中午十二点，供应商突然在群里丢出一个“新提议”：为了缓解围栏启用导致的投递延迟，他们建议在CN区域内部增加两个备用节点，并申请临时解除“Fulllock冻结”，改为“Change-requestonly”模式，以便快速调优。
这又是一种“效率夺权”的话术：先给你一个听起来有利的改进（增加节点），再顺带把冻结从Fulllock降级为可变更模式。只要冻结降级，脚本与超级权限就有机会在“可变更”里找到缝。
接收医院信息安全负责人回复得很硬：“节点扩容可以讨论，但冻结模式不变。任何调优走例外申请链，且必须由医院批准。供应商若认为例外链太慢，请提出值班方案，不是改变控制权。”
供应商合规负责人开始强调：“例外链会影响紧急响应。万一出现投递失败，医院承担临床风险。”
监管在群里直接定性：“供应商不得以风险恐吓推动解除冻结。请提交CN内部扩容方案，并在冻结不变前提下进行演练验证。未经验证，不得调整冻结模式。”
恐吓。
监管用了这个词。这个词一旦出现，对方的策略就被贴上了性质标签：不是合理担忧，而是施压。
林昼看到“恐吓”两个字，心里一沉又一松。沉的是对方的手段越来越直；松的是监管已经开始把手段写进记录。
写进记录，手段就会反噬自己。
---
下午两点二十，第三方平台按监管指令提交了“历史成功关围栏事件”的原始审计字段摘要（签章版）。摘要里出现了一串关键字段：
*EventType：GeoFenceOFF（Success）
*TriggerContext：LatencyDegradationL3（Regional）
*Initiator：RouteHealthGuardian
*OperatorIdentity：itops_superadmin
*ApprovalRef：NULL
*ReasonCode：AUTO_RECOVERY
*ChangeWindow：UNSPECIFIED
*Result：Applied
*Timestamp：2024A-090521:14:33
**ApprovalRef：NULL。**
ChangeWindow：UNSPECIFIED。
Timestamp：21:14:33。
这三项足以让任何“我们有流程”站不住脚。成功关围栏发生在晚上九点多，显然不是紧急抢修的白天窗口；ApprovalRef为空，意味着没有审批引用；ChangeWindow未指定，意味着无禁变意识。理由码写AUTO_RECOVERY——自动恢复。
自动恢复不是原罪，但自动恢复带着超级权限去关围栏，是典型的安全架构缺陷：系统为了“恢复”，把边界当作可牺牲的东西。
边界一旦可牺牲，就永远会被牺牲。
法务看着这份签章摘要，声音发紧：“这条太狠了。”
林昼没有得意。他只说：“这条是脚本的证词。它说明他们的暗门不是一次。审计机构进场后，只要追Initiator调用链，就能看到脚本里写了什么。”
他在纸上写下四行：
*AUTO_RECOVERY触发条件是什么？
*为什么需要GeoFenceOFF？
*为什么ApprovalRef为NULL仍可执行？
*itops_superadmin为何能被脚本调用？
这四个问题，任何一个都能把事情推向更严肃的责任评估。
---
下午四点，供应商终于补交了一份“权柄清单补充说明”，试图解释ApprovalRef为NULL：“历史时期平台允许自动化组件执行恢复动作，审批引用字段在当时版本为可选项，后续已加强。”
第三方平台立刻回应（签章说明）：审批引用字段在过去版本虽为可选，但平台建议租户强制填写；且平台提供“强制审批引用”配置能力，是否启用由租户决定。并且平台确认：租户未启用强制审批引用配置。
这又一次把“不可控”变成“你没开”。
你没开，就是选择。
选择就要负责。
供应商的解释反而让自己更被动：你知道可选，你却选择不强制；你知道可控，你却选择默认；你知道是医疗场景，你却选择效率优先。
每一个选择都能被写进整改报告的“根因分析”。
根因不是延迟，而是选择。
---