不部署，也能评估它。
这个运行时的产出不只是一条更安全的轨迹，而是一份记录：哪些动作曾经可用、哪些被拒绝、依据的是什么证据 —— 由运行本身生成，而不是事后补写。
影子模式
地板即使处于关闭状态也会记录自己的判定。针对一段已记录的任务以停用状态运行它，它会产出一条反事实轨迹：它本会拒绝的每一个动作，连同它本会引用的证据 —— 而实际发生的一切不受任何影响。
这就是诚实的第一步。它在作战上零成本，不可能影响任何结果，而且回答了信任一个安全层之前唯一重要的问题：它会对我的任务做什么？
两个数字会立刻浮现，也正是一个项目办公室该索取的两个：它本会拒绝、但机组照做且任务无恙的次数（错误限制），以及它本会拒绝、且其后确实发生了不良结果的次数（正当限制）。
安全论证证物
自主系统的保证通常是一份「关于」系统写成的文档。这里是一份由系统本身在运行中产出的记录，并具备使其可回放的同一种确定性。
- 逐决策。不是汇总。每一个被准入和被拒绝的动作，都记录在它被决定的那一刻。
- 与证据相连。每次拒绝都携带对应规则以及挣得它的那些事件 —— 在实测案例中，30 条规则展开为 203 张相连的证据瓦片。
- 可回放。确定性进，确定性出。同一段记录产生同样的判定，这正是评估方能够核查而不必听信你的前提。
- 反事实。即使地板处于惰性状态也会保留，因此在它获得任何权限之前，你可以想评估多久就评估多久。
在驾驶案例中的样子
在 CARLA 演示中，一个敌对控制器径直驶向碰撞。地板接管车辆，保持约 9.7 m 间距，并在 38–40 km/h 下行驶 100–490 m 的过程中记录了约 400 次拒绝。碰撞次数：0。关闭地板后，同一个控制器会撞车 —— 而日志依然记录了地板在此过程中本会拒绝什么。