RFID 与区块链经常被成对推销，理由是「两者都能去掉流程里的信任成本」。其实它们去掉的是不同种类的信任，而这个组合的价值，完全取决于两者如何被连接起来。RFID 让物理事件可被观测；区块链让一串记录难以被改写。但无论哪一个，单独都无法证明「对的那托货上了对的那辆车」。
这不是否定这个组合的理由，而是要求把问题问准：它回答的不是「什么是真的」，而是「谁在什么时间、按什么顺序断言了什么」。当各方不共用同一套 ERP，而分歧最终要由第三方裁定时，这类问题才真正值钱。
两本账，两套信任模型
物理账本嘈杂、局部、易逝；数字账本稀疏、全局、永久。把两者当成同一个东西，是大多数项目出问题的地方。
- RFID 账本记录的是观测：标签、天线、时间、信号强度，以及这次读取的质量。
- 链上记录的是断言：某一方声称这个序列号在某个时间、随某批货、离开了某个站点。
- RFID 的信任来自安装质量：天线布置、读取率、标签的防拆能力。
- 链的信任来自治理：谁有权写入、写入者身份如何确认、出现分歧时怎么办。
- 一条错误观测的不可篡改记录，依然是错误的。不可篡改放大的是信心，而不是凭空创造信心。
一次读取能证明什么，不能证明什么
把证据强度说清楚，是可信设计的基础。
- 它能证明：某个标识的标签，在已知时间窗内、在某根天线上被激活过，并带有记录下来的置信度。
- 它不能证明：标签贴在了正确的物品上、纸箱里装的就是装箱单上写的东西、没有人换过标签。
- 它不能证明「不存在」。漏读就是漏读，物品可能仍然在那块托盘上。
- 克隆是真实存在的。EPC 值极易复制；当涉及的价值足够高时，应使用带唯一 TID 的标签、密码学认证，或者两者都用。
- 把置信度与事件一起记录下来。理解了系统局限的审计方，反而会更信任它。
区块链在哪里值回成本
分布式账本在运维、集成和治理上都比数据库贵。只有在特定条件下才划得来。
- 多方不共用同一套系统记录，且不会接受任何一方的数据库作为中立事实。
- 争议后果严重：受序列化法规约束的药品、食品溯源、奢侈品、安全关键的车用零件。
- 审计关心的是历史而非当下：发运当天、召回之前，记录上写的是什么。
- 监管或海关需要只读权限，而不应被授予写入权限。
- 它不适合内部仓库拣货。普通数据库加只追加审计日志，更便宜、更快，审计能力一样够。
锚定：把物理事件与记录绑在一起
绑定的手段是哈希，工程难点在于哈希里放什么、什么时候写。
- 把事件序列化成规范化载荷：EPCIS 2.0 字段、标签 TID、读头与站点标识、带来源的事件时间，以及支撑它的原始读取标识。
- 用稳定算法对规范化载荷做哈希，绝不能依赖哈希输入里 JSON 键的顺序。
- 按批次或时间窗聚合事件，只写一个默克尔根，而不是每个标签一笔交易。
- 完整载荷留在链外；链上只存哈希根、指针和写入方身份。
- 不要让月台等待确认。先在本地提交，再异步锚定，并在约定的服务水平内完成对账。
链上数据模型应该「无聊」
最成功的项目，智能合约里几乎什么都不放。账本是证据库，不是应用服务器。
- 按 GTIN 与序列号登记资产，并为托盘、纸箱、单品建立聚合树。
- 只建模少量事件类别：赋码、聚合、发运、收货、注销。
- 在合约里校验状态迁移，把定价、路径规划和优化留在链外。
- 按事件类别和参与方分配写权限，使承运商不能赋码、零售商不能改发运记录。
- 链上 schema 要版本化。一个无法演进的证据库，两年内就会被弃用。
隐私与商业机密
共享账本就是共享表面。除非特意设计，写上去的东西对所有通道成员都可见。
- 当伙伴之间是竞争对手时，使用带通道的许可链，只披露各方真正需要的事件。
- 个人数据留在链外。存哈希引用而不是姓名；如果哈希可被暴力反推，就加盐。
- 「删除权」无法删除不可篡改记录。正确做法是从一开始就不把个人数据放上链。
- 把销量、价格和线路视为商业机密。只提交哈希，在合同约束下向审计方披露载荷。
- 密钥管理是运维弱点：轮换密钥、分离角色，并为「伙伴节点被攻破」准备预案。
价值在异常处理里被验证
只记录成功的链，是一份昂贵的新闻稿。争议都发生在异常里。
- 收货漏读：生成异常事件，让双方对同一条记录签字。
- 监管链断点：承运商在两站之间没有任何扫描，这个窗口必须被标记，而不是被隐藏。
- 智能合约无法判断物理损坏、部分交付或贴错箱标。仲裁必须保留为人工与合同机制。
- 组装证据包：事件哈希、原始读取、照片，以及当时的读头配置。
- 为锚定设定服务水平（通常是 15 分钟），超时即升级处理。
分阶段落地路径
大多数失败，都是从第四阶段直接起步。应当从「审计痛点已经存在」的地方开始。
- 第一阶段：用将来要上链的 EPCIS schema，先做内部只追加日志。仅此一项就能解决大部分追溯问题。
- 第二阶段：在一条产品线上，与两三家伙伴把哈希锚定到许可链。
- 第三阶段：扩展到承运商与客户，做选择性披露，并开始统计争议处理时长。
- 第四阶段：给审计方与监管方一个只读节点，并打通召回流程。
- 盯住三个数字：每月解决的争议数、完成一次召回所需时间、每个锚定事件的成本。如果第三个在涨而第一个没降，就该停。
当物理事件足够可信、值得被锚定，而账本只用于「没有任何一方应该独占」的那一小类断言时，这个组合才成立。其余的，都是数据库——把它叫作链，并不会让它真的成为链。
