PHẦN 11

Mai Quỳnh Dao không bắt đầu bằng câu hỏi ai đã làm. Cô đặt ba liên phiếu tải vào ba khay riêng, mỗi khay có ảnh, số tiếp nhận và người đang giữ.

Liên có dấu kho được đối chiếu với sổ bàn giao. Liên mang chữ ký Tuệ An lấy từ túi hồ sơ nhà hát. Liên còn lại là bản làm việc bộ phận kỹ thuật gửi trong ngày sự cố. Không liên nào được gọi là bản gốc chỉ vì chữ ký rõ hơn.

Minh Châu phục hồi metadata tệp quét. Tệp được tạo sau khi bản có dấu kho đi qua hộp thư điều phối, nhưng trước khi Tuệ An ký bản làm việc. Hash tệp đính kèm khớp bản lưu trong kho thư điện tử. Chuỗi này chỉ chứng minh các tệp từng đi qua đâu, không cho biết ai cầm giấy, đọc nội dung hay chọn phiên bản.

Kho lưu trữ của công đoàn cung cấp nhật ký cấp phiên bản. Biểu mẫu đã được mở, tạo bản nháp, thay tổng tải rồi phát hành lại. Hai tài khoản xuất hiện ở hai bước: một có quyền chỉnh sửa bảng, một có quyền phát hành hồ sơ tổng duyệt.

“Vậy ta đã có người,” Tấn Lộc nói.

“Ta có hai định danh tài khoản và hai quyền hệ thống,” Quỳnh Dao đáp. “Chưa có người sử dụng thực tế hay hành động ngoài những gì nhật ký ghi.”

Minh Châu kiểm tra log xác thực. Tài khoản chỉnh sửa đăng nhập trên máy trạm phòng điều phối; tài khoản phát hành dùng thiết bị đầu cuối ở phòng kỹ thuật. Dữ liệu không có camera, không ghi thẻ vật lý của người ngồi trước máy và không loại trừ việc dùng tài khoản thay mặt.

Đức Khải đặt sổ gốc cạnh bản in. “Nhật ký ghi thay tổng tải, nhưng không nói vì phát hiện LM-13 đã di chuyển hay vì sửa lỗi tính toán.”

“Bản nào được phát hành?” Tuệ An hỏi.

“Phiên bản sau thay đổi. Lý do không nằm trong nhật ký.”

Sổ kho ghi LM-13 ở rail mười ba trong lần kiểm kê trước tổng duyệt. Ba ngày sau có phiếu “đưa ra khu sơn”, nhưng ô người nhận chỉ mang ký hiệu ca.

Camera hành lang ghi một xe đẩy qua cửa kho cuối ca. Góc quay không thấy mặt người đẩy hay mặt khối, cũng không chứng minh xe đến khu sơn. Biên bản bảo trì xác nhận lớp sơn mới, nhưng người ký chỉ xác nhận công việc theo lệnh sản xuất.

“Có khoảng trống ở đây,” Tuệ An nói.

“Có nhiều khoảng trống,” Đức Khải sửa. Anh dự họp với tư cách chuyên gia, vẫn giữ sổ riêng và quyền không ký phần kết luận vượt quá quan sát.

Quỳnh Dao lập ma trận gồm quyền chỉnh sửa, quyền phát hành, quyền điều phối sản xuất và hành động vật lý. Hai tài khoản khớp hai quyền đầu. Văn bản phân quyền đặt quyền điều phối dưới Hạo Nhiên trong ca đó. Không nguồn nào chứng minh người dùng tài khoản là người giữ chức danh, có mặt trong phòng hay trực tiếp di chuyển LM-13.

Một email có chữ ký số yêu cầu cập nhật bảng tải sau khi “điều chỉnh cấu hình phục vụ tổng duyệt”. Chữ ký chứng minh văn bản đi qua chứng thư hợp lệ. Nhật ký máy chủ nối văn bản với tài khoản phát hành; bản phân công ca nối quyền của tài khoản ấy với Hạo Nhiên trong khung giờ đó.

Ba lớp tạo thành chuỗi quyền và phát hành, không phải lời thú nhận. Chúng không chứng minh Hạo Nhiên trực tiếp đăng nhập, ra lệnh đặt LM-13 ngoài rail hay biết khối lượng thực tế.

Hạo Nhiên được mời giải trình cùng luật sư và được xem nguồn. Ông không bị gọi là thủ phạm. Ông nói tài khoản thuộc bộ phận mình nhưng mật khẩu được quản lý theo ca; ông đã duyệt phạm vi tổng duyệt, không nhớ xem từng khối đối trọng. Phát biểu được ghi như claim riêng.

“Ông có xác nhận văn bản cập nhật cấu hình do ông soạn không?” Quỳnh Dao hỏi.

“Không. Tôi xác nhận chứng thư tổ chức của bộ phận.”

“Ông có phê duyệt việc đưa LM-13 khỏi rail không?”

“Không có tài liệu nào nói việc đó.”

Tuệ An không ép ông nhận hay phủ nhận hành động mà provenance chưa nối được.

Sau buổi giải trình, một biên bản giao việc từ nhà thầu bảo trì được mở niêm phong. Biên bản ghi người điều phối ca yêu cầu “lấy khối LM-13 ra để sơn”, nhưng phần tiếp nhận vật lý bỏ trống. Tệp có thời điểm, hash và chữ ký nhà thầu. Người điều phối chỉ được nêu bằng chức danh.

Đặt cạnh camera và sổ kho, tài liệu nối được ba điều: có yêu cầu công việc, LM-13 được đưa khỏi vị trí để sơn, và bảng tải sau đó vẫn tính LM-13 trong tổng đối trọng. Nó chưa nối người đẩy xe với người dùng tài khoản, người soạn văn bản hay người phê duyệt.

“Cơ chế đã rõ hơn,” Đức Khải nói. “Khoảng cách giữa thay đổi vật lý và cập nhật hồ sơ khiến bảng vẫn tính khối đã rời rail. Trách nhiệm phải tách theo hành động.”

Quỳnh Dao soạn báo cáo có phụ lục nguồn. Bản chính xác nhận LM-13 đã được đưa khỏi rail để sơn; hồ sơ phát hành sau đó vẫn tính khối; sự mất cân bằng phù hợp mô hình kiểm thử nếu khối không được đặt lại trước vận hành. Phụ lục phân biệt chủ tài khoản, người có quyền phát hành, người có quyền điều phối và người chỉ xác nhận quan sát. Không dòng nào đồng nhất tài khoản với con người.

Báo cáo ghi rõ những điều chưa biết: người di chuyển khối, người quyết định không cập nhật bảng, người dùng tài khoản chỉnh sửa và người phê duyệt cuối cùng có thể khác nhau. Claim của Hạo Nhiên được tách khỏi observation và original record.

Khi báo cáo đến hội đồng an toàn, lệnh tạm giữ giấy phép của Tuệ An được xem xét lại. Hội đồng rút mệnh đề quy lỗi cá nhân khỏi quyết định và khôi phục quyền làm việc có giám sát trong lúc điều tra tiếp tục.

Tuệ An không nhận lời xin lỗi riêng. Cô yêu cầu quyết định được công khai cùng giới hạn chứng cứ.

“Cô vẫn muốn ghi cả phần chưa biết?” một thành viên hỏi.

“Nếu chỉ công bố người có quyền, công chúng sẽ tưởng đã biết người thao tác. Nếu chỉ công bố cơ chế, họ sẽ tưởng đã biết ý định. Phần chưa biết ngăn hai lỗi đó.”

Cuối ngày, báo cáo sơ bộ quy lỗi Tuệ An bị rút khỏi cổng thông tin. Hội đồng yêu cầu điều tra độc lập chuỗi thay đổi vật thể-hồ sơ, còn nhà hát phải thông báo kết luận ban đầu không đủ căn cứ.

Tấn Lộc được khôi phục hợp đồng học việc tạm thời, nhưng cậu hỏi vì sao những người khiến cậu mất việc chỉ phải sửa một thông báo.

“Đảo chiều công khai không xóa hậu quả,” Tuệ An nói. “Nó chỉ buộc hồ sơ ngừng kể một câu chuyện sai như thể đã kết thúc.”

Trong phụ lục cuối, Quỳnh Dao ghi riêng: cơ chế mất cân bằng được hỗ trợ bởi vật đo, hồ sơ và tái dựng độc lập; actor và approver cụ thể vẫn cần thêm provenance, phỏng vấn đối chất và quy trình chính thức.

Câu chuyện không kết thúc bằng một cái tên bị còng tay. Nó kết thúc bằng việc quyền, hành động và trách nhiệm được tách ra trên cùng một mặt bàn, để khoảng trống không thể bị lấp bằng một tài khoản hoặc chữ ký.