第四十一章：调度原因(2/3)

首发：~第四十一章：调度原因

第三方证明函还不够，因为它只告诉你“走了”，没有告诉你“为什么走”。但证明函已经把供应商的退路堵住：你不能否认路径存在，也不能否认路径由第三方网络承载。下一步你必须解释“策略”。

策略不是算法细节，但策略一定有“可配置项”。可配置项就是人为边界。

林昼回梁组长：“证明函很好，下一步锁定‘DynamicRoutingPolicy’的配置项：

1）是否启用APAC优先级？

2）是否启用地理围栏（仅境内）？若未启用，为什么？

3）是否存在故障回退策略，导致临时选择APAC节点？若存在，故障证据是什么（当日节点故障告警摘要）？

4）是否存在成本优化策略，把部分邮件分流到APAC节点？若存在，合规评估依据是什么？

这些问题不需要算法，只需要配置与事件摘要。”

梁组长回：“监管会按这个问。”

---

下午一点四十，第三方平台终于提交了“调度记录保全确认函”：确认已对涉及该Message-ID时间窗口（19:00-20:00）的节点调度事件记录实施延长保全，保全期限暂定180天，可按监管要求延长。同时，第三方表示将在24小时内出具“调度原因摘要”，但需供应商提供“路由策略配置快照”以核对当时的策略版本。

“策略配置快照”。又需要供应商。

林昼看到这里，反而冷静了。供应商越无法避免，就越会试图把关键材料握在手里。但现在监管已经介入，且第三方已保全。供应商即便拖，也拖不掉保全。拖不掉保全，就只能在“快照内容”上做文章——给一个经过删减的快照。

删减可以，但删减必须可解释。删减到不剩配置项，监管不会接受。

林昼对梁组长说：“请监管明确：策略配置快照可脱敏，但必须包含配置项是否启用与参数范围（例如区域优先级列表、地理围栏开关、节点排除列表是否为空）。不需要具体节点清单。”

梁组长回：“监管会写明‘最小必要字段’。”

---

下午三点二十，供应商提交了一份所谓“路由策略配置快照摘要”（盖章版），内容像被刀削过：

*路由策略：DynamicRoutingPolicyv2.7

*区域优先级：启用（优先级序列：CN>APAC>Global）

*地理围栏：未启用（原因：业务连续性要求）

*节点排除名单：空

*故障回退：启用（触发条件：节点不可达/延迟超阈）

*成本优化：未启用

*当日告警：无重大故障告警（摘要）

林昼看完这份“摘要快照”，心里第一次出现一种明确的“抓手感”。

区域优先级序列：CN>APAC>Global。

这意味着APAC不是偶然，它是被写进优先级序列的第二位。只要CN路径出现任何“质量不佳”或“延迟超阈”，就会优先跳到APAC，而不是继续坚持境内。更关键的是地理围栏未启用，原因是“业务连续性要求”。这几乎等同于承认：他们为了连续性，放弃了路径地域约束。

在普通互联网场景，这可能合理。

在医疗关键系统变更通知链路中，这就是重大合规风险点。因为你无法保证关键通知不会跨境。你甚至把跨境作为默认回退路径之一。

此外，“当日无重大故障告警”这一句也很敏感：如果没有重大故障告警，那19:20邮件为何不走CN而走APAC？要么是CN路径出现轻微但足以触发阈值的质量问题（不算重大故障），要么是策略阈值设置太敏感，导致轻微波动就跨区；要么是CN节点在某一时段负载高；要么是某条链路被临时限流。无论哪一种，都需要调度记录来还原：当时的选择依据是什么？延迟值是多少？不可达还是超阈？负载是多少？

“无重大告警”不能解释“为何跨区”。它只能说明他们在语言上把问题降级。

林昼回梁组长：“这份快照本身已构成重大事实：地理围栏未启用，且APAC为第二优先级。下一步必须拿到第三方‘调度原因摘要’：在19:20该邮件调度时，CN路径触发了哪一项条件（不可达/延迟超阈/负载超阈）？对应指标值是多少？至少给区间或等级（High/Medium）。同时要求供应商解释：为何医疗关键系统不启用地理围栏？其内部合规评估编号是什么？谁批准把APAC作为回退？”

梁组长回：“监管会问‘谁批准’。”

林昼补：“注意表述：不是问具体个人姓名，可问审批角色与变更单关联。比如：路由策略v2.7的生效时间、变更单号、审批角色。让责任落在流程。”

梁组长回：“明白。”

---

傍晚五点四十，第三方平台的“调度原因摘要”终于来了（签章版，发给监管）。梁组长转述摘要核心内容给林昼：

*19:20邮件在CN区域尝试路由失败一次，原因：CN-relay节点在当时出现“LatencyDegradationLevel2”（延迟劣化二级），触发“延迟超阈回退”；

*依据动态路由策略v2.7，选择次优区域APAC-edge节点；