卫越发来的时候是早上八点四十。
陆衍刚泡好咖啡，杯子还没端稳，手机就震了。是两条消息，隔了大概三秒：「跑完了」，然后是一个PDF的截图。
他先把咖啡放下，拿起手机。
截图是预处理结果的摘要页，两个模块：生产许可，共21份，检出3高置信度矛盾，9中置信度待核实；认证证书，共26份，检出2高置信度，11中置信度待核实。
一共47份。
陆衍在心里算了一下，102份文件里，生产许可和认证证书加起来47份，差不多是总量的46%。剩下那一半是合同类、客户资质类、检测报告类，这些他让卫越先放着，优先跑这两类是对的——新能源零配件公司，认证是供应链准入的硬条件，这里出问题影响最直接。
他给卫越回了一条：「先把认证证书那26份的原始报告发我。」
卫越：「等一下，我整理一遍发你。」
报告来的时候是九点出头。
陆衍坐到电脑前，打开文件，从第一页开始翻。
生产许可那21份他先跳过，认证证书是这次的核心。26份，按产品类别分了三组：充电模组类11份，连接器类9份，电控类6份。每份证书右上角有一个彩色标签——绿色是没有问题，黄色是中置信度待核实，红色是高置信度矛盾。
他从头往下翻，翻到第七页的时候注意到了一件事。
同一个认证机构的名字，出现了两次。翻到第十一页，又出现了一次。再往后，第十四页，第十七页，第二十一页，第二十四页。
「恒远检测技术有限公司」，在26份证书里，出现了7次。
陆衍停下来，在本子上写下这个名字，然后在旁边标了个数字：7/26。
认证证书上的认证机构通常不是重点，工具扫的是证书本身的字段——有效期、版本号、认证范围、被认证方主体名称这些。认证机构那一栏只要填了，就过，工具不会去查那家机构是不是靠谱的。
但7/26——一家机构覆盖了将近三成的证书，这个集中度有点高。
陆衍没有立刻发消息给卫越，先打开搜索引擎，输入「恒远检测技术有限公司」。
出来的结果前几条是该公司的官网和工商信息，往下翻了两页，第三页有一条不起眼的链接——一个行业论坛的帖子，发布日期是三年前，标题是「关于近期部分检测机构数据问题的通报整理」。
他点进去。
帖子是行业从业者汇总的，列了五家机构，来源是各省市市场监督管理局和认证监督管理委员会陆续发布的整改通知或警示公告，不是集中发布的，分散在各地各部门，所以在行业里传播得很低调，很多人没有注意到。
恒远检测技术有限公司在名单里，第三条，附了一个指向原始公告的链接。
陆衍点进去，原始链接已经失效，页面找不到了。他在另一个窗口搜了一下，换了几个关键词，最后在一个地方标准化信息平台的缓存页里找到了摘要：通报时间三年前，指出该公司在特定批次的电控类产品认证中「检测数据存在异常，部分数值超出合理波动范围，核查结论不完整」，要求限期整改。
陆衍在本子上写下：检测数据异常，电控类，三年前，整改通知。
他把这条信息放在那里，喝了一口已经不太热的咖啡，想了一会儿。
打给卫越。
卫越接得很快，「看过报告了？」
「看了，」陆衍说，「我有个发现，不是工具扫出来的，是我自己查的。」
「什么？」
「认证证书里有7份的签发机构是「恒远检测技术有限公司」，」陆衍说，「这家机构三年前被通报过，检测数据存在异常，有整改记录，但当时没什么人知道，公告比较分散，我是翻了好几页才找到的。」
电话那头沉默了几秒。
「这……我们要不要放进报告里？」卫越问。
「我不知道，」陆衍说，「所以打给你商量。」
「我觉得不放，」卫越说，语气很直接，「我们是工具，不是调查方，工具的边界是文件字段，不是文件背后的机构背景。你这个是人工搜出来的，不是工具的输出，放进去就等于我们在替客户做背景调查，这不是青舟的定位。」
陆衍没有立刻回答。
「而且，」卫越继续，「这条信息的来源是三年前的通报，已经有整改，不知道现在机构状态怎么样，如果我们放进去，客户问「你们怎么知道的、这家机构现在还有没有问题」，我们怎么说？」
「你说的这两个问题是两件事，」陆衍说，「第一个是信息的来源和可靠性，第二个是我们要不要放进报告。你在把两件事混在一起说。」
「……那你拆开来说。」
「信息来源是公开记录，政府部门的整改通知，虽然入口分散，但是公开的，」陆衍说，「可靠性是有的，问题是相关性和我们的角色。」
他停了一下，想了想怎么说清楚。
「认证机构的可信度是证书有效性的前提，」他说，「你在看一份证书的时候，你假设的是那张证书背后的认证过程是真实的。如果认证机构本身在某个时间段有数据造假的记录，那那张证书上标注的合格，究竟是什么意思，这个问题工具没有能力回答，但客户需要知道这个问题存在。」
「但这是一个很大的前提，」卫越说，「我们没有办法核实那个通报针对的批次和这次的7份证书之间有没有交集，可能完全没有，可能恒远的电控类和这家公司的产品完全不同，我们凭什么说这7份证书有问题？」
「我没有说这7份证书有问题，」陆衍说，「我说的是客户需要知道有这个背景，让他们自己判断。」
「那怎么放？」卫越问，「你说「我人工搜到这家机构有通报记录，供参考」——这不是报告里应该有的东西，这更像一封邮件附言。」
陆衍没有说话。
卫越的话不是没有道理。工具报告的格式是固定的：高置信度矛盾、中置信度待核实、工具不覆盖说明。这三个部分都是基于文件字段扫描的结果。如果加进去一条「人工发现的机构背景信息」，格式就乱了，而且会引出一个很难回答的问题：这条信息是谁的判断，是工具的判断，还是人的判断，可靠性是什么？
但不放进去，就等于默认客户不需要知道这件事。
「我先想想，」陆衍说，「今天不急着发报告，给我一下午。」
「好，」卫越说，「另外，那7份证书工具本身有没有扫出矛盾？」
「我还没细看，等一下。」
他挂了电话，重新翻开那26份证书的报告，找到标了恒远检测技术有限公司的那7份。
黄色3份，绿色4份，没有红色。
3份中置信度的问题分别是：认证有效期表述格式不统一，证书序号编码格式与发证机构官方格式有轻微差异，一份证书的认证范围描述与附件品类清单有细微出入。都是工具正常会扫出的那种，和认证机构是哪家没有关系。
也就是说，工具本身没有发现什么特别的问题，是他人工搜出来的那条背景信息让这7份证书变得需要再看一遍。
陆衍在本子上圈了那行字：工具无异常，背景有记录。
然后在旁边写：放不放，放哪里，用什么格式。
他在椅子上坐了一会儿，没有开始工作，就这样坐着。
这件事让他不舒服的地方在于：如果他今天没有多搜那几页，这条信息就不存在于青舟的报告里，客户不会知道，可能什么都不会发生，也可能出了问题之后回头看觉得当初应该查一下。
但他搜了，所以他知道了，所以这个问题现在存在。
卫越说的是对的——青舟是工具，不是调查方，工具的边界是文件字段。这条边界保护的不只是青舟的定位，也保护的是报告的可信度：只要报告里的东西都是工具扫出来的，客户就知道那些东西的来源和可靠性，可以评估。一旦掺进来人工判断的信息，报告的性质就变了，变成一半是工具结果、一半是人的判断，这两者的可信度不一样，但格式上看不出区别。
但他也知道：认证机构的背景是文件有效性的前提，这个前提工具不检查，但不代表它不重要。
他不确定这道线该怎么划。
窗外有一辆外卖车骑过去，车铃响了两声，然后又没有声音了。
陆衍把本子合上，起身去倒了杯水。
下午再想。