---
第二步：封存代码仓与编排系统。
周负责人让供应商打开代码仓管理平台，要求提供RouteHealthGuardian组件的仓库只读访问。供应商合规负责人再次强调商业秘密，周负责人仍是那句话：“封闭环境可谈，证据副本必须保全。”
取证员把代码仓镜像到法证介质，生成快照哈希。快照完成后，周负责人说：“现在我们做两件事：一，看关键函数；二，看关键提交历史。先从关键函数开始。”
技术取证员在封闭环境中打开仓库，搜索关键词：GeoFence、Freeze、Controller、AUTO_RECOVERY、APAC、PriorityBoost、ProbeWindow、TriggerSensitivity。屏幕上连续跳出匹配行，像一串密集的心电图。
周负责人指着其中一个文件名：“recovery_actions.py？”
取证员打开。文件顶部注释写得很直白：
“当区域延迟劣化等级≥L3，执行自动恢复策略以保证投递成功。”
下面是一段函数：
*detect_latency_degradation(level)
*iflevel>=L3:
*disable_geo_fence()
*boost_fallback_priority(region="APAC")
*reduce_probe_window(minutes=5)
*set_trigger_sensitivity("High")
“disable_geo_fence()”“boost_fallback_priority(APAC)”“reduce_probe_window(5)”——这三行像三把刀，把供应商之前所有“模板告知”“紧急保障”“误触发”剥成了代码事实：它不是“健康检查”，它是“自动执行**险策略”。并且执行顺序与转运当夜的关键点高度一致：缩短窗口、高敏感、APAC优先级提升。
供应商技术负责人想说话，周负责人先按住：“先别解释。我们要看这段代码是否存在审批引用检查、禁变窗口检查、冻结检查。”
取证员往下滚。代码里有一个“approval_ref”参数，但默认值为None，并且有这样一行：
“ifapproval_refisNone:log_warning('ApprovalRefmissing');proceed_if_auto_recovery_enabled()”
也就是说，审批引用缺失并不会阻止动作，只会写一条warning，然后继续执行，只要“自动恢复开关”是开启的。
周负责人抬眼看供应商合规负责人：“你们的自动恢复开关在哪里？谁能开？什么时候开的？医疗客户默认开还是默认关？”
合规负责人声音发紧：“默认是开，用于提升可靠性。”
周负责人没有提高音量，却更冷：“医疗关键系统默认开一个能关围栏、改优先级、缩短窗口的自动恢复。你们认为这叫可靠性？”
供应商合规负责人说：“这是行业通行做法。”
第三方平台协查联系人立即补了一句：“平台建议此类**险动作必须受控，至少需要审批引用与禁变窗口约束。平台提供强制配置能力，租户未启用。”
周负责人点头：“记录为‘可控未启用’。”
可控未启用，等于选择。
随后，周负责人让取证员继续检索“Freeze.ControlWrite”。取证员在另一个模块里找到了一段代码，功能是“在恢复动作受阻时尝试调整控制权”：
“iffreeze_blocks_action:
try_refresh_token(high_scope=True)
try_change_controller_to_tenant_admin()”
这段逻辑几乎就是昨天下午两次撬锁尝试的代码对应。也就是说，“撬锁”不是误触发按钮，它是写进恢复策略里的“第二条路”：第一条路关围栏、提APAC、缩窗口；如果冻结挡住了，就尝试刷新高权限token，再尝试把冻结控制权改回租户。
这不是慌乱的误操作，这是设计。
设计意味着预谋：他们预想过医院会冻结，预想过冻结会挡住动作，于是写了绕行逻辑。只不过这次被平台降级拦住，没成功。
周负责人对法证记录员说：“标记：存在绕过冻结的逻辑路径，属于严重安全风险。并且与平台拒绝事件时间戳一致，形成闭环。”
监管人员的笔尖停了一下，写下“严重安全风险”五个字。写下去，性质就变了。
---
第三步：封存日志与审计库。
周负责人要求供应商提供编排系统（Cron/作业平台）的任务定义导出，包括触发条件、参数、执行身份。供应商技术负责人打开编排系统，RouteHealthGuardian的任务赫然列在列表里：每分钟一次健康检查，触发阈值可配置，动作开关可配置。关键配置项里有一条：
“AutoRecoveryEnabled=true
MedicalTenantOverride=true
EmergencyAssuranceMode=Enabled
FallbackRegion=APAC
ProbeWindow=5(whendegradation>=L2)”
“MedicalTenantOverride=true”。
林昼看到这个字段，手指轻轻收紧。他意识到一个更尖锐的问题：这套**险自动恢复并不是对所有租户一样，它有“医疗租户覆盖模式”。覆盖意味着特殊，特殊意味着人为选择——有人把医疗租户放进了一个“更激进”的自动恢复模式，理由可能是“可靠性”，但结果是跨区、缩窗口、高敏感，等于把风险拉得更近。
周负责人问：“MedicalTenantOverride是谁配置的？什么时候配置的？有哪些租户ID在列表里？”