发现与证据映射
报告的结论部分需要回答一个具体问题：每条发现分别由哪些证据支撑、支持强度如何。把发现编号、证据编号、来源与支持强度列成矩阵，读者可以逐行核对，矩阵同时也能暴露只靠单一来源支撑的薄弱结论。
基本信息
| 行 | 发现编号，按 F1、F2 依次编排 |
|---|---|
| 列 | 证据编号、来源、支持强度 |
| 强度分档 | 强为多来源交叉，中为单来源直接证据，弱为推断或间接 |
| 关联方式 | 证据编号与附录证据清单保持一致 |
| 展示位置 | 结论章节或报告附录 |
| 用途 | 交付前反查结论中的薄弱环节 |
典型使用场景
- 交付前自检每条结论是否有证据支撑
- 让复核者快速定位每条发现的依据
- 识别只靠单一来源支撑的结论并及时补证
- 与时间线章节互相引用形成闭环
- 便于委托方逐条确认关注点
最小示例
最小示例
# 映射矩阵示例（写入报告结论章节）
# 发现 | 证据 | 来源 | 支持强度
# F1 | E01,E03 | 认证日志 03:22 行；边界设备会话记录 | 强
# F2 | E07 | 文件系统 mtime | 中（缺交叉来源）
# F3 | E02 | 内存进程列表 | 中
# 自检：找出证据列为空的行
awk -F'|' 'NF>1 && $3 ~ /^ *$/ {print NR}' mapping.md列与要求
| 列 | 含义 | 要求 |
|---|---|---|
| 发现编号 | 结论条目的标识 | 与正文编号完全一致 |
| 证据编号 | 支撑该发现的证据 | 可回指到附录证据清单 |
| 来源 | 证据的物理出处 | 写到文件与具体行为层级 |
| 支持强度 | 强、中、弱 | 必须写明判定理由 |
| 交叉来源数 | 独立支撑来源的数量 | 只有一项时应标注风险 |
同一份证据可以支撑多条发现，矩阵中重复引用是正常现象，不必强行做成一一对应。
报告正文与映射矩阵要同批修订；任一侧更新后另一侧不动，就会出现编号对不上的情况。
只有单来源支撑的发现应标注为中等强度，并在正文中说明缺失的交叉验证类型。
把弱证据支撑的结论写成确定表述会误导读者；无法补证时应当调整为可能性或推断的措辞。