GeoFence ON，Scope CN-only，Operator svc_route_admin，Approver OpsMgr。
林昼在旁边看法务的实时纪要文档，看到法务把“10:02:17”四个数字敲得很重，并在旁边标注：秒级时间戳。
第二步，启用策略冻结。
供应商打开“Freeze Control”，页面上有一个大开关：“Policy Freeze”。旁边有三个选项：
* Freeze Mode：Read-only / Change-request only / Full lock
* Controller：Tenant Admin / Designated Customer Admin / Joint
* Exception Workflow：Enabled/Disabled
监管直接说：“Freeze Mode选 Full lock。Controller选 Designated Customer Admin。Exception Workflow必须Enabled，且例外审批链必须包含医院侧签署角色。”
供应商的鼠标停了一下。Full lock意味着供应商在关键期几乎动不了任何策略。它会让他们失去“紧急兜底”的便利。林昼甚至能从屏幕那端的停顿里感受到对方的犹豫。
但监管的语气没有任何回旋：“请按要求操作。”
供应商点击 Full lock，选择 Designated Customer Admin。系统提示：需要绑定医院侧账号作为控制者，并要求医院侧在场确认。
接收医院信息安全负责人在会议里报出医院侧账号ID（已脱敏），第三方平台协查联系人确认该账号权限为“Customer Freeze Controller”，可在冻结期间授权例外。
供应商完成绑定，点击“Enable Freeze”。
弹窗再次要求原因码与审批引用。供应商输入：ReasonCode=MEDICAL_CHANGE_WINDOW；ApprovalRef=HSP-FZ-2024-01。
点击确认后，Audit Trail里跳出新事件：10:06:44，Freeze ON，M