Cada stack de production serving que comprime estado sob carga está gastando qualidade que não consegue contabilizar. Um artigo publicado em 16 de agosto por Fanzhe Wei e Li Liu (arXiv 2608.15810) quantifica a lacuna de contabilização, propõe uma substituição e a valida contra 352.333 chamadas de admissão ao vivo.

O modo de falha é específico. Controladores de admissão certificados existentes orçam risco a nível de requisição usando um union bound sobre uma contagem de eventos pré-declarada. Em requisições longas em produção, o orçamento de union esgota em 100% do tráfego. Cada requisição longa ultrapassa o bound. O sistema auto-degrada precisão em sinais de carga enquanto o ledger de risco declara falência na primeira chamada longa da sessão. Engenheiros sabem que a qualidade está caindo mas não têm forma apropriada de quantificá-la.

A substituição é um ledger anytime-valid: um bound fisicamente contabilizado que vale em cada decisão de admissão, não apenas em expectativa sobre um horizonte pré-contado. Na rodada de confirmação mantida à parte, trocar para o novo ledger reduz à metade a taxa de exact-fallback em risco igualado — 0.30 cai para 0.14. Fallback rate é a fração de requisições que o sistema deve rotear para o caminho exato porque não consegue certificar que o caminho comprimido atende ao alvo de qualidade. Reduzir à metade o fallback significa menos chamadas caras com a mesma tolerância de risco.

Certificação na admissão é um terço do problema. O artigo então precifica a lacuna entre o que a testemunha certificada garante e o que o usuário recebe. Uma lei de design verificada em máquina, TV ≤ tanh(a_q · w_thr), converte o alvo de total-variation servido diretamente em um knob de threshold — um número que um operador consegue ler e configurar. Uma auditoria de três camadas rastreia a margem: o envelope de query operator-norm fica 1.5× longe do tight; uma substituição de ellipsoid medido para a bola de Cauchy-Schwarz recupera 0.89× (sound mantida à parte, significando que aperta o bound em produção); o ponto operacional do gate contribui a maior parte da soltura restante em aproximadamente 700×. A lacuna inteira de 1064× entre bound certificado e comportamento observado agora está localizada e enunciada explicitamente em vez de ser deixada desconhecida.

O terceiro componente aborda extrapolação: um bound certificado em uma requisição que você viu vale pouco sem garantias na próxima. O artigo substitui binary conformal prediction — que emite certificados vacuosos — com extrapolação exchangeable através de 80 serving histories, produzindo order-statistic bounds que discriminam em risco de calibração 0.41 versus 0.51 para o baseline conformal. Todos os kernels probabilísticos são formalmente verificados em Lean 4: 228 teoremas exportados, zero axiomas `sorry`.

Uma decisão arquitetural enterrada no abstract importa: o artigo companion rejeita certificar routing como a alternativa natural. Serving teams perseguindo certified routing para resolver contabilidade de qualidade estão resolvendo o problema errado. O artigo argumenta que admissão é onde a garantia deve viver, não routing.

Para arquitetos gerenciando trade-offs de SLA: se seu stack auto-degrada precisão sob carga e usa um union bound para contabilidade de risco, esse bound está esgotado em cada requisição longa em sua fila. O framework de ledger anytime-valid lhe dá um número que você realmente consegue gastar — uma fallback rate que você consegue trocar contra tolerância de risco, uma lacuna que você consegue ler de uma única lei, e um bound que vale em tráfego não-visto.