Windows与macOS安装提示为什么不一样
软件签名、处理器架构与系统隔离机制需要分别核对
先把现场还原出来
同一份安装说明在两种系统上出现不同的来源与权限提示。Windows与macOS使用不同的下载保护、签名验证和首次运行权限。因此，软件签名、处理器架构与系统隔离机制需要分别核对。开始检查前，先保留设备、网络、目标资源和发生时间。
安全提示不应绕过
来源不明、签名异常或文件架构不符时，应停止安装并重新核对，而不是关闭保护继续执行；对于桌面客户端，还要结合开始时的设备与网络判断。
围绕“安全提示不应绕过”保存第1项现场时，应写明系统提示和发生时间，并说明任务最后是否完成。
完成任务才是最终指标
测速、状态灯和节点数量只是辅助信息。文件打开、会议完成和资料同步才是可验证结果；对于桌面客户端，还要结合持续过程中的波动判断。
围绕“完成任务才是最终指标”保存第2项现场时，应写明目标地址与资源类型，并说明任务最后是否完成。
长期趋势需要一致字段
每次都用相同字段记录，才能把分散事件排成时间序列并发现周期变化；对于桌面客户端，还要结合任务完成情况判断。
围绕“长期趋势需要一致字段”保存第3项现场时，应写明网络切换前后的差异，并说明任务最后是否完成。
异常值也要保留
删除不符合预期的样本会让趋势失真。应记录异常发生条件，再判断是否纳入比较；对于桌面客户端，还要结合中断后的恢复表现判断。
围绕“异常值也要保留”保存第4项现场时，应写明文件、会议或页面的最终状态，并说明任务最后是否完成。
不要用观察代替诊断
设备与网络记录只能解释技术现场，不能推导个人健康、行为或医学结论；对于桌面客户端，还要结合开始时的设备与网络判断。
围绕“不要用观察代替诊断”保存第5项现场时，应写明系统提示和发生时间，并说明任务最后是否完成。
把资料来源分层
平台公告、系统文档、现场记录和个人推测具有不同证据强度，整理时不能混在一起；对于桌面客户端，还要结合持续过程中的波动判断。
围绕“把资料来源分层”保存第6项现场时，应写明目标地址与资源类型，并说明任务最后是否完成。
下一步来自现场证据
真正有效的行动应由已经确认的阶段决定，而不是套用固定的万能排查清单；对于桌面客户端，还要结合任务完成情况判断。
围绕“下一步来自现场证据”保存第7项现场时，应写明网络切换前后的差异，并说明任务最后是否完成。
先写清楚任务
文字浏览、实时会议、AI图像和大型文件对线路的要求并不相同。没有任务背景，速度数字很难转化为行动；对于桌面客户端，还要结合中断后的恢复表现判断。
围绕“先写清楚任务”保存第8项现场时，应写明文件、会议或页面的最终状态，并说明任务最后是否完成。
固定一组对照条件
比较前应保留相同设备、相近时间和同一个目标资源。调整线路时保持其他条件稳定，变化才更容易解释；对于桌面客户端，还要结合开始时的设备与网络判断。
围绕“固定一组对照条件”保存第9项现场时，应写明系统提示和发生时间，并说明任务最后是否完成。
保留发生时间
网络状态具有明显时间性。开始时间、持续时间与恢复时间共同描述一次事件，单张截图常常缺少过程；对于桌面客户端，还要结合持续过程中的波动判断。
围绕“保留发生时间”保存第10项现场时，应写明目标地址与资源类型，并说明任务最后是否完成。
区分本地与远端
设备温度、无线干扰和路由器排队发生在本地；国际路径、节点容量与目标服务排队发生在远端；对于桌面客户端，还要结合任务完成情况判断。
围绕“区分本地与远端”保存第11项现场时，应写明网络切换前后的差异，并说明任务最后是否完成。
观察尾部延迟
平均值看起来正常时，少量很慢的请求仍会打断会议和同步。应记录停顿频率与恢复速度；对于桌面客户端，还要结合中断后的恢复表现判断。
围绕“观察尾部延迟”保存第12项现场时，应写明文件、会议或页面的最终状态，并说明任务最后是否完成。
不要忽略设备状态
低电量、后台限制、处理器架构和系统权限会改变客户端表现，不能把所有异常都归因于线路；对于桌面客户端，还要结合开始时的设备与网络判断。
围绕“不要忽略设备状态”保存第13项现场时，应写明系统提示和发生时间，并说明任务最后是否完成。
把提示原文留下
错误码、证书提示、文件名称与系统弹窗包含定位线索。只记录“无法使用”会丢失关键信息；对于桌面客户端，还要结合持续过程中的波动判断。
围绕“把提示原文留下”保存第14项现场时，应写明目标地址与资源类型，并说明任务最后是否完成。
确认目标服务状态
本地连接顺畅时，远端应用仍可能维护、排队或限制请求。反复更换本地设置不一定有帮助；对于桌面客户端，还要结合任务完成情况判断。
围绕“确认目标服务状态”保存第15项现场时，应写明网络切换前后的差异，并说明任务最后是否完成。
记录路径而非猜测位置
节点名称是入口标签，不保证固定物理位置。实际路径还会受到运营商互联和路由策略影响；对于桌面客户端，还要结合中断后的恢复表现判断。
围绕“记录路径而非猜测位置”保存第16项现场时，应写明文件、会议或页面的最终状态，并说明任务最后是否完成。
让样本跨过一个周期
如果异常常在晚间出现，应在相同时段重复观察，而不是只拿白天结果作比较；对于桌面客户端，还要结合开始时的设备与网络判断。
围绕“让样本跨过一个周期”保存第17项现场时，应写明系统提示和发生时间，并说明任务最后是否完成。
把恢复过程算进去
连接中断后能否自动恢复、是否需要重新登录、文件是否支持续传，都会改变实际任务成本；对于桌面客户端，还要结合持续过程中的波动判断。
围绕“把恢复过程算进去”保存第18项现场时，应写明目标地址与资源类型，并说明任务最后是否完成。
分开调整不同设置
如果DNS、节点、浏览器和设备同时变化，即使恢复也难以判断哪项设置真正有效；对于桌面客户端，还要结合任务完成情况判断。
围绕“分开调整不同设置”保存第19项现场时，应写明网络切换前后的差异，并说明任务最后是否完成。
让结论能够继续使用
遇到提示时不应直接关闭全部系统安全功能。完成这次桌面客户端观察后，可以继续查看观测中心、全球节点和使用帮助。记录的价值不在于给出绝对判断，而在于下一次出现相似情况时仍能复查。