产品也要说明证据来自哪里。

单元测试可以说明一个函数遵守了自己的契约，浏览器测试可以说明一段用户流程完成了渲染与交互，但它们并不会自动证明摄像头完成了光学传输、模型已经校准，或物理设备能在未测试环境中保持同样行为。

所以真正有用的问题不只是检查是否通过，而是这项检查究竟观察到了什么。当证据类型与结果放在一起时，结论更容易被正确理解。

我倾向于把软件正确性、合成或回放证据、线上部署证据和物理测量分开。它们可以互相支撑，但不能在没有说明的情况下互相升级。

回放可以验证解码器，却不能证明产生这些帧时的摄像头距离和角度；部署冒烟可以证明路由和响应头，却不能证明产品对所有用户都有效。

明确显示 NOT_VERIFIED 或 PARTIAL 并不是产品的弱点。它告诉下一个人，哪一个实验、复核或数据收集最有可能降低不确定性。

对于跨越软件和硬件边界的系统，这尤其重要。边界本身就是设计的一部分，因为它决定了下一步行动是否合理。

当一个结果很重要时，周围的界面至少应保留解释它所需的上下文：版本、来源、条件、方法、验证状态和已知限制。

这不意味着把所有内部日志都暴露给用户，而是不要在缺少必要来源信息时，把一个结论包装成无需追问的事实。