第一百三十章 存档
周一早上，乔木把一封邮件截图发给陆衍：「你看一下这个。」
发件人是柯庭项目协调员，抄送给项目团队全体，主题是「历史评审记录调阅请求确认」。正文说，公司收到外部合规核查的调阅申请，申请方是云帆航空工业技术合规组的韦东来，调阅范围是柯庭集团技术评估项目第一轮现场评估期间的全部访问日志及评审过程记录，对应日期是三年前那次。
陆衍看到「访问日志」四个字，把邮件又读了一遍。他不是在查评审结论对不对。他在查三年前那五个小时里，到底发生了什么。
「他们已经批了吗？」陆衍问。
「正在走流程，」乔木说，「协调员在问我们有没有异议。」
「没有，」他说，「正常配合。」
乔木把手机放下，转过来看他。「你知道那份记录里有什么。」
「知道，」他说，「文件访问日志。」
乔木问：「有什么问题吗？」
「不知道，」他说，「得看系统记录到什么粒度。」
当天下午，他切到豆包界面，把那封邮件的内容说了一遍。
「柯庭内部的文档系统，」豆包停了两秒，「如果是标准企业系统，访问日志会记录什么？」
「文件名，打开时间，操作用户，」豆包说，「部分系统还会记录每个文档的停留时长和最后活跃时间。」
「问题在哪里？」陆衍说。
「停留时长，」豆包说，「人工阅读一份文件，哪怕只是翻一遍，平均停留时间在两分钟以上。四十七个文件夹，两千多页，即使只看重要章节，总停留时间应该在三到四个小时之间，分散到各个文件。」
「如果是API批量调用，」陆衍接过去说。
「调用时间可能在秒级，」豆包说，「或者低于一分钟。如果系统记录了这个粒度，分布会和正常阅读完全不同。」
他没有说话。
豆包问：「工具调用文件，是逐份打开还是批量传入？」
「工具那边是批量传入，」他说，「然后建索引。」
豆包说：「访问记录里，可能会有一段时间内密集打开大量文件的记录，停留时间极短。这个模式，没有任何人工阅读行为是这样的。」
他把这件事在脑子里转了一圈，重新回到豆包界面。
「那个系统，」他说，「三年前，访问日志能细到单文件停留时长吗？」
「这取决于系统版本和具体配置，」豆包说，「如果是某些企业系统的标准版，只记录打开和关闭事件，没有停留时长。但如果是带权限审计功能的版本，可能记录得更细。」
「有没有办法确认？」
「有，」豆包说，「柯庭协调员的邮件里提到了系统名称和记录范围吗？」
「没有，」他说，「只说是全部访问日志。」
「你现在不知道，」豆包说，「韦东来也不知道。他要等拿到记录以后才能判断里面有什么。」
「他知道要看这个，」陆衍说。「已经想到方向了。」
「对，」豆包说，「他现在的逻辑是：五小时读两千页，访问记录里一定有异常。具体异常在哪里，等拿到记录再说。」
屋里安静了一会儿。
「我现在，」陆衍说，「需要做什么？」
「等，」豆包说，「你现在能做的，只有等。记录不在你这里，你无法干预它会显示什么。」
「如果记录里有批量访问的痕迹，」他说，「然后呢？」
「你需要一个解释，」豆包说，「说明那些文件为什么被短时间集中调用，并且解释必须和申报的工具功能对得上。」
「申报里写的是，」他回忆，「辅助分析，文档索引，参考检索。」
「文档索引，」豆包说，「可以解释批量打开。建索引需要依次读取文件元数据和目录结构，这会产生密集的短时访问。」
「能用吗？」
「能用，但有个前提，」豆包说，「建索引只需要文件目录结构，不读正文。如果记录显示正文内容也被密集访问，这个解释就不够了。」
他没有再说话。
等了两分钟，把豆包窗口最小化，打开三年前的申报档案。
「辅助分析，文档索引，参考检索」，三个词现在看起来比当时写的时候要细。他用黄色标出「文档索引」，在旁边备注：批量元数据读取，短时密集，合理。
然后用红色标出「参考检索」。如果记录里有正文内容的访问，这里解释不了。
他把文件另存，关上了窗口。
周二上午，乔木发消息：「柯庭那边确认了，三天内给韦东来。」
他回了「收到」。
下午快下班时，系统通知弹出来：
「柯庭集团项目历史访问记录已向申请方发送，归档编号KC-2021-AR-0309。」
他盯着那行字看了几秒，存进文件夹，然后关上了电脑。
记录在路上了。
他不知道里面有什么。韦东来会知道。
周四上午九点零三分，豆包发来一条消息。
「韦东来刚刚向柯庭提交了第二份申请。」
「调阅范围：现场评估期间的终端操作日志和网络请求记录。」
陆衍把那两行字看完，手指压住桌沿。
访问日志他没法控制。终端操作日志，那是另一个粒度。