Har fået check‑tilstanden til at vise sandheden

Situation. En prøvekørsel mod produktion er tænkt som den sikre måde at finde ud af, hvad en ændring vil gøre. I september 2026 fejlede en prøvekørsel på en assertion, der ganske enkelt havde et forkert billede af værten, og rådede operatøren til at sætte et flag, der ville have slækket på en sikkerhedssandkasse. Prøvekørslen havde ikke læst værten. Den havde læst en værdi, som værten aldrig havde afgivet, og draget en konklusion ud fra den.

Opgave. Hver probe, hvis resultat indgår i en beslutning, skulle gøres ærlig i check‑tilstand, og de prober, der ikke kunne gøres ærlige, skulle sige det højt i stedet for at tie stille.

Handling. Årsagen er en egenskab ved værktøjet, som er dokumenteret og let at glemme: kommandomodulet kører ikke i check‑tilstand, og den værdi, det registrerer, er ikke et tomt resultat — det er en succes med tomt output. Enhver betingelse, der læser den værdi, træffer derfor sin beslutning ud fra noget, der aldrig blev målt, og den beslutter i den retning, dens egen logik tilfældigvis peger. En gennemgang af alle registrerede prober fandt seks, der hver løj på sin egen måde: én rapporterede, at supervisoren accepterer alle unit‑direktiver, uden at have spurgt supervisoren, en anden rapporterede, at der intet var at gøre, på en vært med firewallen slået fra. Hver af dem fik én af to former. En probe, der læser allerede eksisterende tilstand, som kørslen ikke har rørt, markeres, så den også kører i check‑tilstand. En probe, der ikke kan køre, springes over, og en besked angiver specifikt, hvad der ikke blev verificeret — for tavshed i en kørselslog ser præcis ud som en bestået kørsel.

Resultat. En prøvekørsel måler nu enten noget eller siger, at den ikke gjorde det, og ingen af delene er den tredje mulighed, den tidligere havde. Den generelle regel kom ind i udviklingsvejledningen i samme ændring: check‑tilstand må ikke lyve, og en probe, der ikke kan se, har pligt til at melde sin blindhed i stedet for at udlede en dom af den.