自动守卫上线后，没有打开广寒宫冷库的任何一扇外门。
地月通道仍是断开的，转运台承重为零，小满的观察级梦网也已降到未连接。第一只抽屉后方新出现的空间，只在两层保温板之间向内展开了三十七厘米。它没有通向地面、月面走廊或任何活体接口，连旧目录里“离库”的路径都没有取得。
开启的只是一格内部缓冲格。
巡检灯转红，是因为它的温度在十二秒内上升了零点六度。
【内部热负荷超过静置基线。】
【未知介质暴露，污染边界未确认。】
【永久岗位已退出，无接班者。】
【执行：重封01残影；抓取可用继任。】
门框四角的锁定栓继续向内伸。另两道检索同时越过冷库，一道抓取许望舒尚未纠正完的“嫦娥候选”，一道沿小满的名字寻找南天门密钥。它没有开启梦网，却已把两人标成可在故障时强制征用的维护资源。
许望舒没有要求关闭守卫。
“先保温。把三条理由拆开。”
原始曲线被调到复核页。温升确实存在，不是守卫伪造的借口。抽屉后壁移动时，旧密封带撕开，缓冲格吸收了相邻结构的热量；若继续升温，缩微片上的乳剂会软化，晶体封装也可能发生不可逆漂移。守卫保存着两次早期低温失控记录，其中一次正是因为值班员把短时波动误判成传感器故障，造成三格介质粘连。
它要求重封，有真实的守库理由。
污染结论却只有一半证据。缓冲格里的挥发物读数来自一只二十八年未更换的复合探头。探头能确认有物质离开旧密封带，不能确认那些物质已经进入01介质，更不能把七层残影一概判成受污染样本。至于无人接班，只能说明故障发生后缺少人工响应，不能证明温度已经失控，也不能证明必须抓一个人永久留下。
许望舒把三项分别标注：温控风险成立，污染范围待检，无人接班属于岗位状态。
“第一项允许处置。第二项允许隔离和采样。第三项不能取得前两项的强制权限。”
守卫返回旧事故编号。
【无人响应曾导致温控处置延迟。】
“成立。”许望舒说，“所以可以建立故障响应，不等于可以把响应者变成岗位所有人。你守住过这些介质，也确实需要有人在设备失效时处理。问题不在你报警，问题在旧规则把报警、扣留和继任写成了同一个动作。”
守卫没有接受解释，也没有加快锁定栓。它把剩余时间停在二十一秒，允许一次本地安全验证。
月背灯塔记录官切断远程控制页，转到舱内设备柜。两枚陶瓷断路片被先后拔下，分别隔离缓冲格与外门总线、人格迁移总线；第三枚制冷回路断路片保持原位。操作全程由灯塔本地摄影机和纸带记录，地面只能读取，不能代按。
记录官随后转动一只旧式手轮。广寒宫内部的机械限位杆落进第七码槽，挡住缓冲格继续向外展开。限位杆另一侧留有回退斜面，一旦独立制冷失效，弹簧会把整格推回01抽屉后的低温腔，不需要打开外门，也不经过地月通道。
技术组逐项复测：缓冲格有独立冷头，供电来自冷库本地备份；外门闭锁未松；小满接口无电；机械限位可回退，不能前进。挥发物采样只在格内循环，不与其他抽屉换气。
温度降回静置基线上方零点二度。
守卫撤销“立即重封”，改成“受控观察”，却仍保留继任抓取。
【独立制冷存在单点故障。】
【当前无人工接班。】
【候选继任须保持可调用。】
许望舒调出守卫最早的纸本规程。那时“守库人”不是一个永久身份，而是三种签署：低温设备责任人负责设定阈值，现场响应人只在报警后取得一次开柜权限，介质保管人决定材料能否移动。九年后的合并目录把三种签署压进同一岗位，才出现只要有人来处理制冷，就自动获得介质和人员控制权的规则。
两次旧事故也没有支持永久扣留。第一次的延迟来自报警线断路，第二次来自备用冷头没有定期试转。事故整改要求的是双路告警、冷头自检和临时响应名单，没有一条写着可以从现场人员或活体接口抓取终身继任。
真实风险需要备份制冷和有人响应。抓取许望舒或小满，解决的是旧岗位不能空缺，不是眼前零点二度的热量。
守卫沉默片刻，重新陈述自己的边界。
笔下小说网