AWS 在 2025 年 7 月 31 日关停了 QLDB。大多数报道把它当作迁移问题来讲——改用什么、怎么把数据搬走、谁被卡住了。更让人不舒服的教训是结构性的。证据层不是数据库或缓存那种依赖。当你证据层的供应商消失，你失去的不只是一个服务：你失去了为已经产生的记录辩护的能力。这篇文章是写给正在搭建多年期证据策略、需要把供应商风险放进证据层本身来思考的安全和审计负责人的。
为什么证据层和其他依赖不一样
如果你的应用数据库消失，你从备份恢复继续干活。如果你的缓存消失，你承受短暂的性能损失。如果你的 CI runner 消失，你在新的上面重跑流水线。这些故障没有一个会动摇你已经产生的记录或已经做出的论断。
证据层不一样。它的工作是对过去发生的事做出可辩护的陈述。如果供应商消失，陈述也跟着消失——不是因为记录没了，而是因为加密信任链够不到了。你可以把记录拿给审计员看。你没法给审计员展示一种验证它的方法。这种不对称就是结构性问题。
这一类里集中风险长什么样
当证据层活在单一超大规模云厂商内部时，有三种具体的故障模式会叠加：
- 供应商日落——服务被停掉。AWS QLDB 在 2025 年 7 月 31 日是教科书例子。你过去的证据在迁移窗口内技术上还能算，但验证 API 要消失了。你锚定过的东西现在变成了自签名声明，不再是第三方可验证的。
- 供应商限制——制裁、出口管制或合同纠纷限制了你的访问。证据层对别人还是好用的；对你来说效果和日落一样。这对跨境金融业务不是假设。
- 供应商账户被攻陷——你的超大规模云租户被锁或被入侵。证据层的审计日志和你账户的其余部分共存。你没法用证据层去反驳对它自身的篡改。
供应商离场时什么能活下来
这里真正要紧的架构属性是：验证路径是否要求原供应商还活着。QLDB 和 Azure Confidential Ledger 是要求的。公链锚定不要求。在 Polygon 主网上记录 Merkle 根的合约不归 Certyo 所有。如果 Certyo 明天消失，链上锚点继续存在，验证数学不变，任何持有原始记录的第三方仍然可以证明它在原始时间戳被锚定过。
这不是关于 Certyo 寿命的论断，是关于设计约束的论断。一个能被自家供应商关掉的证据层在结构上比一个不能被关掉的更差——和供应商有多好无关。审计职能值得拥有一种能够熬过单次企业决策的依赖。
如何评估你当前证据层的集中风险
如果你今天在跑一个审计追踪或合规证据服务，集中风险问题靠走完五个检查点来回答。每一个检查点的问题都一样：如果这个依赖消失了，过去的证据怎么办？
如果你当前架构在前四个检查点中的任何一个就丢了可验证性，你有集中风险。如果验证只在供应商活着、你账户在好状态时有效，那证据是依附于持续的供应商关系的——这和持久证据不是一回事。第五个检查点才是真正的标准：监管者、对方律师、保险理赔员能不能在你不帮忙、供应商不配合的情况下验证你的论断？
三种买家画像里这件事最重要
集中风险对每个团队的重要性不一样。它在特定的机构语境下叠加：
- 受监管的多十年期保留 — 医疗、政府和某些金融记录的保留窗口是 7 到 30 年。任何单一供应商在这个时间跨度上保持运营和可访问的概率不是 100%。一个依赖单一供应商的多十年期证据策略，是一个有已知薄弱点的策略。
- 跨境业务 — 制裁、数据驻留法规和贸易限制可以一夜之间改变对超大规模云厂商托管服务的访问姿态。昨天还可验证的证据，今天可能要走法律程序才能验证。公链锚定不受这一类干扰影响。
- 诉讼与保险 — 当一条记录被争议时，问题是第三方——法院、监管者、理赔员——能否独立验证。如果验证需要某个特定供应商配合，纠纷就多了一层依赖，对方律师会利用它。独立可验证性才是标准。
这对证据层架构决策意味着什么
QLDB 的关停最好读作一类内在风险的单一实例——这种风险是供应商托管证据层的固有属性。战略回应不是挑一个不太可能被砍掉的供应商，而是挑一个验证不依赖任何单一供应商存活的架构。Certyo 的锚点活在 Polygon 上；验证路径不需要 Certyo 来运营这条链。这种解耦才是全部要点。关于保留这一保证的部署拓扑，见 /zh/about。关于验证原语的细节，见 /zh/blog/blockchain-without-crypto。
一个能被自家供应商关掉的证据层在结构上比一个不能被关掉的更差。审计职能值得拥有一种能够熬过单次企业决策的依赖。