《寒灯训算》墨聿舟

15、A401再开 A401重

　　A401第二次开放前，陆行简没有先发钥匙。

　　他把四张空白卡片摆在长桌上，要求材料组每个人写两个问题：一个是今天真正要回答的，一个是今天无论如何不能回答的。

　　林疏月先写完。要回答的是“原始问题卡是否明确反对真实身份展示”，不能回答的是“谁故意把寒灯变成风险排名工具”。陈以宁写“LQ_admin交接链在什么时间发生变化”，以及“任何个人是否因此承担全部责任”。

　　沈砺川握着笔，没有像往常那样迅速落字。他最终写：今天要确认failure_log是什么、有没有被改；今天不能用未打开的文件替周闻证明清白。

　　许砚知看见最后一句，没有评价。他自己的卡片上写：确认问题卡、审批文件与角色交接表之间的对应关系；不能回答任何人的真实动机，也不能用当前关系替过去事实背书。

　　陆行简逐张看完，把卡片装进透明夹：“进去以后，如果你们开始追第二个问题，我会中止检查。”

　　沈砺川问：“如果第二个问题自己撞到眼前？”

　　“记录它，不解释它。”

　　“听起来很难。”

　　“科研问题意识不是会提一个漂亮问题。”陆行简把授权书递给罗老师，“是知道什么问题现在提了也得不到可靠答案，还愿意停下来。”

　　A401已经完成第一次基础清点。东墙旧二号柜里的防震箱和矩阵清单仍在原位，西墙现二号柜重新封存。今天的授权范围只有长桌下方的“问题卡文件夹”、纸质角色交接表以及旧电脑中的文件目录。旧电脑可以离线开机，但不得打开任何正文文件，不得输入密码，不得复制个人数据。

　　房间里最显眼的是那块旧白板。上一次进入时，他们只在照片里见过；现在防尘布掀开，右下角仍留着半句没有擦干净的英文：When the system does not know……

　　后半句被白板清洁剂抹成一片浅灰。

　　林疏月先拍整体，再拍残留位置。许砚知没有尝试根据笔迹补全。一个缺半句的白板不能因为他们已经读过英文摘要，就自动变成想要的那句话。

　　问题卡文件夹在长桌最下层抽屉。抽屉上没有锁，拉开时却被里面鼓起的纸袋卡住。罗老师戴手套调整角度，才把整只文件夹取出。

　　封面编号Q-CARD-17，与翻译校样袋中的索引一致。内部分成三组：开放日前收集的问题、内部研讨问题、未采用问题。每张卡只有一个问题，背面记录是否回应、由谁回应以及是否进入展示材料。

　　公开展示采用的问题大多安全而具体：系统如何记录学习步骤，教师如何查看复现状态，学生能否导出个人报告。未采用问题则尖锐得多。

　　“如果系统把不确定性归到某个学生身上，谁负责纠正？”

　　“失败记录属于实验室，还是属于被记录的人？”

　　“为了让展示顺利，可以隐藏多少失败？”

　　“学生不同意公开标签时，是否有真正拒绝的办法？”

　　这些问题并不深奥，却没有出现在最终展示手册里。每张背面的处理理由也很相似：超出展示范围、可能引起误解、时间有限、待后续讨论。

　　“待后续讨论”出现了十一次，没有一张附后续会议编号。

　　陈以宁把处理理由录入表格，单独统计“待后续”是否真的发生。陆行简看着那一列，没有为自己解释。他只确认，当年的开放展示筹备会确实没有再安排伦理问题专场。

　　沈砺川翻到一张边缘磨损的卡。问题是周闻手写的：当系统不知道时，我们能不能把“不知道”留在结果里？

　　背面没有处理理由，只有红笔写的“与展示目标冲突”。审核账户是LQ_admin。

　　“这张能证明什么？”陆行简问。

　　沈砺川没有立即回答。他先把卡片放回垫板，确认拍摄完成，才说：“证明这个问题被提出过，也证明它没有进入展示。不能证明是谁拒绝，更不能证明拒绝的动机。”

　　陆行简点头。

　　问题卡文件夹底部压着角色交接表原件。文件夹里是一叠按功能分开的临时权限表，数量远超他们预期。LQ_admin负责内容审核，ROOT-LAB负责设备与日志，SLC负责学生维护，PUBLIC负责展示页面。旧案公开记录把这些账号与具体人名混在一起，原始表格却清楚写着“角色可轮换，不得直接作为人员身份”。

　　LQ_admin当天有四段记录。

　　八点到十二点，项目负责人陆行简；十二点到十九点三十分，宣传审核岗位；十九点二十七分，赵嵩提前签收第三时段，用于技术联调；二十点四十二分，表格出现一次“口头移交”，接收人栏空白，见证人栏同样空白。令牌实际失效时间是二十一点二十五分。

　　英文摘要批注发生在二十点五十八分，录像替换也在这一时段完成。赵嵩曾经领用已经明确，真正关键的是二十点四十二分以后角色去了哪里。

　　“口头移交给谁？”林疏月问。

　　赵嵩今天没有在场。陆行简看着空白栏：“我不知道。”

　　“您当时在哪里？”

　　“高铁上，二十一点零七分到站。”

　　这与他昨天提供的行程记录一致。

　　罗老师在交接表侧面发现一枚压得很浅的订书钉痕，说明空白栏上方曾附过另一张纸。纸张已经不在文件夹里，但底页留下几个反写的字迹。林疏月用侧光拍摄，能辨认出“媒体控制室”“临时”“不进入正式记录”。

　　许砚知把三组字分别记录，没有拼成完整句。有人可能把LQ_admin从赵嵩手中临时转到媒体控制室，又刻意不写正式交接；也可能那张附纸只是另一个事项，被订在相同位置。需要找到附件或其他引用才能判断。

　　旧电脑开机时发出连续两声短响。系统日期停在三年前，桌面上没有任何快捷方式，只有四个文件夹：public、internal、failure_log、handover。

　　他们只能查看目录属性。public最后修改时间二十一点零四分，internal二十点五十六分，handover二十点四十三分；failure_log在事故前一天十九点十二分后没有变化。

　　“failure_log没在当晚改过。”沈砺川说。

　　“前提是文件时间可信。”许砚知提醒。

　　罗老师从封存纸里找到一张事故前打印的校验清单。failure_log目录总校验值与当前目录属性生成的离线校验一致，说明至少在打印清单生成以后，目录内容没有被改动。清单日期是事故前一天。

　　这份文件很可能保存着寒灯在展示前最后一版失败记录。

　　打开它需要两段密钥。一段属于WEN角色，另一段属于LQ_admin。系统没有联网，角色服务已经停用，常规解密无法完成。沈砺川查看登录界面后说，可以通过离线字典测试旧口令，也可以从内存镜像寻找残留密钥。

　　“授权不允许。”许砚知说。

　　“我知道。”

　　“你还在看。”

　　“我在确认有没有不输入密码就能验证的方式。”沈砺川把手放到桌面外，没有碰键盘，“目录校验已经能证明它没变。内容可以等合法密钥。”

　　这次停止不是陆行简命令，也不是许砚知拦下。他自己关掉登录窗口，回到只读目录。

　　许砚知在操作记录里写“未尝试解密”。写完后又问：“你最想知道里面是什么？”

　　“周闻有没有写下真实风险标签的来源。”

　　“如果没有呢？”

　　“那我继续查别的。”

　　“如果有，但和你希望的不一样？”

　　沈砺川望着failure_log文件夹：“也保存。”

　　许砚知没有继续追问。他把这句作为现场个人陈述附在操作记录之后，不把它写成沈砺川以后永远不会改变的保证。

　　handover目录可以查看文件名。里面有一串按时间编号的交接模板，其中20_42_transfer_note.docx显示大小为零字节；另有一张扫描索引，文件名指向MEDIA-CTRL-TEMP.pdf。对应纸质附件不在问题卡文件夹。

　　“媒体控制室。”林疏月说。

　　“只能证明文件名这样写。”许砚知说。

　　他们申请在旧电脑上生成目录树打印件。打印前，罗老师检查打印机缓存，确认不会自动保存文件内容。纸张吐出时，最后一页比预期多出一行隐藏目录：.appeal_queue。

　　目录名称是“异议队列”。创建时间在开放展示前两天，最后修改时间二十点五十九分，与摘要批注只差一分钟。它不在四个可见文件夹中，也没有出现在事故复盘材料里。

　　“能看属性吗？”陈以宁问。

　　授权只允许当前目录层级，不包含隐藏目录。陆行简没有现场扩大权限。他让罗老师记录发现，关闭电脑，另行申请。

　　沈砺川盯着那行目录名，第一次没有提出技术绕行。他把自己写在卡片上的第二个问题重新读了一遍：不能用未打开的文件替周闻证明清白。

　　隐藏目录可能是学生申诉，也可能是测试队列；可能被忽略，也可能从未启用。它的名字很有诱惑力，诱惑他们把原始摘要里被删掉的申诉入口直接填进现实。

　　许砚知说：“先查设计文档里有没有这个模块。”

　　“嗯。”

　　材料组退出旧电脑，转而核对问题卡和交接表。未采用问题中，有五张背面写着“转入appeal queue”。其中三张与真实身份展示有关，两张要求查看个人标签来源。处理日期都是开放展示前一天，没有后续结果。

　　这使隐藏目录不再只是一个漂亮名称。至少纸质记录证明，有问题被承诺转入某个异议流程。

　　林疏月问陆行简：“这些学生后来收到回复了吗？”

　　陆行简无法确认。问题卡没有姓名，只有随机编号；匿名设计保护了提问者，却也让后来的人难以确认谁被遗漏。

　　五张“转入appeal queue”的问题卡看似匿名，卡面却保留提交时段、活动场次和年级范围。林疏月尝试用公开开放日流程表交叉核对，很快发现其中一张只有一个可能的提问者：那场讲解当时只有一名大二学生参加。

　　她立刻停下，没有继续搜名字。

　　“匿名编号也可能被拼回个人。”她说。

　　许砚知把刚建立的核验任务改了一遍：不再逐卡确认提问者是否收到回复，而是统计异议流程总数、处理状态和是否存在系统回执。只要能证明五项问题有没有进入流程，就不需要知道具体是谁。

　　陆行简同意，却提醒他们另一面：“如果完全不联系本人，也可能永远不知道伤害是否发生。”

　　这个矛盾不能靠一句原则解决。材料组邀请学院数据保护老师远程加入，讨论可否由一个与调查无关的中立部门代发通知：告知当年参加者，学院正在核查旧异议流程；愿意提供信息的人可主动联系，不要求任何人公开身份。

　　数据保护老师提出三个条件：通知不能写“你可能被错误标记”，避免制造新恐慌；回复渠道不得由原项目人员管理；收到的个人陈述不能自动进入寒灯技术材料，需要本人二次授权。

　　四个人把条件写进申请。这个方案比直接从编号反查人慢很多，也可能收不到任何回应。但它不再为了填补记录空白，把当年提出问题的人重新暴露一次。

　　沈砺川看着那五张卡片：“如果周闻当年就是想保护他们，我们现在反查姓名，反而把保护拆了。”

　　“也不能替周闻决定他们都想保持匿名。”许砚知说，“所以给选择，不替他们选。”

　　这句话同时约束两种冲动：不能因为调查需要强迫别人出现，也不能因为担心伤害而永远不让别人知道自己有发言机会。

　　远程会议结束后，数据保护老师要求他们销毁刚才用于演示重新识别风险的临时匹配表。林疏月当场删除电子草稿，陈以宁确认回收站与自动备份都已清空。许砚知在操作记录里写“未形成个人名单”，沈砺川负责检查共享屏幕录像没有拍到推测姓名。

　　一次没有得到新名字的讨论，仍然改变了调查路径。科研问题不只决定要寻找什么，也决定哪些东西即使能找到，也不应该由他们直接拿走。

　　他们建立新的核验任务：查appeal queue设计说明；核对五张卡片编号是否出现在内部日志；在不反向识别学生的前提下确认流程是否执行。

　　到这里，今天写在卡片上的第一个问题已经有了部分答案：failure_log是未改变的旧目录，问题卡确实记录了被删掉的边界，角色交接表证明LQ_admin不能直接等同某个人。第二个问题仍不能回答：谁在二十点四十二分接走角色，为什么删除申诉表述，又是谁替换了录像。

　　离开A401前，陆行简让每个人把晨间卡片翻到背面，写“因为今天的新事实，问题发生了什么变化”。

　　林疏月写：从“谁控制叙事”变成“哪些问题被承诺处理却没有结果”。陈以宁写：从“角色属于谁”变成“角色如何在没有签收时继续有效”。

　　沈砺川写：从“failure_log能否证明周闻无责”变成“谁都不能在没打开以前使用它，包括我”。

　　许砚知写：从“如何恢复被隐藏的错误”变成“恢复时怎样不再次暴露提出异议的人”。

　　卡片收回文件夹，不作为旧案原件，只进入本次检查记录。

　　午后，他们去实验中心补办材料交接。四人组第一次按新表格接收问题卡扫描件：页数、装订状态、账户属性、实际操作者、见证人全部填写。沈砺川负责扫描，系统默认账户仍显示SLC，他没有因为不舒服要求改名；许砚知在账户属性栏清楚标注“共享设备默认账户，与实际操作者分离”。

　　扫描完成后，许砚知把实际操作者栏给沈砺川确认。沈砺川看完签字，没有问他是否相信。

　　固定搭档到这一刻才有了具体含义：两个人可以站在不同判断起点，却不会把对方省略成账户、缩写或附注。

　　下午五点，信息办对LQ角色族完成紧急冻结，并找到了历史动态授权服务的说明。角色令牌可以通过“岗位交接链”逐级转发：原持有人创建临时授权，接收岗位再次转发，只要总有效期未到，后续操作仍记在同一角色名下。

　　这解释了为什么纸质表只写赵嵩签收，二十点四十二分以后却可能由别人继续操作。要查真实链条，必须找到每次转发产生的短令牌编号。

　　信息办还提供了一份动态授权的模拟链条。系统管理员在隔离环境里创建角色T0，转给岗位T1，T1再转给T2。普通审计页面只显示角色名和最后一次操作，只有底层签发记录保留每段短令牌的父子关系。

　　沈砺川看完流程，问：“如果中间某一段没有写接收人，后面还能继续转？”

　　“技术上能。”管理员说，“系统只验证令牌，不验证纸质表是否填完。”

　　“那纸质交接的空白不会阻止权限流动。”

　　“对。制度要求和技术执行脱开了。”

　　许砚知要求把模拟中的每段权限改成不同范围。结果显示，子令牌不能超过父令牌原有权限，却可以在原范围内继续缩短或转发。因此LQ-4若完成摘要批注、队列修改和视频相关操作，其父令牌至少同时拥有内容编辑、异议管理和媒体导出权限。

　　赵嵩签收的第三时段令牌在纸面用途上只写“技术联调”。按规定，它不该包含内容编辑和异议管理。但旧系统的角色粒度过粗，LQ_admin一旦签发，三项权限默认全部存在。

　　这使“用途写得很窄”无法证明“技术上只能做很窄的事”。赵嵩可能只打算联调，也可能明知令牌范围更大；接收LQ-4的人则确实获得了超出纸面用途的能力。

　　沈砺川在分析页上画出四段链条，没有把最后一个节点画成人形，只画成空框。许砚知检查后，在每条箭头旁标注“生成”“转发”或“调用”，避免一个箭头同时代表三种行为。

　　“接下来得查每一次传递怎么影响后面。”沈砺川说。

　　“先查父子令牌。”

　　“你看，还是链。”

　　许砚知把笔递给他：“链不是答案。链上每一步才是。”

　　离开信息办前，沈砺川把画着空框的链条折进文件夹，没有往里面填任何名字。许砚知重新核对四张晨间问题卡，确认“今天不能回答”的内容没有被新线索悄悄改写。下一步要追的是权限如何逐段传递，而不是先找一个人塞进空框。

　　四张问题卡没有收进任何人的私人笔记，而是由陈以宁登记后封入材料组复检袋。谁以后想扩大调查范围，都必须先回看今天写下的限制，并说明为什么新证据足以改变它。这样做会拖慢速度，却能避免问题在压力下悄悄变形。

　　每一次改变，都必须留下完整理由和时间。

　　A401的handover目录中恰好有一份文件名清单：LQ-1转给LQ-2，LQ-2转给LQ-3，最后还有一个没有接收岗位的LQ-4。前三段都有时间，第四段只有生成记录，没有签收。

　　LQ-4生成于二十点四十一分五十九秒。

　　它的有效期四十四分钟，正好覆盖摘要批注、申诉队列修改与录像替换。

　　接收岗位为空，不代表没有人使用。日志显示LQ-4至少完成三次操作，可纸面链条在它出现以前就断了。

　　许砚知把接下来需要回答的问题写进申请：LQ-4如何从赵嵩的签收权限生成，又经过哪些终端调用。

　　沈砺川在旁边补了一句：查链条，不先填名字。

　　两人分别签字。申请送出后，A401重新上锁，问题卡、交接表和旧电脑再次封存。

　　门上新封条贴平时，许砚知注意到白板那句残缺英文仍露在防尘布边缘：When the system does not know……

　　他们今天仍没补上后半句。

　　可至少已经学会，不用一个看似完整的答案去遮住空白。