一笔订单被改过，客人说当天根本没进园。打开票务系统，订单详情上只有一栏"最后修改人"。翻不到改之前谁看过它，四个人互相对了三天，最后靠回忆排先后。查询日志记不记，平时像件无所谓的事，出事那天它就是唯一的顺序。

"最后修改人"只留最后一手。改过三轮，前两手的名字就没了，剩下的那一手往往还是最无辜的——他只是按客诉单把状态改回去。追溯要看的是两件不同的事：谁看过，谁动过。票务系统里只记第二件，第一件全靠人记得，那就没有留痕。

第一步先定范围，哪些查询要记。点进某一张订单的详情，记；按手机号或者证件号反查是哪一笔，记；导出之前那次预览，记。列表页翻页不记。翻页一天几十万条，全记下来没人看，真出事的时候你要找的那两条也淹在里面。范围写死的办法是在售票系统里照入口定：详情、反查、预览三个口子各打一条，其余不碰。

第二步定字段，查过哪张单要记的就四项：账号、时刻、单号、结果。售票系统的查询日志只记这四样。结果指查到几条或者一条没查到。空查也要记——同一账号连着几次空查，说明有人在靠猜的号找单，这个动作本身就是线索。四项之外不加栏，票务系统里多加的那一栏一定会长期空白，空白栏不是留痕，是负担。

第三步定期限。票务系统里查询留痕保留 180 天，到期整段清，不逐条删。逐条删这件事没人做得齐，留着半截更麻烦。有一样东西要跟它同期留：账号和人的对照。180 天里如果只留下一串工号，而那张谁用过哪个号的对照表只留三个月，追溯出来的是"某个号在某分钟看过某单"，往下就接不上了。

查询和修改必须分两张表记，字段不共用。售票系统里查询一张、修改一张：修改表有改前值、改后值、经办人和理由编号；查询表这四样一样都没有，也不需要。两张合一张的坏处很快就露头。一是核账的人看见改前改后那两栏在查询行上是空的，会以为有人把值改没了，先查半天白查。二是操作量统计把看的人算进做的人，窗口明明没人动单，报表上操作次数翻着涨。

顺序真排起来是这样：先在售票系统里从修改表定这笔改动落在哪一天哪一分钟，再拿同一个单号到查询表把这一分钟之前的访问列出来，两张表并排摆在一张纸上，谁先看过一眼就清楚。顺序反了会先把无关的人扯进来——先拉访问再猜改动，看过这笔的每个人都是嫌疑人，一晚上问三个人，第二天全科室都知道系统里查不出事。

例外单列一条：报表汇总查询不记单号，只记报表名与筛选条件。有人拉了一张当月渠道汇总，他手上没有某一笔订单，也没有某一个人的号，这一条动作要留，但留的是"谁在什么时候按哪个条件看过哪张报表"，把单号硬塞进去反而全是空白行。汇总看的是面，追溯看的是点，两张留痕各按自己的字段记，别互相将就。