核验记录治理
入口核验记录的首次、末次与复核时间字段
区分首次看到、最后看到与事实复核三个时间。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
入口记录中的“更新时间”常把多种时间混在一起：第一次看到某个状态、最后一次再次看到、编辑真正复核事实，以及只修改排版。若这些时间没有分开，旧观察可能因一次文字整理而显得新鲜。时间字段设计应让读者知道什么被观察、何时观察、何时复查以及何时应过期。
本文围绕观察与复核时间建立事件表，不声称华体会相关主机当前处于任何状态。示例日期均为合成占位。缺少原始截图、设备时钟或复核动作记录时，相应时间写UNKNOWN，不能从文件修改时间推断事实复核。时间线还需处理撤回、争议和精度不同的事件。一个只有日期的旧证据不能与精确到秒的新证据按秒排序；应先降低到共同精度，并保留原值。自动任务产生的时间只是采集系统报告，不等于编辑已经阅读和核实。跨设备采集时，各设备时钟偏差需要单列；没有校时证据就不能用几秒差判断跳转先后。所有展示时间都应能回到不可变的原始事件。事件类型还可包含首次见到、再次确认、内容消失、检查失败、证据撤回和争议提出。检查失败有自己的时间，却不能刷新被检查事实的末次时间。若页面在午夜附近变化，应保留原时区再转换，防止把一次连续操作拆成两天。编辑界面排序可以按标准时间，但读者仍应看见本地观察语境。
首次观察时间只在第一次出现时写入
首次观察是本站证据中第一次见到某一明确字段或状态的时刻，不是该状态在世界上真正开始的时间。记录必须引用样本号、主机、具体字段和原始证据。后来发现更早的合格证据时，可以通过更正链更新首次观察，但旧值和更新原因继续保留。
搜索摘要、他人转述和没有时间的截图不能直接建立首次观察。可以列为线索，状态为未验证。若旧资料只有日期没有时区和环境，精度栏写“日级且环境UNKNOWN”，不能伪造更细的时分秒。
- 首次观察绑定具体字段
- 不等同状态真实起始时间
- 转述线索不建立正式时间
末次观察记录最近一次亲自看见
末次观察是最近一次按相同字段再次取得证据的时刻。它不等于状态结束，也不等于现在仍然存在。每次复看生成新事件，末次字段从事件序列计算，而不是手工覆盖。若复看时字段已消失，应记录新的“未见”观察和检查范围。
页面只被打开但没有检查原字段，不能刷新末次观察。例如编辑查看文章排版，却未重新读取证书，就不能更新证书末次时间。自动监测结果若没有可审计原始证据，也只能作为待核线索。
- 末次观察来自新证据事件
- 不代表状态当前仍存在
- 未复查字段不得刷新时间
事实复核时间对应完整检查动作
事实复核时间表示编辑按照规定步骤重新检查了决定结论的关键字段。主机核验可能要求完整地址、字符差异和截图；证书核验还需SAN与日期；跳转则需每一跳记录。只检查其中一项，应更新该项时间，不更新整页。
复核表列出检查人或组织、复核范围、使用工具、样本、结果和未覆盖项。某项证据缺失时，结论转为UNKNOWN或待复核，而不是维持旧状态并写新时间。事实复核与内容审稿是两个不同动作。
- 复核时间绑定明确检查清单
- 局部复核只更新局部字段
- 缺证据不保留旧肯定状态
编辑更新时间不制造事实新鲜度
修正错字、调整图片尺寸、改善导航或重写解释，可以更新编辑时间，但事实观察时间保持不变。页面应同时显示“内容编辑于”和“关键字段复核于”，避免读者把最新排版理解成最新证据。仅机器构建时间不作为公开更新时间。
若一次编辑同时包含事实复查，必须有独立证据事件支持，两类时间分别写入。编辑日志说明改变了哪些段落和哪些事实字段。无法确定变化性质时，不刷新事实时间。
- 排版更新不刷新事实时间
- 编辑和事实时间并列显示
- 混合更新需要独立证据
时区精度和设备时钟必须透明
所有时间使用明确时区或UTC偏移，显示给读者时可转换成本地时间，但原始观察时区保留。跨日转换同时检查日期和星期。只知道日期时不补零点；只到分钟时不添加虚假秒数。精度是证据的一部分。
设备时钟来源无法确认，会降低事件排序的可信度。事件仍可保存，但标注“本机时钟UNKNOWN”，且不用于判断两件相隔很近的动作先后。服务器响应时间、证书日期和设备观察时间来自不同来源，应分别记录。
- 所有时间带时区或偏移
- 不增加原证据没有的精度
- 不同时间来源分别列项
过期状态由内容风险决定
主机、证书和跳转易变化，复核周期应根据字段波动和影响设定，而不是所有文章统一三十天。到期表示需要重新检查，不表示旧记录虚假。页面可以显示“已过复核期”，同时保留旧观察日期和证据，不继续把旧结论标为当前。
高风险告警没有因时间过去而自动解除。若旧记录以证书警告停止，复查必须从安全边界重新开始，不能假设问题已解决。过期字段未获得新证据时状态为待复核或UNKNOWN。
- 复核周期按字段风险设定
- 过期不删除历史证据
- 安全停止不会随时间自动解除
用事件序列生成可审计时间线
时间线每行包含事件号、对象、字段、动作类型、观察值、时区、精度、证据号、编辑者和复核者。首次、末次与事实复核时间由这些事件计算，页面不允许直接输入一个模糊“最近更新”。更正事件指向被替代行，避免静默改写。
第二名审阅者检查事件顺序、时区转换和证据引用。冲突时间并列显示并写UNKNOWN，不通过文件时间或主观判断强排。最终摘要声明当前证据截止点与未覆盖期，不承诺未来可用，也不构成入口归属说明。时间表导出后还要核对排序键，防止本地化日期按字符串排序造成月份和日期倒置。若一个事件被撤回，它仍保留原时间并增加撤回时间，两者不能合成。读者看到的最近日期旁应标明它属于观察、复核还是编辑动作，避免只显示一个含义不清的更新于。复核者还应检查夏令时重复小时和缺失小时，事件落在模糊区间时保留时区规则版本。跨午夜的跳转链以事件先后为主，不按页面日期拆开。若证据只带相对时间，例如三分钟前，应在采集当时换算并保存原文，否则后来无法复算。缺少可信时钟的整批事件不得用于精确先后判断，只保留同批次关系。页面显示的倒计时、相对日期或动态时间不能替代采集时钟；它们作为被观察内容另设字段。时间线若从多个来源合并，先按来源分组，再显示可确认的先后，避免强行编成单一故事。
- 时间字段从事件序列计算
- 更正行指向被替代事件
- 冲突时间不强行排序
- 摘要显示证据截止点
