清晨六点三十，普通监护病房的窗帘被护士拉开一条缝，灰白的天光像一层薄纸贴上来。

林昼站在床尾，听医生把一串参数念完：血氧、炎症指标、呼吸支持的撤离顺序、用药调整、转科后需要重点观察的三项风险。医生的语气不再像icu里那样紧绷，却依旧谨慎――这种谨慎让人踏实，因为它不是安慰，是流程。

父亲被推床转入病房时，意识仍有些模糊，眼皮动了一下，像在试着辨认天花板的纹理。林昼俯身，把手贴在他手背上，低声说：“到普通病房了，别怕。”他说完才意识到，真正怕的人是自己。怕的不是病房，而是所有“恢复”之后被允许发生的遗忘。

他把转科交接单签完，站在走廊里看着护士推着药车往前走。药车轮子碾过地面发出细碎的声响，像一条稳定的节拍。这个节拍提醒他：生活还在继续。而越是继续，越容易有人说“事情过去了”。

事情没有过去。只是从尖锐的危急变成了更长的尾巴。

尾巴最会缠人，也最会被忽视。

---

上午九点，监管把最新一轮问询的重点从“链路存在”推进到“链路可审计”。

梁组长的消息很短，却每个字都像钉子：“监管抓住90天与180天冲突，准备发出数据保全要求。供应商辩称：乙方自有审计日志可留存180天，第三方仅留存90天元数据，不冲突。”

林昼看到“辩称”两个字，心里没有波澜。他知道这是他们必然的回答：把矛盾拆成两份，各自合法，然后让监管接受“合规拼图”。可问题不在拼图是否存在，而在拼图是否能拼出那条关键链路――tok+0900的edgerelay节点、e-pv-214、0218回滚、1920通知邮件、以及那条被他们反复遮挡的同步路径。

如果第三方只留90天，而关键链路恰恰落在第三方节点上，那90天就不是一个数字，是一个断点。断点意味着：再拖一段时间，最关键的外部证据会自然消失。消失之后，他们就能说“没有了”。

没有了，往往比“拒绝提供”更有效。拒绝提供会留痕，没有了则像天灾。

林昼回梁组长：“不能让他们把180天与90天拆开。合同要求的是审计可核对，而不是各自一段留存。第三方日志是链路的一部分，必须纳入保全。监管应当发出‘立即保全通知’，明确冻结指定message-id的相关元数据与节点调度记录，哪怕常规留存只有90天，也要做特定保全。”

梁组长回：“监管在起草‘数据保全与留存延长要求’，并考虑向第三方平台同步送达。”

林昼补：“同时要求供应商说明：其自有180天日志是否包含第二跳edgerelay的节点id与时区字段？若自有日志不含第三方节点细节，那180天只是‘半条链’，不能替代第三方日志。”

梁组长回：“这个点很关键。监管会问。”

林昼放下手机，去法务室把“九十天断点”写在白板最上方。他写得很大，因为他需要所有人都意识到：这不是技术细节，这是时间炸点。炸点不是爆炸，是证据自然风化。

风化一旦发生，真相会被说成“无法核查”。

---

上午十点四十五，供应商提交了一份“留存说明补充”（盖章版），试图把矛盾再压平一层：

*乙方审计日志（含回滚事件、策略版本、操作者账号哈希）留存≥180天；

*第三方平台元数据日志留存≥90天；

*乙方可在90天窗口内按需查询第三方元数据并生成“核查报告”，因此监管仍可核查；

*超过90天后第三方不保证可查，但乙方将尽力提供替代性证据。

“生成核查报告”这几个字，让林昼瞬间警觉。

报告是由乙方生成的。乙方是被核查对象。由被核查对象生成报告等于把审计开关交还给他们。你核查的不是事实，是他们挑选过的事实。哪怕他们不造假，只要他们筛选范围，你就可能看不到关键的“异常节点调度”。

更何况，他们已经多次拒签、拒字段、拒触发规则摘要。现在让他们生成报告，等于把“最不愿意透明的人”变成“唯一解释者”。

林昼立即发给梁组长：“监管不能接受乙方自生成的核查报告作为唯一依据。必须要求第三方出具直接证明或允许监管在第三方平台界面现场查阅（哪怕在供应商陪同下），至少对指定message-id进行可核对的第三方签章证明（含节点区域、时间戳、节点id）。否则审计独立性缺失。”

梁组长回：“监管也在考虑要求第三方出具‘证明函’。”

林昼补：“证明函至少要包含：message-id、投递链路节点id、各节点时间戳、节点区域标识、日志哈希或签名，以防事后争议。证明函无需披露节点清单，但必须可校验。”

梁组长回：“明白。”

---

中午十二点二十，一个陌生号码打进林昼手机。

他看着屏幕，没有立即接。最近的陌生来电总带着某种味道：要么威胁，要么诱导你失控。他按了静音，等到铃声结束，短信随即弹出一行字――只有一句：

“九十天不是90，是30。”

林昼手指停住。

他立刻把短信截图发给梁组长与法务：“新线索，匿名提示：第三方留存可能短于90天。”

法务看了一眼：“可能是干扰。”

林昼点头：“也可能是内部人。”

他没有急着相信，但也不会忽视。短信里那种“准确的短句”，不像恐吓，更像提醒。真正的恐吓往往喜欢写很多字，逼你读；提醒则喜欢短，逼你思考。

他回拨过去，提示“号码为空号”。典型的单向通道。

林昼靠在墙上，脑子迅速运转：第三方平台摘要写“元数据日志不少于90天”，这可能是“最高等级套餐”或“按合同约定的最大留存”，但实际使用的项目可能只开了30天；也可能第三方留存90天，但“节点调度记录”只留30天；再或者第三方留存90天，但“可回溯查询接口”只支持30天，超过就要付费或审批，供应商就会拖，拖到过期。

“九十天不是90，是30”更像在指：你看到的90天是字面，关键数据的有效窗口更短。

如果这是真的，证据链就不是慢慢风化，而是加速腐蚀。

林昼立刻给梁组长发：“请监管在保全通知里明确：不仅保全元数据日志，还要保全‘节点调度记录路由选择记录缓存命中记录’。并要求第三方书面确认各类日志的真实留存周期与查询窗口。不要只看摘要。”

梁组长回：“监管马上补充这一条。”

---

下午两点，监管发出《数据保全通知》：要求供应商立即对指定事件与指定message-id相关的全部审计记录、第三方查询结果、生成报告过程进行冻结与保全，不得删除、不得覆盖、不得以系统策略自动清理为由销毁。同时，监管向第三方平台发出协查函（通过供应商提供的主体信息与监管掌握的全称），要求其对相关日志进行专项保全，并在规定期限内出具可核验的证明材料。

这一步，是把“审计开关”从供应商手里往外拔。