*地理围栏：未启用（原因：业务连续性要求）

*节点排除名单：空

*故障回退：启用（触发条件：节点不可达延迟超阈）

*成本优化：未启用

*当日告警：无重大故障告警（摘要）

林昼看完这份“摘要快照”，心里第一次出现一种明确的“抓手感”。

区域优先级序列：cn>apac>global。

这意味着apac不是偶然，它是被写进优先级序列的第二位。只要cn路径出现任何“质量不佳”或“延迟超阈”，就会优先跳到apac，而不是继续坚持境内。更关键的是地理围栏未启用，原因是“业务连续性要求”。这几乎等同于承认：他们为了连续性，放弃了路径地域约束。

在普通互联网场景，这可能合理。

在医疗关键系统变更通知链路中，这就是重大合规风险点。因为你无法保证关键通知不会跨境。你甚至把跨境作为默认回退路径之一。

此外，“当日无重大故障告警”这一句也很敏感：如果没有重大故障告警，那1920邮件为何不走cn而走apac？要么是cn路径出现轻微但足以触发阈值的质量问题（不算重大故障），要么是策略阈值设置太敏感，导致轻微波动就跨区；要么是cn节点在某一时段负载高；要么是某条链路被临时限流。无论哪一种，都需要调度记录来还原：当时的选择依据是什么？延迟值是多少？不可达还是超阈？负载是多少？

“无重大告警”不能解释“为何跨区”。它只能说明他们在语上把问题降级。

林昼回梁组长：“这份快照本身已构成重大事实：地理围栏未启用，且apac为第二优先级。下一步必须拿到第三方‘调度原因摘要’：在1920该邮件调度时，cn路径触发了哪一项条件（不可达延迟超阈负载超阈）？对应指标值是多少？至少给区间或等级（highmedium）。同时要求供应商解释：为何医疗关键系统不启用地理围栏？其内部合规评估编号是什么？谁批准把apac作为回退？”

梁组长回：“监管会问‘谁批准’。”

林昼补：“注意表述：不是问具体个人姓名，可问审批角色与变更单关联。比如：路由策略v2.7的生效时间、变更单号、审批角色。让责任落在流程。”

梁组长回：“明白。”

---

傍晚五点四十，第三方平台的“调度原因摘要”终于来了（签章版，发给监管）。梁组长转述摘要核心内容给林昼：

*1920邮件在cn区域尝试路由失败一次，原因：cn-relay节点在当时出现“latencydegradationlevel2”（延迟劣化二级），触发“延迟超阈回退”；

*依据动态路由策略v2.7，选择次优区域apac-edge节点；

*该决策由系统自动执行，未检测到人工指定节点行为；

*调度记录字段包含：尝试区域、失败原因代码、回退区域、策略版本、指标等级（不含具体毫秒值）；

*该类调度记录默认留存30天，已按监管要求延长保全。

“latencydegradationlevel2”。

这就是“为什么”。不是东京，不是token，不是时区配置，而是：cn节点出现延迟劣化二级，触发延迟超阈回退，按策略v2.7转到apac。

这份摘要同时也划开了一个新的责任面：

*你把apac作为回退，是策略选择；

*你不启用地理围栏，是合规选择；

*你定义“延迟劣化二级”就足以跨区，是阈值选择；

*你选择在医疗关键系统上使用这种策略，是场景适配选择。

这些选择背后，都必须有人在流程上批准。哪怕不是某个工程师按了按钮，至少也有“安全负责人运维经理”在某个变更单上签过审批。审批不是罪，但审批意味着责任：你要为这个策略在这个场景里带来的合规风险负责。

更刺眼的是：第三方摘要明确“未检测到人工指定节点行为”。供应商会立刻抓住这句话，试图证明“没有人为”，从而把所有问题归结为“自动化”。可林昼清楚：自动化的前提是策略配置。策略配置就是人为。你不需要人工指定某个节点，你只需要在人为配置里允许apac回退。允许就是选择。

选择，就必须解释为什么。

林昼迅速给梁组长发：“第三方摘要是核心证据：cn延迟劣化level2触发回退。下一步三件事：

1）要求供应商第三方解释‘latencydegradationlevel2’的定义（等级阈值范围、评估周期），不需要具体算法；

2）要求供应商说明：为何在医疗关键系统场景不启用地理围栏？内部合规评估编号与审批角色；

3）要求供应商提供动态路由策略v2.7的变更单号、生效时间、审批链，并说明是否可将apac从回退序列移除或限制为境内。

这会把‘自动执行’拉回‘策略选择’。”

梁组长回：“监管完全同意。”

---

晚上七点半，反扑如期而至。

供应商对外发布“澄清”：承认通知邮件经过apac节点，但强调“原因是cn节点短时延迟劣化，属于正常网络波动，系统自动选择最优路径，未涉及跨境存储，且邮件不含敏感信息”。同时，他们把焦点引向“网络波动不可控”。

网络波动不可控。

可策略选择是可控的。

林昼把澄清保存入档，标注“对外口径：强调不可控”。他不争辩。他只等待监管问询把“可控”推回去：你可以说波动不可控，但你不能说你不能启用地理围栏；你可以说自动执行，但你不能说你不能调整阈值；你可以说不含敏感信息，但你不能保证未来所有关键通知都不含敏感信息；你可以说不跨境存储，但你承认缓存短驻留，且路径不保证固定。

每一句“不可控”，都要有一个“为何不控”的流程依据。

---

夜里十点，父亲醒了一次，眼神还有些飘。林昼扶他喝了两口水，父亲的嘴唇动了动，似乎想说什么。林昼俯身：“你想说什么？”

父亲声音很轻：“……别闹……别惹事……”

林昼怔了一下，喉头发紧。他明白父亲的意思：别把事情搞大，别让自己受伤。很多父母都会这样说，因为他们见过太多“闹”的代价。

林昼握着父亲的手，语气很稳：“我不闹。我只把每件事写清楚。写清楚，就不会再有人被迫用命去试错。”

父亲眼皮慢慢合上，像疲惫终于压过担心。

林昼坐回床边，心里却比任何时候都清晰：他已经从“找真相”走到“守边界”。边界是什么？是医疗关键系统不该默认跨区回退，是变更不该临近通知而无确认闭环，是审计不该依赖被审计对象自生成报告，是日志留存不该让“原因”在30天后自然消失。

他把今天最后一个节点写进索引：

*第三方调度原因摘要（签章）：cn延迟劣化level2触发回退至apac，策略v2.7自动执行；调度记录字段与留存周期确认

*关键争点转移：从“是否存在apac节点”转为“为何允许apac回退、为何不启用地理围栏、level2阈值是否适配医疗场景、审批链条与合规评估依据”

写完，他关上笔记本，抬头看窗外。夜色很厚，但城市的灯没有熄。灯光不代表安全，它只代表有人还在醒着。

林昼在心里把这一天压成一句话：

“调度原因不是天意，是策略；策略不是自动化，是选择；选择一旦进入医疗场景，就必须有审批、有评估、有边界。”_c