检测原始记录电子存档备份制度

检测原始记录电子存档备份制度一、总则制度的核心价值不在于约束，而在于用技术手段把「原始记录不可篡改、不可丢失」从一句承诺变成可验证、可追溯、可审计的事实链条。本章界定制度的适用边界与基础概念，后续所有条款均以此为准。1.1目的规范检测原始记录从电子化生成、归档存储、备份保护到恢复验证的全生命周期管理，确保检测数据的真实性、完整性、可追溯性和法律效力，满足《中华人民共和国电子签名法》、ISO/IEC17025:2017《检测和校准实验室能力的通用要求》、RB/T214-2017《检验检测机构资质认定能力评价检验检测机构通用要求》及CNAS-CL01:2018《检测和校准实验室能力认可准则》对记录控制与数据信息管理的要求，防范因数据丢失、篡改、介质失效造成检测结论无法追溯的风险。1.2适用范围本制度适用于本机构所有检测活动的原始记录电子化生成、存档、备份、恢复、保密与销毁管理。涵盖检测原始记录（含仪器输出图谱、照片、影像、计算过程）、抽样记录、样品流转记录、环境监控记录、质量控制记录及检测报告底稿等全部技术记录。本机构使用LIMS（实验室信息管理系统）生成或管理的电子记录，以及纸质记录经扫描电子化后形成的电子副本，均纳入本制度统一管理。1.3术语定义检测原始记录：检测人员在检测活动中直接产生的第一手数据、观察结果、仪器输出、计算过程和原始图谱，未经任何加工、取舍或修饰。电子存档：将检测原始记录以电子文件形式，通过受控流程从生成态迁移至归档态，并赋予元数据（生成时间、操作者、哈希值、版本号）的过程。哈希值：采用SHA-256算法对电子文件计算得出的固定长度摘要值，用于验证文件完整性。任何一位数据变化均导致哈希值改变。可靠电子签名：符合《中华人民共和国电子签名法》第十四条规定的电子签名，与手写签名或盖章具有同等法律效力。本制度采用数字证书签名+可信时间戳的方式实现。WORM介质：WriteOnceReadMany，一次写入多次读取的光存储介质，物理层面不可擦写，用于最终归档备份。异地容灾：在距主数据中心物理距离不少于50km的独立场所建立备份存储，用于抵御火灾、水灾、地震等区域性灾难。审计追踪：记录所有涉及电子数据的操作行为（创建、修改、删除、导出、恢复）的不可删除日志，包含操作者身份、时间、对象、前后值。二、职责分工电子存档备份的失败极少源于技术落后，几乎都源于职责空档——每个人都以为别人在管。本章用RACI原则划定五类角色的具体动作、产出与验收标准，消除「三不管」地带。2.1技术负责人技术负责人对检测原始记录电子存档备份的有效性承担总体责任。具体职责：每季度主持一次电子存档备份有效性评审，审查备份成功率、恢复演练结果、异常事件闭环情况，形成《存档备份季度评审报告》。批准电子存档格式标准、备份策略变更、异地容灾方案调整及销毁申请。在发生Ⅰ级异常（定义见第九章）时担任应急总指挥，决定是否启动异地恢复。2.2质量负责人质量负责人对电子存档备份与质量管理体系的符合性负责。具体职责：每年至少组织一次覆盖全部存档类别的内部审核，核查电子记录是否满足ISO/IEC17025:2017第7.5条及RB/T214-2017第4.5.3条对技术记录的要求，输出内审不符合项报告。对存档、备份、恢复过程中出现的偏离，按《不符合工作控制程序》开具不符合项，追踪纠正措施直至验证有效。监督电子签名和可信时间戳的使用合规性，确保每一条电子记录均能追溯到具体操作人。2.3检测人员检测人员是电子记录的第一责任主体。具体职责：在检测活动结束当日（以仪器数据采集完成时间为准），将原始记录电子文件上传至LIMS或指定归档目录，严禁以「数据暂存在仪器工作站」为由延迟归档。上传前自查电子文件的完整性（文件可正常打开、图谱清晰、数据无缺页），确认电子签名和时间戳已生效。发现原始记录电子文件异常（打不开、内容缺失、哈希校验失败）时，15分钟内报告质量负责人，并暂停该检测项目的报告签发。2.4档案管理员档案管理员负责电子存档的日常管理与备份执行。具体职责：每日09:00前核查前一日归档的电子记录是否齐全，对照《检测任务单》逐一比对，漏档记录在1小时内通知责任检测人员补传。每日23:00执行增量备份，每周日01:00执行全量备份，每月1日02:00执行异地备份传输，备份完成后30分钟内在《备份操作记录表》（附录B）中登记。每季度末组织一次恢复演练，随机抽取不少于5份备份文件执行恢复验证，记录验证结果。2.5IT运维人员IT运维人员负责备份系统、存储介质和网络安全的技术保障。具体职责：每月检查一次磁盘阵列健康状态（SMART参数、RAID重建状态、热备盘在位情况），输出《存储系统巡检报告》。管理备份系统的访问权限，按最小权限原则分配账号，每90天强制更换管理密码。维护审计追踪日志，日志保存期限与原始记录保存期限一致，严禁删除或修改审计日志。三、检测原始记录的电子化生成要求电子记录的法律效力不取决于它「是电子的」，而取决于生成环节是否满足可靠电子签名的法定条件，以及是否具备对抗「事后篡改」的技术能力。本章规定从数据产生到归档之前的受控要求，这是整个制度的源头。3.1电子记录的生成方式检测原始记录的电子化生成分为两类场景，分别执行不同的受控策略：场景一：仪器直出数据。检测仪器（如气相色谱质谱联用仪GC-MS、高效液相色谱仪HPLC、万能材料试验机等）产生的原始数据文件（.d、.raw、.CDF、.xls等），必须在检测结束24小时内从仪器工作站导出，并同时生成一份PDF/A格式的可视化副本。PDF/A是ISO19005-1定义的长期保存格式，嵌入字体和色彩信息，确保20年后仍能原样呈现。严禁仅保存仪器专用格式而不生成可视化副本——仪器软件升级或厂商停产可能导致专用格式无法读取。场景二：人工录入数据。检测人员通过LIMS或电子表格录入的原始观察值，系统必须自动记录录入时间、操作者账号、录入时的IP地址和操作内容。LIMS的审计追踪功能应设置为默认开启，且检测人员无权关闭。使用电子表格（如Excel）录入的，必须启用「共享工作簿-跟踪更改」功能，并在归档前锁定文件为只读状态。3.2电子签名与时间戳每一份检测原始记录电子文件归档前，必须由责任检测人员施加可靠电子签名，并由系统自动加盖可信时间戳。可靠电子签名由数字证书（由依法设立的电子认证服务机构签发）和签名时的时间戳共同构成。根据《中华人民共和国电子签名法》第十四条，采用可靠电子签名的文件与手写签名或盖章具有同等法律效力。电子签名操作必须满足：签名密钥由检测人员本人持有，严禁共用账号或代签。签名时系统自动计算文件哈希值（SHA-256），将哈希值与签名绑定，签名后文件的任何修改都会导致签名失效。可信时间戳从国家授时中心标准时间源获取，精确到秒，用于证明记录在某一时刻已存在且内容完整。3.3数据完整性保护电子记录生成后至归档前，必须满足以下完整性保护要求：归档目录开启文件系统级别的审计功能，记录所有文件创建、修改、删除、重命名操作。仪器工作站数据导出后，源文件保留不少于30天，防止导出过程因网络中断或磁盘故障导致文件损坏时无源可溯。归档前执行哈希值计算并登记在《检测原始记录电子存档清单》（附录A），后续每次备份后均需校验哈希值，确保文件未被篡改。四、电子存档流程与技术要求存档不是「把文件拷到硬盘上」，而是完成从生成态到归档态的受控迁移——迁移过程中必须保持文件的完整性、可追溯性和防篡改性不被破坏。本章规定存档的分类、格式、命名和审核要求。4.1存档范围与分类检测原始记录电子存档按内容分为六类，每类的存档要求和保存期限见表1。存档类别包含内容归档时限保存期限A类：检测原始记录原始数据文件、PDF/A可视化副本、计算过程检测结束24h内不少于6年B类：仪器输出图谱色谱图、光谱图、应力-应变曲线等检测结束24h内不少于6年C类：样品与流转记录委托单、抽样单、样品接收与流转单当日归档不少于6年D类：环境与质控记录温湿度记录、标准物质配制记录、质控图当日归档不少于6年E类：检测报告底稿报告审核过程文件、修改痕迹报告签发后5个工作日内不少于6年F类：设备与计量记录仪器使用记录、校准证书、期间核查记录当日归档仪器退役后3年4.2存档格式与命名规范格式要求：A类和B类记录必须同时保存仪器原始格式和PDF/A可视化副本。C、D、E、F类记录以PDF/A或XML格式存档，其中XML需附带XSD架构描述文件。严禁使用依赖特定商业软件且无公开文档的专有格式作为唯一存档格式。命名规范：统一采用「类别代码检测项目代码样品编号记录日期版本号.扩展名」格式。示例：A_GCMS_S20240315-001_20240315_V1.pdf。版本号从V1开始递增，每次修订生成新版本并保留旧版本，严禁覆盖原文件。4.3存档审核与确认电子文件归档前须经两级审核：一级审核（检测人员自查）：上传前确认文件可正常打开、内容完整、命名符合规范、电子签名和时间戳已生效。二级审核（档案管理员复核）：归档后1个工作日内核查文件哈希值与登记表一致、类别归属正确、保存期限设置正确。审核通过的记录状态标记为「已归档」，LIMS自动锁定为只读。此后任何修改必须通过「修订申请」流程，经技术负责人批准后生成新版本，并保留完整修改痕迹和审批记录。五、备份策略备份的价值只在灾难发生那一刻才被验证，但策略必须在灾难发生前就铁定执行。本章建立四级备份体系，以3-2-1原则（3份副本、2种介质、1份异地）为底线，确保任何单一故障点都不会造成数据不可恢复。5.1备份分级体系备份级别备份方式执行频率存储介质保留周期一级：实时镜像RAID10磁盘阵列实时写入实时本地磁盘阵列随数据在线保存二级：增量备份每日增量备份至NAS每日23:00NAS（网络附加存储）保留30天三级：全量备份每周全量备份至磁带/蓝光光盘每周日01:00LTO-9磁带或200GB蓝光光盘保留1年四级：异地备份每月全量备份加密传输至异地容灾中心每月1日02:00异地磁盘阵列+WORM介质长期保存选择逻辑：一级镜像解决磁盘单点故障，二级增量解决近期误删恢复，三级全量解决中长期数据保护，四级异地解决区域性灾难。四级备份之间相互独立，严禁将二级和三级备份存放在同一物理位置或同一网络存储设备上。5.2备份频率与方式增量备份：每日23:00由备份系统自动执行，仅备份自上次备份以来新增或变更的文件。备份软件采用VSS（卷影复制服务）确保打开中的文件也能一致备份。备份完成后自动计算每个文件的哈希值并写入备份清单。全量备份：每周日01:00执行，备份全部已归档电子记录及其元数据。全量备份完成后必须执行一次可恢复性抽查——随机选取3个文件从备份介质中恢复至临时目录，校验哈希值与登记表一致。异地备份：每月1日02:00将上月全量备份文件经AES-256加密后通过专线或加密VPN传输至异地容灾中心。传输完成后由异地值班人员校验文件数量与哈希值，并回传确认函。异地备份数据传输严禁使用公共互联网明文传输。5.3备份介质管理磁带/蓝光光盘管理：三级备份介质使用完毕后立即移入防火保险柜（耐火等级不低于GB16883规定的A类），建立《备份介质台账》，记录介质编号、写入日期、内容摘要、存放位置。每盘介质使用不超过5次写入后强制退役，退役介质按第八章销毁。磁盘阵列管理：一级和二级备份磁盘阵列配置热备盘，RAID重建时间不得超过4小时。阵列的SMART参数每周巡检一次，发现坏道数超过10个或重映射扇区超过50个时，24小时内更换故障磁盘。介质轮换：三级备份介质按「祖父-父-子」轮换策略管理——每月全量备份盘（子）保留12个月，每季度末备份盘（父）保留3年，每年末备份盘（祖父）永久保留。严禁将备份介质借出或带离存储场所，确需移出时须经技术负责人书面批准。5.4异地容灾备份异地容灾中心与主数据中心物理距离不少于50km，选址避开地震断裂带、洪涝区和工业园区危险品仓储区。异地备份存储设备采用WORM介质作为最终归档载体，从物理层面杜绝数据被覆盖或删除。异地容灾中心每半年进行一次全量恢复演练，验证在极端场景下（主数据中心完全不可用）能否在72小时内恢复核心检测记录。六、恢复与验证不能恢复的备份等于没有备份；不验证恢复能力的备份制度是纸面制度。本章规定恢复的触发条件、操作流程和验证标准，确保任何备份在需要时都能真正用上。6.1恢复触发条件触发场景恢复级别启动权限单个文件误删或损坏文件级恢复（从二级或三级备份）档案管理员磁盘阵列单盘故障、RAID降级磁盘级重建（从热备盘）IT运维人员磁盘阵列整体故障、NAS不可用卷级恢复（从三级全量备份）技术负责人主数据中心火灾、水灾、网络攻击导致数据大面积丢失灾难恢复（从四级异地备份）技术负责人+最高管理者6.2恢复流程文件级恢复：档案管理员在收到恢复申请后30分钟内定位备份文件，从增量备份或全量备份中恢复至临时目录，校验哈希值一致后交付申请人员。恢复过程全程记录，包括恢复时间、备份介质编号、哈希值校验结果。灾难恢复：由技术负责人宣布启动灾难恢复程序，IT运维人员立即联系异地容灾中心，申请调取最新四级备份。异地备份数据经加密传输回本地或直接在新场地恢复。恢复优先级按A类→B类→C类→D类→E类→F类顺序执行，A类恢复完成时限不超过72小时。6.3恢复验证与记录每次恢复操作完成后，必须执行以下验证：完整性验证：对恢复后的文件重新计算哈希值，与备份清单中的原始哈希值逐一比对，任何不一致视为恢复失败。可读性验证：随机打开恢复文件，确认PDF/A文件可正常渲染、仪器原始格式文件可在对应软件中正常打开。记录闭环：填写《恢复验证记录表》（附录C），记录恢复时间、验证结果、异常情况，经技术负责人签字确认后归档保存。每季度末的恢复演练结果纳入《存档备份季度评审报告》。连续两次演练发现恢复失败的，技术负责人必须组织专项整改，并在整改完成后30天内重新演练验证。七、安全与保密检测数据的机密性防护与完整性防护同等重要——访问控制是防篡改的第一道物理屏障，加密是防泄露的最后一道防线。本章规定谁能碰数据、怎么碰、碰了留痕。7.1访问控制电子存档和备份系统实行基于角色的访问控制（RBAC），按最小权限原则分配权限：角色权限范围禁止行为检测人员上传、查看本人记录修改他人记录、删除任何记录档案管理员归档、备份、恢复、查看全部记录修改记录内容质量负责人查看、审核、导出审计日志修改记录内容技术负责人查看全部、批准修订和销毁直接修改记录IT运维人员系统管理、介质管理查看记录内容（除非经技术负责人授权）所有账号操作均被审计追踪记录。严禁共享账号、借用账号或使用通用账号（如admin共用）。离职人员账号在离职当日2小时内由IT运维人员禁用并归档审计日志。7.2防篡改措施哈希校验：每次备份和恢复时执行SHA-256哈希校验，哈希值不一致即触发异常处置流程。WORM介质：三级和四级备份使用WORM介质保存，从物理上不可覆盖写入。审计追踪不可删除：审计日志写入独立的日志服务器，采用追加写入模式，严禁任何角色删除或修改审计日志。日志服务器时钟从国家授时中心同步，偏差不超过1秒。数字签名：所有备份清单文件由档案管理员施加数字签名，防止备份清单本身被篡改。7.3保密要求检测原始记录中涉及委托方商业秘密、个人隐私或国家秘密的，按以下要求执行：电子存档文件存储于加密磁盘分区，采用AES-256全盘加密。异地备份传输前对文件进行AES-256加密，解密密钥由技术负责人和档案管理员双人分段保管，严禁单人掌握完整密钥。涉及国家秘密的检测记录，不纳入联网备份系统，单独使用离线加密介质存储，存放于符合保密要求的密码柜中。外部人员（含委托方）查阅电子存档记录，须经技术负责人批准，查阅过程全程记录，严禁外部人员直接操作归档系统终端。八、保存期限与销毁保存期限的终点不是简单删除，而是用不可恢复的方式完成数据生命的终结——过期数据同样承载着委托方隐私和机构信用，销毁必须像存档一样受控。8.1保存期限各类记录的保存期限见表1。保存期限自检测报告签发之日起计算，未出具报告的以检测活动完成之日起计算。法律法规、认证认可要求或委托合同对保存期限另有更长要求的，从其规定。超过保存期限的记录不自动删除，由档案管理员每半年整理一次到期记录清单，报技术负责人审批是否延长保存。严禁未经审批自行删除任何记录。8.2销毁流程经技术负责人批准销毁的电子记录，按以下流程执行：编制销毁清单：档案管理员列明文件名称、编号、哈希值、归档日期、到期日期，报技术负责人审批。审批：技术负责人确认无未了法律纠纷、无认证认可追溯需求后签字批准。执行销毁：使用符合DoD5220.22-M标准的多次覆写工具（至少3次覆写）或物理粉碎介质方式销毁，严禁仅执行操作系统层面的「删除」或「格式化」——操作系统删除仅移除文件索引，数据仍可恢复。记录闭环：销毁执行后填写《电子记录销毁登记表》，记录销毁方式、执行人、监督人、销毁时间，连同销毁审批单归档保存不少于6年。九、异常处置异常处置的成败取决于前15分钟——分级响应必须让一线人员无需层层请示就能启动正确动作。本章按严重程度分三级，每级给出判定标准、启动权限和处置原则。9.1分级响应体系级别判定标准启动权限处置原则Ⅲ级（一般）单个文件哈希校验失败、单次备份任务失败、单个账号操作异常档案管理员即时处置，2小时内闭环，无需上报Ⅱ级（较大）备份介质损坏、NAS不可用、连续3次备份失败、审计日志告警质量负责人4小时内启动专项处置，24小时内闭环Ⅰ级（重大）磁盘阵列整体故障、主数据中心不可用、异地备份不可用、发现篡改证据技术负责人立即启动应急预案，全员响应9.2数据丢失应急处置Ⅲ级场景——单文件丢失：档案管理员从二级增量备份中恢复，恢复后校验哈希值，15分钟内闭环。若增量备份中同样缺失，升级为Ⅱ级，从三级全量备份恢复。Ⅱ级场景——备份介质损坏：立即将损坏介质隔离，停止向其写入任何数据。从同级或上一级备份中补做全量备份，恢复备份链完整性。损坏介质中的可恢复数据尽力抢救，不可恢复部分由质量负责人评估影响范围，必要时启动补充检测。Ⅰ级场景——主数据中心不可用：技术负责人宣布进入灾难恢复状态。IT运维人员30分钟内联系异地容灾中心，申请调取四级备份。恢复优先级按6.2节执行。同时成立事件调查组，查明灾难原因，形成事件报告，报最高管理者。9.3篡改事件应急处置发现电子记录存在篡改嫌疑（哈希值异常、审计日志显示非授权修改、电子签名失效）时：立即冻结：档案管理员15分钟内冻结相关文件的访问权限，保留现场数据状态，严禁对可疑文件进行任何操作（包括打开、复制、删除）。证据保全：IT运维人员对可疑文件所在存储介质做全盘镜像，镜像文件加密封存，由质量负责人保管。原始介质保留原状作为证据。调查判定：质量负责人组织调查，分析审计追踪日志，判定篡改的性质（误操作、外部攻击、内部故意）、范围（涉及文件数量）和后果（对检测结论的影响程度）。处置闭环：确认为篡改的，涉及检测报告的，启动报告召回程序；涉及人员责任的，按机构《员工违规处理办法》处理；涉及违法犯罪的，依法移送。整改完成后组织专项审核，验证防篡改措施的有效性。十、附则本制度由质量管理部