这句话听起来像事实，但它其实在挖一个坑：让医院在效率焦虑里主动请求解除围栏或开放回退。只要医院主动开口，供应商就能把后果转嫁给医院：“是你们要求放开。”
林昼看着群消息，没有立刻插话。他先让法务问了一个非常具体的问题：“延迟数据是什么？排队延迟多少秒？是否影响临床核心通信？还是影响某类非关键邮件？请提供监测截图与时间戳。”
原医院信息科负责人回了一张监控截图：队列延迟从平时的1-2秒上升到12-18秒，持续约十分钟后恢复到3-5秒。
十二到十八秒。
这不是灾难，但足够让人紧张。紧张是供应商想要的情绪。紧张会让人接受“例外”。
接收医院信息安全负责人回复得很稳：“我们先按监测评估，不做口头放开。若确需调整，走例外申请链。禁变窗口制度必须优先。”
供应商立刻补：“例外申请链会拖慢响应，导致延迟扩大。”
监管在群里只回了一句：“请供应商提供CN节点延迟劣化的证据与缓解方案。不得以焦虑为由绕过制度。”
这句话让林昼心里松了一点。焦虑不会成为理由。
但他知道，供应商会马上换打法：他们会把轻微延迟说成“重大风险”，把“禁变窗口”说成“影响生命”，逼医院在舆论上被动。
他们最擅长的就是把边界说成障碍。
---
傍晚五点，第三方平台协查联系人突然发来一份“异常事件提示”：冻结启用后，平台检测到两次“高权限变更尝试”，均被拒绝，来源账号为itops_superadmin，尝试动作包括：关闭GeoFence、修改FreezeController。
事件时间分别为：16:22:10与16:23:41。
林昼看到这条提示，背脊立刻发凉。
这不是“例外申请”，这是直接尝试关围栏、夺控制权。
而且发生在“延迟焦虑”出现之后不久。
谁在尝试？供应商内部的高权限账号。
目的是什么？把开关拿回来。
第三方平台的提示附带了审计摘要：
*AttemptAction：GeoFenceOFF（BlockedbyFreeze）
*AttemptAction：ControllerChangetoTenantAdmin（Blocked）
*SourceIP：xxx（已脱敏）
*OperatorRole：SuperAdmin
*Result：Denied
*AlertLevel：High
第三方还写了一句：“此类操作通常仅在租户进行系统级维护时出现，不应在冻结期间发生。平台已按监管协查要求保全相关审计事件与来源信息，可供取证。”
林昼把这份提示转给梁组长与法务，手指有些发紧。他不是惊讶于对方会反扑，而是惊讶于对方动得这么快、这么直接。
他们甚至不愿等医院批准例外申请，而是想用超级管理员去硬撬开锁。
撬锁意味着他们已经把“制度”视为敌人。
制度成了敌人，说明制度触到了他们最想保留的灰区。
梁组长很快回：“监管已要求供应商当场解释。并要求供应商提供itops_superadmin账号的授权范围、使用记录、以及操作人员名单。若无法解释，将纳入严重不配合记录，并可能触发更严肃程序。”
林昼看着这条消息，心里却明白：对方会说“误操作”“测试”“自动脚本”。他们永远有词。
所以关键不在于他们说什么，而在于：**第三方平台把撬锁尝试写进了审计，且保全了来源。**这条记录一旦进入取证审计，它就不再是口径，而是证物。
证物会逼出两件事：
*谁拥有超级权限；
*为什么在冻结期间仍有人敢用超级权限。
如果他们能在冻结期间动手，那“禁变窗口”就不安全。
如果他们不能动手却仍敢尝试，那他们在“试探监管底线”。
无论是哪一种，都意味着接下来冲突会升级。
---
晚上七点，供应商终于给出解释：itops_superadmin的两次操作为“自动化健康检查脚本误触发”，脚本设计用于“校验策略一致性”，在检测到“延迟异常”时会尝试执行“回退恢复动作”，但由于冻结已启用，动作被阻止。供应商称已立即停用脚本并提交整改。
这份解释看似合理，却暴露了更危险的事实：他们确实存在一个脚本，能在检测到延迟异常时自动尝试关闭围栏、夺回控制权——哪怕只是“误触发”，也说明这种行为被写进自动化流程里。自动化流程存在，就说明这不是偶然，这是惯例的一部分。
惯例就是：遇到延迟就开回退，遇到风险就夺控制权。
这恰恰是整改要消灭的东西。