第三十七章：中间证书更新（2 / 2）

请关闭浏览器的阅读/畅读/小说模式并且关闭广告屏蔽过滤功能，避免出现内容无法显示或者段落错乱。

供应商回避：“不便披露内部流程细节。”

内部流程细节——又想回到商业秘密。

但这次，监管手里有错误码、有签名时间戳、有证书链引用、有合同条款要求处置报告含触发原因分类。这些东西足以压住“内部流程细节”的泛化拒绝。你可以不披露细节，但你必须披露你是否做了流程，以及流程的必要输出。

输出就是变更单号、审批角色、实施窗口。

---

下午四点二十，供应商终于提交“中间证书更新记录摘要”（盖章版）。摘要很短，显然做过“脱敏与最小化”，但仍包含关键字段：

*变更单号：CHG-IM-2024A-1127

*变更类型：证书链更新（中间证书替换）

*申请时间：转运前一日16:05

*审批完成：18:50（审批角色：安全负责人/运维经理）

*实施时间：19:35-19:45（生效19:40）

*变更原因：中间证书即将到期（到期日：转运后3日00:00）

*风险评估摘要：存在短时同步延迟风险，已配置自动回滚保障连续性

*通知：已通知医院信息科联系人（通知时间：19:20，方式：邮件）

*回滚预案：自动化回滚至稳定基线包v2.9

林昼看完，脑子里先是一阵冷，然后是清晰。到期日：转运后3日00:00。也就是说，他们并非必须在转运前一天更新证书；至少从时间上看，还有两天多窗口可以选择。除非他们内部制度要求提前更新，这一点还需要核对。但更要命的是：风险评估摘要承认“短时同步延迟风险”，并把“自动回滚”作为保障。这就把“02:18回滚”从意外变成预案的一部分。预案意味着可预见。可预见的风险，在医疗场景里就必须被更谨慎地安排窗口。

最关键的一条是：通知医院信息科联系人（邮件，19:20）。如果这封邮件存在，它就会成为新的证据支点：通知内容写了什么？是否提示禁变窗口？是否提示风险？是否提示可能自动回滚？医院信息科是否确认？是否提出异议？

邮件又回到了邮件网关。回到了MGW。回到了东京回路。

林昼立刻回梁组长：“这份摘要非常关键。下一步三件事：

1）调取19:20通知邮件（邮件头+正文摘要），核对是否经MGW与中继；

2）追问：为何到期日是转运后3日仍选择前一日更新？内部制度要求提前多久？提供制度摘要；

3）既然风险评估承认同步延迟并依赖自动回滚，必须提供同步完成情况证据：逐步生效完成时间表或214频次统计与分布。”

梁组长回：“监管会追邮件。医院信息科可能会说邮件没收到。”

林昼回：“那更要调取。邮件没收到是通知失效；邮件收到但未确认是医院管理缺陷；邮件有但内容不充分是供应商通知不合规。无论哪一种，都对责任链有意义。”

梁组长回：“明白。”

林昼又补：“注意：邮件调取要走监管，不走私下。否则对方又用泄密攻击。”

梁组长回：“我们只走监管。”

---

傍晚六点，供应商又抛出一个试图扭转叙事的新点：他们说“自动回滚预案是为了保障连续性，并不会影响设备安全；设备异常与邮件策略回滚无直接关联。”

这是他们在试图把系统回滚与设备异常切断。切断后，所有证据链就会碎成两段：一段是信息化运维事故，一段是设备问题。碎成两段就容易各自归咎“偶发”，就容易没有人负责。

林昼对此早有准备。他对梁组长说：“不能让他们切断链条。我们要做的是‘关联性核对’，不是直接认定因果。关联性核对可以用时间线：

*19:40证书更新

*19:42热修复签名

*19:45-20:30逐步生效

*次日02:18回滚至v2.9SUCCESS

*同时段设备异常日志异常变化（专家组已指出关联）

只要时间线相互贴近，就有必要继续调查。因果可以后续鉴定，但关联性足以支撑调取更多资料。”

梁组长回：“监管接受‘关联性核对’表述。”

林昼补：“另外，合同条款涉及邮件网关策略维护，但设备异常在转运系统上。要看两者是否共享认证/签名/策略下发通道。若共享，就有关联；若不共享，也需要证明不共享。证明不共享同样需要拓扑说明或接口清单（脱敏版）。”

梁组长回：“会追接口清单。”

---

晚上八点，护士长的母亲再次收到陌生电话，对方只说一句：“让她别管闲事。”这次，护士长没有崩溃。她把通话记录截图交给法务，法务直接追加到警方备案，形成补充材料。护士长的声音很平静：“我现在只想把我的事实说完。”

林昼听到这句话，心里像被轻轻捏了一下。事实说完，结构就难以继续用人压人。事实说完，证据链就完整。

许景也发来消息：“他们今晚复盘会取消了，改成‘待通知’。”

“待通知”也是一种退缩。说明他们意识到继续逼许景，可能会引来监管关注，反而不利。他们开始收缩战线，换更隐蔽的方式。

林昼没有因为收缩而松懈。他知道这是风暴前的短暂安静——他们会把所有力量集中在“邮件通知”与“同步完成证据”这两个点上。因为这两个点一旦被核对，东京回路就会从“中继节点”变成“变更通知链路”。通知链路一旦确认经过MGW与境外中继，结构就会被迫解释：为什么关键通知要经过境外基础设施？为什么日志不记录中继细节？为什么在关键期实施证书更新与热修复？

这些问题会把“不可控”撕开，让“选择”露出来。

选择意味着责任。

夜里十一点，林昼把今天新增的关键事实写进证据链索引：

*CHG-IM-2024A-1127：中间证书更新变更单存在（申请16:05，审批18:50，实施19:35-19:45，生效19:40）

*到期日：转运后3日00:00（非绝对迫近）

*风险评估承认同步延迟风险，并依赖自动回滚预案

*19:20通知邮件存在主张（待调取核对）

*回滚预案明确指向v2.9（稳定基线包）

写完，他盯着“到期日”那一行很久。三天后的零点。时间不是刀，但时间会让你看到选择。选择在这里：他们可以不在转运前一天做变更；他们也可以做，但必须设置更严格的禁变与确认。他们选择了一个会产生同步延迟风险的窗口，并把回滚作为保障。回滚发生了，且成功。

成功的回滚背后，是成功的决策还是成功的逃避？这需要更深的核对——通知邮件内容、同步完成证据、处置报告工单号。

他抬头看ICU玻璃里父亲的波形。那条线仍稳，像告诉他：继续。

他在心里把今天定格成一句话：

“证书更新不是天灾，是变更；变更一旦发生，就必须有人对窗口与风险负责。”

.