他对报告里一处表述提出异议。初稿写“未识别字段变化”，可聊天记录证明他识别并提醒过，只是接受了临时方案。我们把它改成“已识别风险，未设置停止条件与覆盖测试”。两个句子都指向失误，后一个才是他真正做错的事。复盘不是为了让结论更重，是为了让它能被下一次使用。

新的上线门把“文件成功”改成四个独立结果：字段按稳定标识读取；新增与变更范围各有真实测试样本；应发编码、实拣编码和回传编码一致；异常时能暂停并回滚。每一项记录样本、版本、执行人和时间，不能再用同一个绿色图标盖住。

小主，

区域仓恢复前，我们先跑新增版次，再跑旧版次和退件回仓。为了证明修复没有只照顾出错组合，还从未受影响的库存格抽样。测试订单单独标识，不进销售额，不给员工制造虚假业绩。

一百二十笔顾客处理也逐项对账。退款按实际支付原路处理，补发不算新订单，错件回收和可再售判断分开。无法拦截的快递费用、重新发货、取回、客服与仓库新增工时都进入事故成本；可能向仓储商追偿的部分在确认前不拿来冲减。

员工群的说明只写影响范围、顾客处理、原因和暂停条件，不公开个人绩效。有人追问为何没人被开除，人事给出处理原则和改进项；责任不靠把工资条和辞职信拿到群里公审。

第三天，区域仓恢复小流量。第一笔真实订单出库后，唐唯没有在群里发“系统已恢复”，她等顾客实际签收与订单信息一致，才把状态从灰色改成受控运行。

接口负责人站在屏幕前看了很久，说：“以前我最怕出错以后找不到人负责。现在人都找到了，反而没开掉谁。”

“不开人不等于没人负责。”我说，“把一个人开掉也不等于问题修了。”

事故报告最后一页没有“祭旗”两个字，只有尚未关闭的行动项和日期。我的那一项排在最上面：批准人培训与抽查，未完成。

财务把事故成本并入当月经营表时，市场组正准备发一张新海报。

海报上写：BETTY QUEEN年度销售即将突破八千万。

财务抬头看了看，问：“你们先查退款了吗？”