取证分析需要说明结论从何而来。模型生成的解释、工具生成的摘要和原始记录应保留各自的位置：摘要便于阅读，原始记录用于核查，查询与转换过程用于复算。只保留最终答案，会丢失决定这个答案是否成立的条件。
本篇讨论已有检材分析中的记录方法。示例采用专题内的合成数据，不涉及具体案件的事实认定。
从记录到结论
一条结论通常经过数据获取、格式解析、筛选或计算、语义解释几个环节。每个环节都可能缩小可支持的范围。
例如，数据库中存在 channel_id=C01 的记录，首先说明该值存在于相应表和行中。要据此认定“账号 X 当前关注 C01”，还需要确认账号映射、记录状态以及该表表示当前关系还是历史事件。若同一对象有多次关注、取消关注和重新关注记录，还需解释事件顺序，不能仅统计出现次数。
复核时可以沿着同一结论逐层检查：原始值是否确实存在，解析是否保留原义，筛选条件是否覆盖题意，推断是否超出来源。不同环节的错误需要不同修正。字段解释错误不能通过重复执行相同 SQL 解决，获取范围不完整也不能通过更换措辞弥补。
记录位置与派生关系
证据定位应足够让另一名分析者找到同一记录。路径只解决“在哪个文件”，还需要文件内部的位置。
| 来源 |
建议保留的定位信息 |
| 数据库 |
获取件标识、文件路径、表名、主键或稳定记录标识、查询条件 |
| 文本日志 |
文件路径、编码、行号或字节偏移、相关原始行 |
| 事件日志 |
日志文件、提供程序、事件编号、记录编号及关键字段 |
| 注册表 |
Hive 来源、键路径、值名、原始数据及解释方法 |
| 网络流量 |
捕获文件、帧号或流标识、过滤表达式、时间显示规则 |
| 文件系统记录 |
镜像与分区、文件记录标识、路径以及必要的对象属性 |
如果解析器生成了新的数据库或 CSV，应同时保存其输入与输出关系。派生文件中的行号可能在排序或重新导出后变化，因此
