*混入发放渠道（把伪批次塞进真发放袋）
这时，账本本身会成为新的战场。
两周后，周工收到一个异常：某社区的发放账显示“收到免疫三件套500份”，但该社区实际只签收了300份。差额200份不知去向。
差额像一道裂缝。裂缝一旦存在，就会被潮水利用。200份如果被人拿走，再夹针发出去，就能形成新的伪批次扩散。
纪检联络员没有立刻指向社区负责人，她只做两步：
1）核对签收回执验词
2）核对封装袋封条批次
回执验词对不上：系统里记录的验词与社区签收表上的验词不一致。封条批次也出现了一处重复：同一批次封条出现在两个社区的签收记录中。
“这不是丢了200份。”周工说，“这是有人想让账本自相矛盾。”
纪检联络员点头：“账本一矛盾，大家就会不信账本。账本不信，来源阀门就会松。”
她在行动单上写下一个更硬的目标：
**守住账本的可信度。**
守账本的方式不是解释，是加阀门：账本也要门牌化、验词化、版本化。
---
###7）发放账版本冻结：发放也要“只读可审计”
过去，发放账可能是一张表或一个Excel，容易被人改动。要守账本可信度，就要让发放账进入“版本冻结”状态：每次发放记录生成摘要，每天封存一次，之后不可修改。
周工设计了一个很简单的发放流程：
*每次发放生成一条记录：社区、数量、封条批次、封装袋编号范围、签收验词
*记录生成后立刻生成当日摘要（哈希类似，但内部用）
*当日结束封存成PDF入介质柜（隔离室导出）
*次日只能新增不能修改，如需纠错必须走“更正记录”而非修改原记录
这就像索引册版本冻结一样，把“可修改”变成“可审计”。可审计意味着篡改会留下痕迹。痕迹一旦存在，潮水就不敢轻易插针。
纪检联络员补一句：“发放账也必须只读。能改就是洞。”
父亲听到“能改就是洞”，笑了一下：“你们终于把洞的定义统一了。”
洞不是某个按钮，洞是任何可被悄悄改变的地方。账本可悄悄改，就会变洞。
---
###8）封装袋阀门升级：封条批次不重复、袋编号不跳号
为了防止伪批次混入发放袋，封装袋本身要升级为“不可混入”。
他们做了两件事：
1）封条批次只在单社区单日使用，不跨社区不跨日
2）封装袋编号严格连续，不允许跳号，跳号即触发对账报警
这样，对手即便拿到一批封装袋，也很难混入：只要编号跳号，系统就能发现。只要封条批次重复，系统就能发现。
“混入最大的敌人是连续性。”周工说。
纪检联络员点头：“连续性不断，混入就像石头扔进玻璃杯，会发出声音。”
他们甚至把“连续性检查”写进交棒清单，成为每日两分钟归档的一部分：发放袋编号是否连续、封条批次是否跨社区。两分钟足够，节拍不断就不会松。
---
###9）那200份差额去哪了：不是找人，是找链路
发放账版本冻结后，差额问题仍需解释，但解释不是找一个“犯错的人”，而是找到“错误发生在哪里”。纪检联络员坚持：
“我们只找链路，不找替罪羊。”
他们用三账对账的方法追链：
*生产账：当批次产量是多少
*发放账：发到哪几个社区、数量合计是多少
*回收账：旧批次回收与废料是否匹配
*消耗账：各社区实际发放给群众的数量统计（只计数）
对账发现：某社区消耗账的“发放给群众数量”异常高，远超该社区来咨询的人次。这说明：免疫三件套被大量发放到非窗口场景，很可能被人拿去“外摆发放”——外摆最容易混入伪批次，也最容易被代办门店截流。
纪检联络员立刻做一个政策动作：免疫三件套发放只能在窗口与节拍时段进行，不允许外摆。外摆会扩散，也会失控。扩散不等于安全，扩散必须可控。
“免疫不是传单。”她说，“免疫是钥匙。钥匙不能外摆。”
这句话被写进区级免疫材料发放规范：禁止在地铁口、广场、门口外摆发放免疫三件套。群众要领，按节拍到窗口领。窗口领就是可审计。外摆领就是通道。
外摆禁了，差额解释就出来了：有人为了“做数据”在外摆发放，导致统计混乱与材料失控。不是阴谋，但会被阴谋利用。结果一样：洞出现。
这件事让所有人更清楚：正确的欲望（多发放、多覆盖、多数据）如果没有阀门，会变成新的通道。