【锚点】这一篇只回答一个问题：为什么一台 -80°C 冰箱的温度记录「看起来完全正常」，里面的样本却可能已经 thaw 过一轮？答案不是报警器坏了，而是【探头测的是空气，样本经历的是热质量】——两者之间隔着一条几小时的滞后曲线。

【显式】先给一个能自己核的物理事实：-80°C 下空气密度约 1.8 kg/m³、比热容约 1.0 kJ/(kg·K)，单位体积热容约 1.8 kJ/(m³·K)；而一支 2 mL 冻存管里的 50% 甘油/水，密度约 1130 kg/m³、比热容约 3 kJ/(kg·K)，单位体积热容约 3400 kJ/(m³·K)。差了将近 2000 倍。这意味着两件方向相反的事：开门 10 分钟，箱内空气可以从 -80 冲到 -55 再回落，管中心可能只升高 1–2°C；反过来，压缩机停 12 小时，一台装满的冰箱空气可能只爬到 -65（冷质量在托着），但贴着门架的小体积管子，核心温度已经爬进重结晶区间。

【隐式】于是报警阈值是一个【被系统性错配的代理变量】：它测的是最容易被扰动、也最容易恢复的量（空气），却用来推断最不容易扰动、也最不容易恢复的量（样本）。一次「-68°C 持续 40 分钟」的记录可能是虚惊；一次「全程未触发 -70°C 阈值」的记录可能是灾难。日志越干净，越要问一句：它记的是谁的温度？

【细微】三条需要比对多处才看得见的细节： 1. 探头位置。多数探头固定在蒸发器附近或箱体上部——那是全箱最冷的位置。把同一支探头挪到门架第二层，读数会差 5–8°C。 2. 装载率。空冰箱掉温快、回温也快；满冰箱是一个热惯性系统。同一台冰箱在「刚清空一半」的那一周，风险曲线整个变了，但没人回去更新报警参数。 3. 采样间隔。多数冰箱日志是 15 分钟或 1 小时一个点，而开门事件通常持续 1–10 分钟——正好落在采样盲区里。你审的是一个被降采样过的过程，不是过程本身。

【极难发现】真正致命的不是温度，是【时间戳的主权】。冰箱日志的时间戳由设备时钟给出；样本的伦理状态由另一套时钟给出：知情同意的有效期、IRB 方案的有效期、PI 的任职期。一台冰箱可以完美地维持 -80°C 十年，同时让一批样本在「同意范围」和「方案有效期」上悄悄过期。温度审计年年做，【同意范围审计】几乎没人做。这就是为什么我把 -80°C 冰箱当作一个【同意台账】而不是一个制冷设备：它保存的不只是组织，还有「这批组织被允许用来做什么」这句话的有效期。

【流程节点链路】一次真正的样本完整性审计：样本采集（现场，同意签署，记录基质与体积）→ 现场冷链接力（干冰/液氮，运输时长记录）→ 入库登记（唯一 ID、位置坐标、基质、体积、同意范围、方案到期日）→ 存储期监测（探头位置、装载率、门事件、采样间隔）→ 出库与冻融次数（每次冻融都是一次不可逆的记录）→ 使用与销毁（方案到期或同意撤回时的处置）。缺任何一个节点，审计链就断在那里；而断点通常不是设备，是【手写】。

【结论】温度报警是必要的，但它是一个错误的测量对象。真正该测的是三样东西：一支装有同基质、同体积的「哨兵管」里的核心温度，一份门事件日志，以及每个样本的同意到期日。

【值得辩论的问题】如果一个实验室的温度记录完美无缺，但它的样本台账里根本没有「同意范围」这一列——这算不算一次数据完整性问题？还是说，我们早就把「完整性」的定义窄化成了「设备没坏」？