de provider, artifact et transaction d'installation que `Tagger` et
+`Clustering`. Sans sélection explicite, `FluxRegisterReflux` décrit le kernel builtin par le même
+protocole et apparaît dans le même rapport de providers. La qualification initiale de l'adaptateur
+reste limitée à la cible 2D, `float64`, CPU avec stockage hôte. Le chemin n'est pas encore prouvé par
+exécution MPI avec un composant externe, mesure de conservation ni backend GPU.
+
 Les champs sémantiques inconnus, capacités sans preuve, collisions d'identité et entry points manquants
 sont refusés. Un vieux manifest n'est pas « réparé » silencieusement.
 
@@ -1491,10 +1513,13 @@ scientifiques choisissent obligatoirement un `ParallelMode` typé :
 d'un unique writer rang 0, `COLLECTIVE` pour les hyperslabs HDF5 MPIO exacts, ou `PER_RANK` pour des
 artefacts locaux qualifiés par rang et un reçu agrégé. Le mode, le format, la sélection, la cible et
 l'identité de chaque pièce native (`global_box_index`, `owner_rank`, `replicated`) sont authentifiés
-entre rangs avant toute écriture. La route `COLLECTIVE` appelle le backend C++ HDF5 parallèle sur
-`MPI_COMM_WORLD`; `h5py` reste uniquement un lecteur/écrivain série optionnel et n'est jamais un
-transport MPI. Une dépendance HDF5 parallèle native absente, un mode incompatible ou un backend
-Kokkos GPU/device handle non supporté est refusé avant le
+entre rangs avant toute écriture. La capture native `ROOT` reçoit uniquement une lane consommateur
+dupliquée pour le run et la libère collectivement à sa fermeture ; les façades
+`System`/`AmrSystem` n'acceptent plus le singleton monde pour cette route. La route `COLLECTIVE`
+appelle le backend C++ HDF5 parallèle avec la lane MPI dupliquée possédée par la session observateur ;
+le writer ne redécouvre ni n'emprunte `MPI_COMM_WORLD`. `h5py` reste uniquement un
+lecteur/écrivain série optionnel et n'est jamais un transport MPI. Une dépendance HDF5 parallèle
+native absente, un mode incompatible ou un backend Kokkos GPU/device handle non supporté est refusé avant le
 constructeur de `System`/`AmrSystem`; aucune route série implicite ne remplace une demande MPI.
 
 Les maillages non structurés, mobiles/déformables ou changeant de topologie, de nouvelles familles de
@@ -1536,6 +1561,24 @@ dans `examples/final/`. Chaque script doit :
 
 ## 14. Gate de conformance finale
 
+Le job de release exécute d'abord
+`scripts/run_final_gate.py --wheel <wheel> --evidence <chemin-hors-checkout>`. Ce gate installe
+l'artefact exact avant que
+`scripts/prove_public_api_parity.py --wheel <wheel> --installed --evidence <autre-chemin-hors-checkout>`
+ne résolve la distribution installée avec `importlib.metadata`, sans importer `pops` dans le
+processus du gate. Le chemin résolu doit être extérieur au checkout. La preuve compare octet par
+octet tous les fichiers Python et de typage (`*.py`, `*.pyi`, `py.typed`) du checkout, du wheel
+retenu et du package installé, puis importe séparément les trois arbres dans des interpréteurs
+isolés. Les trois snapshots doivent exposer la même racine publique, les mêmes signatures et
+annotations, un `Case` explicite, des handles qualifiés distincts et
+authoring/validation/inspection sans chargement de `_pops`. Un ancien nom public, un fichier de
+typage absent, un chemin provenant du checkout ou une divergence source/wheel/installé bloque la
+publication. La preuve authentifie aussi le `Name`, la `Version` et le digest du `METADATA` de la
+distribution installée contre ceux du wheel. Enfin `release_preflight.py` reçoit cette evidence via
+`--public-api-evidence` et vérifie son producteur, le SHA-256 du wheel et le chemin du package contre
+le même runtime installé que l'evidence finale ; une evidence de parité issue d'un autre wheel ou
+d'une autre installation ne peut donc pas être réutilisée.
+
 Une release ne peut être déclarée conforme que par
 `scripts/run_final_gate.py --evidence <chemin-hors-checkout>`. La commande exige un checkout propre,
 refuse d'écraser une evidence existante et produit une evidence JSON liée au commit, à la version du