第三十七章：中间证书更新(1/3)

首发：~第三十七章：中间证书更新

凌晨一点零八，接收医院行政楼的会议室灯还亮着。

桌面上摊着三样东西：监管笔录的索引页、供应商盖章的“技术团队说明”复印件（仅允许监管留存的扫描件，接收医院只拿到脱敏摘要）、以及一份由法务整理的“变更控制核对清单”。林昼坐在最靠窗的位置，手里转着一支笔，笔尖每转一圈，他脑子里就把那串错误码E-PV-214重新拆一次。

“策略包签名链校验不一致。”

供应商口头承认了“中间证书更新”与“短时间同步延迟”。这两句话像两颗钉子，钉在E-PV-214的三种可能原因上：证书更新、同步延迟、包体变更。现在，最难的部分不是证明它发生过——发生过已写进监管笔录——最难的是把“发生过”变成“谁批准、何时实施、怎样评估风险、为何选在关键期”的可追责链条。

从错误码走到责任链，必须穿过“变更控制”。

变更控制是所有高可用系统最怕被审查的地方，因为那里最容易出现“为了效率”而绕开的流程。绕开一处，就能让整个体系看起来合规却实际脆弱。

林昼知道，供应商会在这里拼命：他们会说证书更新是例行维护、热修复是安全需求、同步延迟不可避免、回滚是自动化保障。他们会把每一步拆成“合理行为”。合理行为叠加起来，就能掩盖关键事实：合理行为为什么恰好叠加在患者转运窗口？为什么叠加后系统发生签名链不一致？为什么回滚成功后出现威胁电话与证人施压？这些“为什么”不是情绪，是时间线的问号。

时间线的问号，最适合用记录回答。

---

早上七点半，林昼在ICU门口听完父亲的最新情况：血氧稳定，呼吸机参数再次调整到更低，医生说可以考虑明天做一次转科评估。林昼握着床栏的手松了松，轻声说：“谢谢你撑住。”

他没有指望父亲能听见，也不需要听见。他只需要父亲活着。活着，才有把真相核对到底的意义。

八点十分，梁组长发来消息：“监管准备今天上午十点对供应商发第三轮书面问询，重点：中间证书更新记录摘要、同步延迟窗口、v3.1-hotfix签名时间戳。供应商可能继续拖。”

林昼回：“问询要引用他们在笔录中的口头承认：已存在中间证书更新与同步延迟。口头承认→书面补证是合理要求。并要求提供最小字段：变更日期、变更类型、操作者账号哈希、审批人岗位（不需要姓名）、影响范围、回滚预案是否触发。”

梁组长回：“收到。”

林昼补：“同步延迟窗口最好要求给出分钟级范围（例如10-30分钟），并说明同步拓扑是否包含境外中继。若对方说‘不包含’，要求出具同步路径示意（节点类型不写IP）。示意不是秘密。”

梁组长回：“明白。”

他把手机收起，去法务室拿“变更控制核对清单”。清单上列着七个关键点，每一个点后面都有“可核对证据类型”：

1）变更申请单（变更单号、申请时间、内容摘要）

2）审批链（审批角色与时间戳）

3）变更窗口（实施开始/结束时间）

4）回滚预案（是否制定、是否演练）

5）影响评估（对业务与安全的影响摘要）

6）发布记录（版本号、签名时间戳、证书链引用）

7）事后报告（是否提交、提交给谁、工单号）

这份清单像一把梳子，要把“自动化故障转移”的毛刺梳出来。梳出来之后，你会看到它到底是一只正常的猫，还是披着猫皮的别的东西。

---

上午十点零三，监管第三轮问询函发出。十点二十七，供应商回复：“将于48小时内提供中间证书更新记录摘要，但同步拓扑属于内部架构，不能提供；同步延迟窗口无法准确量化；v3.1-hotfix签名时间戳可提供。”

典型的三段式：给一点、藏一点、拖一点。

林昼看完梁组长转述，回：“同步拓扑不能提供，可退一步要‘同步路径分类’：是否单中心、是否多活、是否经中继缓存；以及‘同步延迟窗口的日志证据’：既然无法量化，就提供监测图或按小时统计（不标数值也行，标峰值时段）。不让他们用‘无法量化’逃避。”

梁组长回：“监管会按这个追。”

林昼补：“另外要求他们说明：为什么中间证书更新要在转运前一天做？是否可以延后？如果不能延后，是什么强制因素（到期时间）。把到期时间写出来。证书到期时间是事实，不是秘密。”

梁组长回：“好。”

---

中午十二点，供应商先提供了v3.1-hotfix的签名时间戳与证书链引用摘要（盖章版）。梁组长把关键字段抄录给林昼：

*v3.1-hotfix签名时间：转运前一日19:42

*证书链引用：RootCA-2021/Intermediate-2024A（更新）

*Intermediate-2024A生效时间：19:40

*签名链校验策略：PV模块版本PV-3.1.2

*发布窗口：19:45-20:30（逐步生效）

林昼盯着“19:40中间证书生效”“19:42签名”“19:45-20:30逐步生效”这几个时间点，脑子里迅速拼出一幅图：转运前一日傍晚，中间证书刚更新两分钟，热修复包就用新证书签名并发布，随后逐步生效到多个节点。逐步生效意味着一定存在一段时间——部分节点拿到新证书链和新策略包，部分节点还在旧链上。只要这段时间跨越到第二天凌晨，或某些节点同步失败未完成，就可能在转运当夜触发签名链不一致。