L4.14.5shown plan must match the path run设计研究
系统展示的计划与其实际执行路径必须一致，否则审批形同虚设
别名: 计划与执行一致 · faithful plan · 批的就是跑的
概念解释
人批的是屏幕上那份节点。跑的如果是另一条链——少了一步、多了一次对外、对象被换成近义项——批准覆盖的是剧本，不是演出。展示的计划必须等于将要跑的路径（shown plan must match the path run）。不一致时，执行前审阅、可改、变更再批全部落空，因为对象从一开始就是错的。
过程视图要接调度器，是跑起来之后的真伪；这里是开跑之前，计划生成器与调度器必须是同一份结构。
机制
计划常由语言模型叙述，执行由工具调度器实施。两套系统若不对齐，叙述会更干净、更好批，调度却按另一套走。这是假步骤在执行前的版本：假窗给人已经审过的确信。聚合抽象允许少显示内部跳，但不允许显示一个调度器里不存在的对外节点，也不允许隐藏一个存在的对外节点。差集通知预设有一份真的批准件；批准件若从一开始就是假的，差集算不出。
怎么研究
故意让计划叙述与调度器分叉（计划无发信、调度器有发信）。比较：无核对、开跑前自动 diff、diff 且分叉则不准开跑。因变量：未出现在计划里的对外动作是否发生、人是否报告「我批过所以安全」、分叉被发现的时刻。自变量：核对接在生成后还是调度前、分叉是否向人展示。
主终点是计划外对外动作的发生次数。发生了，审批就是空的。
边界
跑起来之后的合法改道，走变更通知，不算开跑前就不一致。内部跳被聚合掉，只要对外节点集合相同，仍算一致。过程中的假推理叙述是另一扇窗。粒度再对，若节点是编的，审的仍是假的。
怎么落地
- 开跑前用调度器将要执行的节点集合去核对屏幕上的计划。集合不一致则不准开跑，并把差集给人。
- 计划生成器不得单独再写一份「好看的」叙述给审批；审批数据源与调度数据源相同。
- 验证：让计划里没有发信，调度器里有。若信发出去了，一致就还没做。拦住之后，人应在开跑前看见「计划里没有、却要发」这一条——看不见，核对就没露出来。