清晨七点二十六分，服务台玻璃内侧的灯还没完全把夜色擦干净，内侧工作台上那张“纠错开关三步”就已经被贴得很平整：
1）立刻封存（编号）
2）立刻替代（正渠）
3）立刻最小公示（一行原则）
它像一张急救卡，不是告诉你世界有多危险，而是告诉你：危险来了你怎么做。做完就结束，不留舞台，不留镜头。
护士长把夜班交接清单翻到第一页，那里同样是短台词：不拍不发不代查，按台词导回服务台；按呼叫就有人来，你不是一个人。她看着那句“你不是一个人”，心里反而更紧了一点――对手最擅长的，就是把你变成一个人，然后在你孤立的那一秒让你按错键。
信息科会议室里，周工把昨晚的“逼真错误”处置台账翻出来，台账本身没有敏感信息，只有封存编号、批次封条编号、处理人代号、处置结果。罗工把台账与门牌工具的日志对齐，确认所有“纠错编号”都只在内侧工具里出现，从未外链，从未对外展示。
“按道理讲，对手拿不到这套东西。”周工说。
纪检联络员坐在桌边，笔尖轻轻敲了敲本子：“按道理讲，他们也拿不到我们的灰名单口袋卡、拿不到耗材封条批次、拿不到白名单终端的握手失败日志。可他们总能在最贴近我们的地方，造出一帧像真的画面。”
护士长抬头：“你担心他们会造‘纠错’？”
纪检联络员点头：“对。逼真错误被我们回滚了，他们就会升级：不是造一个错误，而是造‘我们有很多错误’的印象。一次错误可以解释，很多错误会让人怀疑体系本身。怀疑一旦成立，正渠的光就会变暗。”
罗工补一句：“他们不需要真实的错误记录，只需要一张看起来像内部台账的截图。”
周工接话：“然后他们就能说――‘你看医院自己都承认了，来找我们复核，别被他们糊弄’。复核就是新入口。”
纪检联络员翻开行动单，新页眉写下四个字：**回滚编号**。她写下一句短而硬的判断：
**当我们能回滚错误，对手就会伪造回滚本身。**
系统提示在林昼视野边缘亮起：
风险：伪造回滚（伪纠错台账伪回滚编号复核入口）
对策：回滚编号门牌化（只内部可见+不外查+当面解释）
重点：不让“纠错”成为对手的新服务
林昼站在走廊尽头，想起父亲说的那句话：“错不可怕，可怕的是错被别人写。”现在对手要写的不是一个错，而是一串错――写成你这个系统本身就不可靠。
要守住“可回滚”的信任，就要让回滚仍然只是一套动作，而不是一段故事。
---
###1）第一阵风：群里出现“内部纠错清单”，像真的一样整齐
上午九点五十二分，病友群里跳出一张长图，标题写得很大：
“某医院内部纠错清单（流出）”
长图里列了十几条“纠错编号”，每条后面配一句简短描述：
“编号异常”“耗材污染”“模板夹二维码”“补给柜特权投诉”“限制拍摄纠正”……甚至还写了“已处理”。格式像极了内部台账：编号+事项+状态。长图末尾还有一句引导：
“如你担心被影响，请私信老师帮你查询是否涉及你本人，免费。”
免费。老师。查询。涉及你本人。四个词拼在一起，就是对手想要的新入口：把纠错台账伪造成“与你有关的风险清单”，再提供“免费查询”服务，把群众引到私域里，索要个人信息。
护士长看到长图，第一反应不是否认，而是立刻按“纠错开关”处理――虽然这次不是我们犯错，是别人造错，但处理逻辑一样：封存、替代、最小公示。
她先在工作群里发一句：“群内出现伪造纠错清单，禁止转发截图，交纪检封存。”然后把长图转给纪检联络员，封存编号立刻生成――**rg-154-001**（回滚类）。封存不是为了追发图的人，而是为了让“伪造回滚”也进入我们自己的可追溯体系。你不追逐，你只记录。记录会让慌变短。
随后，护士长在病友群里发了一句短口径，仍然不谈真假细节：
“纠错编号只用于内部追溯，不对外查询。担心问题请到柜台内侧当面问，不要私信任何老师。”
她没有说“这图假的”，因为说“假的”会引发一堆“你怎么证明是假的”。证明会变成故事，故事会延长。她只说一个动作事实：不对外查询。动作事实比真假争论更硬。
群里立刻有人问：“那这图到底哪来的？是不是你们真的有这么多问题？”
护士长不答“哪来的”，她用“一句解释”降温：
“任何截图都可能被剪辑拼接，保护你自己最简单的方法是：不转发、不私信、当面问。”
有人又问：“那我是不是受影响了？”
护士长给替代：“你告诉我你关心的是哪一项（模板、补给、状态码），我在内侧当面解释你该怎么做。”
这句替代把“担心自己受影响”从对手的“查询服务”接回正渠。对手卖的是焦虑，正渠给的是下一步动作。只要下一步动作清晰，焦虑就会下降。
周工看到群里走向，低声说：“他们想用‘纠错清单’把群众变成客户。我们用‘不对外查询+当面问’把群众留在群众的位置。”
纪检联络员点头：“这是关键。群众不是客户，纠错不是服务入口。”
---
###2）伪回滚的第二层：对手来电自称“数据复核组”，专门问“你有没有纠错编号”
十点半，服务台电话响起。对方开场就很像“懂内部”的人：
“我们是上级数据复核组，今天专项核查你们纠错编号执行情况。你们那边最近是不是有rg类编号？麻烦报一下编号段，我们要对账。”
这句话的厉害之处在于：它不让你去扫二维码，也不让你发截图，它直接要编号段。编号段一旦被报出，对手就能把伪清单做得更像，甚至把编号规则推断出来，下一轮伪造会更精准。
服务台人员按“风暴模式”第一反应：电话不查编号、不报编号，只当面核验。她回一句：
“编号不对外报。文书到服务台核验。”
对方立刻压：“你这属于阻挠工作，我们是上级――”
服务台人员不争上级真假，重复：“文书到服务台核验。”
对方改口：“那你告诉我你们有没有纠错台账？台账给我看一下――”
服务台人员第二句仍短：“台账不外发。”
对方开始威胁：“我记录你个人――”
服务台人员第三句：“记录走正式渠道。”
挂断。三句结束。电话被剪断，对手拿不到编号段，也拿不到台账内容。
纪检联络员复盘时说：“他们在试探我们会不会因为‘对方懂内部词’而放松。越懂内部词越危险，因为他瞄准的是编号规则。”
周工点头：“下一步他会换成短信，让你觉得‘只是把编号发一下’。”
罗工补充：“我们要把‘不对外报编号’写进更上层的门牌公示里，免得群众也开始问编号。”
于是，当天中午，公告栏新增一行（带真实公告编号可校验存在）：
“任何编号（公告项目派工纠错）均不对外报，仅在柜台内侧核验。”
一行够了。对手要你报编号，我们公开告诉群众：编号不外报。这样群众就不会被“报编号验证”这类话术带走。
---
###3）真正的危险：伪清单里夹了几个真实细节，像针一样扎人
下午一点，罗工把伪清单放大分析，发现一个细节让他皱眉：伪清单里有两条描述与我们真实处理过的险情高度接近――“热敏纸暗印专线”“模板夹贴纸”。
这些真实细节如果出现在伪清单里，会极大增强可信度。对手可能不是凭空写，而是从公开空间里拼接来的：比如有人在外侧拍过封存袋、拍过封条、拍过我们最小公示的一行原则，再把它们“串成”内部台账。
“他们不一定有内鬼。”罗工说，“他们也许是把我们公开的一行原则当作素材，反向拼成内部清单。”
周工沉声：“也可能是软点围猎里，有人不小心描述了细节给对手。”
纪检联络员没有急着找责任人。她知道此刻最重要的是“止血”：不让真实细节继续成为对手的拼接素材。
她做了一个细微但关键的策略调整：对外最小公示仍保留，但描述更抽象，不写具体物料、不写具体手段。比如不写“热敏纸暗印”，只写“来源不明耗材已封存”；不写“模板夹贴纸”，只写“来源不明入口物已处置”。公众只需要知道“已处置”，不需要知道“如何处置”。如何处置的细节只在内部纠错台账里存在。
“透明不是细节透明。”纪检联络员说，“透明是原则透明、动作透明。细节透明会变成对手素材。”