群控重新接管后的第七分钟，沈棠把主柜维护端口从旁路监视切回只读采集。梯组恢复运行，只是压住了眼前的停摆；旧接入盒、反接线、转接片和被改写的规则包，单独看都能被解释成施工遗留。要把它们连成证据，靠的是来源、时间和每一步接触记录。

“先保电子数据。”林砚说。

沈棠调出主控服务器维护页面：“运行日志滚动保留七天，维护会话原始报文本地缓存四十八小时，归档任务每十五分钟执行一次。远端只要用合法维护账户改策略、补写摘要或重新归档，现场能看到的东西就会变。”

工程部负责人翻出处置单：“产权归业主，物业受书面委托管理。今晚限制服务、隔离D路、提取现场运行数据都在授权范围内；厂家平台和远端服务器不在我们的权限里。”

“写清楚。”林砚说，“只保全现场设备和现场数据，不登录厂家账户，不碰平台后台，不改原始服务器。”

沈棠固定机柜位置、服务器序列号、系统时间与时间源、已登录账户、在线维护会话、日志策略、同步任务和外部备份链路。工作相机从开机起持续录像，镜头始终覆盖屏幕、机柜和在场人员。

随后，在工程部负责人、物业信息主管和宋驰见证下，她断开服务器通往外部自动备份的专用网络口。

不是拔总线，也不是关机。

断开前后，她核验主控与群控通信，确认切掉的是备份链路，不影响刚恢复的梯组。服务器仍在运行，数据仍会随系统工作变化；他们只能如实记录采集窗口、变化范围和未能冻结的部分。

“怎么取？”宋驰问。

“在线取证。”沈棠说，“用临时只读账户读取现有日志、配置快照、网关转储和维护会话缓存。每类数据都记采集窗口，采集前后核对目录和状态。发现变化就单列，不拿‘完整镜像’糊弄人。”

物业信息主管提供临时只读账号，权限仅限指定目录和系统配置，不能修改账户、任务或文件内容。

沈棠启用编号E-01的只写采集介质，记录序列号和启封时间。每完成一类文件，她立即生成SHA-256校验值并写入清单；同批数据复制到E-02工作副本，由物业信息主管留存。E-01只保存原始采集件，完成后封存，不再接入写入设备。

原始服务器不拆盘、不离线启动、不人为重启。对滚动审计记录，她先截取当前窗口，再补取结束前新增部分，分别标注时间。

林砚看向绝缘托盘里的旧接入盒。主控服务器和网关上方的灰线已拉到四个月外，旧盒上方却悬着一条短线：三小时十六分。

那是设备本身的故障倒计时，不是证据，更不说明它会毁掉什么。但它不能继续按发现时的状态耗下去。

“盒子先别封。”他对宋驰说，“测外壳温度和静态电压，只做外部检测，别开盖。”

宋驰戴上绝缘手套，测完皱眉：“有残余供电，温度比机房环境高。像内部备用电源还在工作。”

“可能触发保护，也可能只是正常维持。”沈棠说，“现在不能猜。”

苏晚晴立即补充业主授权范围，指定独立电子物证机构对旧盒安全保全：全程录像，拍摄封口和螺丝原始状态；由具备低压设备处置资质的技术员，在见证下记录内部电源连接和板卡状态，以绝缘工具隔离备用电源端，再用带记录功能的受控负载缓释。不得读取存储内容，不得刷写、复位或更换元件。

“这会不会被说成拆检？”工程部负责人问。

“会。”苏晚晴说，“所以授权、理由、资质、前后照片和异议栏都要齐。可任由备用电源继续工作，也是在改变证物状态。我们选风险更低、可复核的一种。”

工程部负责人的手机响了。他看见来电显示，脸色沉下去，走到门边接听。

“现场处置还没结束……不是扣留……书面意见发过来。”

几分钟后，他回来，把手机扣在工作台上。

“恒达维保的区域负责人要求立即回收旧接入盒、反接线和转接片。他们说这些属于厂家维保体系内的故障件，继续留在现场会影响保修认定。明天不交接，就发函说我们非授权拆检。”

宋驰看向托盘：“D路隔离有处置单，拆除过程有录像。旧盒没重新上电、没开盖、没解体，螺丝都没动。”

“他们说从柜内取出，就已经脱离封闭管理。”

林砚隔着防护罩看那段反接线。断口、取下位置、时间和在场人员都已记录；旧盒外壳的积灰、固定孔位磨痕仍保持发现时的样子。

“他们可以主张回收。”林砚说，“但回收不等于立刻交回恒达。物权、管理权和保管权不是一回事。现在谁都不能先把它带走。”

“那保修怎么办？”

“保修争议可以留。如果盒子今晚出了问题，或者明天换成另一个盒子，争议就只剩他们说什么、我们说什么。你愿意用整栋楼的安全和后续追责，换一份口头承诺的保修吗？”