## 附录九　数据安全与生存周期类治理文档样章（治理文档清单第 28 至 37 项） ### 一、本附件的定位与使用方式 本节说明本附件回应招标文件的哪一条要求、样章写到什么粒度、以及十份文档之间的关系。 #### 1.1 本附件回应的要求 招标文件要求至少交付不少于 25 份数据治理规划文档，并以清单列明 37 份文档的名称、形态与数量（b1332）。清单第 28 至 37 项为数据安全类四份与数据生存周期、应用流通类六份，分别是《数据合规管理制度》（b1333r29）、《数据安全管理办法》（b1333r30）、《数据安全分级标准》（b1333r31）、《数据权限管理规范》（b1333r32）、《数据需求管理规范》（b1333r33）、《数据设计开发规范》（b1333r34）、《数据运维管理制度》（b1333r35）、《数据退役管理规范》（b1333r36）、《外部数据引入管理办法》（b1333r37）、《数据开放共享管理规范》（b1333r38）。这十份文档的编制要求分别来自数据安全规划要求第（4）项（b1308、b1309）、数据生存周期规划要求第（5）项（b1320、b1321）与数据应用流通规划要求第（5）项（b1330）。 十份文档是项目实施期的交付物，其正式版本须建立在现状评估结论与招标方现行保密、信息安全制度的确认之上，经招标方评审通过后按企业文件发布程序发布。投标阶段我方提交的是本附件所载的样章——每份文档的标识、适用范围、章节结构、关键条款的实际内容、附表与台账模板、与矿山装备制造业务的结合点以及评审修订机制。项目实施期将按本样章的结构与粒度交付文档全文。样章中出现的条款序号、字段名、取值域与判定规则均为正式口径；标注「样例」的台账行为示意填写，用于说明填写粒度，实际记录以项目期实际业务为准。 #### 1.2 样章的体例与读法 每份样章按六段组织，读法如下。 第一段「文件标识与适用范围」给出文件编号、版本号、密级、归口部门、生效条件与失效条件。其中生效条件一栏写明该文档须经哪一级评审、由谁发布才生效，这一栏决定了文档在项目验收时能不能算作已交付。 第二段「章节结构」给出章节目录，写到三级。制度与办法类按「总则—组织与职责—主体条款—监督与考核—附则」的体例编排，标准与规范类按「范围—规范性引用文件—术语—主体要求—附录」的体例编排，后者的体例依据为 GB/T 1.1—2020《标准化工作导则 第 1 部分：标准化文件的结构和起草规则》。 第三段「关键条款」给出条款的实际文字，不作提要式转述。条款写法遵守一条硬性要求：每一条须写明责任主体、动作、时点与留痕，「应加强某项管理」一类无主体、无动作、无法核查的条款不进入文档。这条要求与技术方案数据治理段提出的文档编制口径一致。 第四段「附表与模板」给出该文档的附录内容：字段定义表给出字段名、含义、数据类型、必填性、取值域与校验规则；台账与清单类给出表头和若干条样例行。样例行的数值取自对本项目数据对象的合理设定，用于说明该字段在真实业务中长什么样。 第五段「与本项目业务的结合点」写明该文档在矿山装备制造业务上的具体落点，落到 28 道备料工序、63 万张历史工艺样本、刮板输送机零部件、图纸与工艺卡片、热处理与焊接参数这些实际对象上。通用的数据治理条款不足以支撑本项目的数据加工生产作业，这一段是文档能否被执行的关键。 第六段「评审与修订」写明该文档由谁评审、多长一轮复核、修订后如何通知下游。十份文档共用一套评审与修订机制，见本节 1.5；各份文档在复核周期与修订触发条件上的差异在各自样章中列明。 需要填入招标方真实名称、编号、岗位设置与人员信息之处，一律以【待填：…】标出，不预填拟值。本附件末节汇总待补材料清单。 #### 1.3 文件编号、版本与密级口径 十份文档沿用附录佐证卷标准规范与模板一节确定的五段式编号：GHY26691-类别码-业务域码-序号-版本号。制度与规范类文档的类别码取 ST，业务域码取 00（跨域／全局），序号沿用招标文件治理文档清单的序号，使每份文档的编号可直接对回清单行。编号同时作为电子文件名、纸质文档书脊标识与文档台账主键。 表 A9-1　十份文档的编号、密级与归口口径 | 清单序号 | 文件名称 | 文件编号 | 首版版本号 | 建议密级 | 归口部门 | 单元 id | |---|---|---|---|---|---|---| | 28 | 数据合规管理制度 | GHY26691-ST-00-0028 | V1.0 | 内部 | 【待填：法务与合规归口部门】 | b1333r29 | | 29 | 数据安全管理办法 | GHY26691-ST-00-0029 | V1.0 | 内部 | 【待填：信息安全归口部门】 | b1333r30 | | 30 | 数据安全分级标准 | GHY26691-ST-00-0030 | V1.0 | 内部 | 【待填：信息安全归口部门】 | b1333r31 | | 31 | 数据权限管理规范 | GHY26691-ST-00-0031 | V1.0 | 内部 | 【待填：信息安全归口部门】 | b1333r32 | | 32 | 数据需求管理规范 | GHY26691-ST-00-0032 | V1.0 | 内部 | 数据治理办公室 | b1333r33 | | 33 | 数据设计开发规范 | GHY26691-ST-00-0033 | V1.0 | 内部 | 数据治理办公室 | b1333r34 | | 34 | 数据运维管理制度 | GHY26691-ST-00-0034 | V1.0 | 内部 | 数据治理办公室 | b1333r35 | | 35 | 数据退役管理规范 | GHY26691-ST-00-0035 | V1.0 | 内部 | 数据治理办公室 | b1333r36 | | 36 | 外部数据引入管理办法 | GHY26691-ST-00-0036 | V1.0 | 内部 | 【待填：采购与供应链归口部门】 | b1333r37 | | 37 | 数据开放共享管理规范 | GHY26691-ST-00-0037 | V1.0 | 内部 | 数据治理办公室 | b1333r38 | 版本号规则为两段式：主版本号在条款实质变更时递增，次版本号在表述修正、附表更新或引用文件版本更新时递增。评审基线与验收基线固化后的修订另起版本号，基线版本不被覆盖。文档自身的密级按其内容判定：含分级实例与管控策略的《数据安全分级标准》《数据权限管理规范》两份，其附录部分的密级高于正文，分册管理，附录的发放范围单独审批。 #### 1.4 十份文档之间的引用关系与生效顺序 十份文档不是十份并列的文件。《数据合规管理制度》与《数据安全管理办法》是公司级制度，规定做什么、谁负责、走什么权限；《数据安全分级标准》是域级标准，它产出的 L1 至 L5 分级标签被其余八份文档引用；《数据权限管理规范》把分级标签转为可下发的管控策略；生存周期四份与应用流通两份是作业级规范，在各自环节上引用分级标签与管控策略。引用关系决定了生效顺序：分级标准未发布，权限规范中的管控矩阵没有取值来源；权限规范未发布，开放共享的授权凭据无从签发。 图 A9-1　十份文档的层级、引用关系与生效顺序 公司级 域级标准 作业级 流通级 第 28 项　数据合规管理制度 合规底线、重要与敏感数据识别 第 29 项　数据安全管理办法 职责、防护、审计、事件响应 合规要求 第 30 项　数据安全分级标准 L1 至 L5 判定依据、实例、裁决规则 第 31 项　数据权限管理规范 权限模型、分级管控矩阵、复核回收 分级标签 数据级别、脱敏要求与管控策略（下发至各作业环节） 第 32 项 数据需求管理规范 第 33 项 数据设计开发规范 第 34 项 数据运维管理制度 第 35 项 数据退役管理规范 需求单 → 设计与开发记录 → 运行与告警记录 → 退役处置单（生存周期顺序） 第 36 项　外部数据引入管理办法 采购、接入、核验、评估与台账 第 37 项　数据开放共享管理规范 申请、审批、授权、监测与回收 许可范围与可用边界 授权凭据与回收指令 受众 与级别 图 A9-1　数据来源：招标文件第五章 3.2.6.1.1.2.7 第（4）项（b1308、b1309）、3.2.6.1.1.2.8 第（5）项（b1320、b1321）、3.2.6.1.1.2.9 第（5）项（b1330）；层级划分沿用技术方案数据治理段的三层制度体系口径。 图中的流通级两份文档向上指回作业级与域级，表示的是约束方向而非时序：外部数据的许可范围约束设计开发环节能不能把该数据写入训练数据集，开放共享的受众与级别反过来要求分级标准给出更细的裁决结论。责任边界有一条须在此说明：十份文档规定的是管理要求与作业规则，国密算法应用、等级保护 2.0 测评与商用密码应用安全性评估的技术实施（b1880）在技术方案安全方案一节论述，本附件不重复规定技术实现。 #### 1.5 三道评审、复核周期与修订通知的统一机制 十份文档共用一套评审与修订机制。评审分三道：我方项目组内部评审核对体例、条款可执行性与文档间一致性；招标方业务评审由各业务域数据归口部门核对条款与本域实际业务流程有无冲突；招标方管理层评审确认责任分工与考核要求。三道评审均通过后由招标方按企业文件发布程序发布，发布后的文档即为项目实施依据。评审意见逐条进入修订记录，意见未采纳的写明理由，不作无记录处理。 表 A9-2　评审、复核与修订通知机制 | 环节 | 承办 | 参与方 | 周期或触发 | 产出记录 | 不通过的处置 | |---|---|---|---|---|---| | 起草 | 我方项目组 | 对口业务域工作组会签 | 按交付节点 | 草案与会签意见单 | 退回修改 | | 征求意见 | 数据治理办公室 | 相关职能部门，不少于五个工作日 | 草案完成后 | 意见汇总表与采纳情况 | 逾期未回视为无异议并书面记录 | | 内部评审 | 我方项目组 | 项目组质量管理岗 | 征求意见后 | 内部评审记录 | 不进入招标方评审 | | 业务评审 | 数据治理办公室 | 九个业务域数据归口部门 | 内部评审通过后 | 业务评审意见单 | 条款与业务流程冲突的逐条修订后复评 | | 管理层评审 | 数据治理委员会 | 委员会成员 | 业务评审通过后 | 委员会决议 | 退回办公室重新组织 | | 发布 | 招标方 | 按企业文件发布程序 | 决议通过后 | 发文记录、制度库登记 | 未入库的文件不作为执行依据 | | 定期复核 | 数据治理办公室 | 归口部门与我方项目组 | 制度类每年一次，标准与规范类每半年一次 | 复核结论（继续有效／需修订／建议废止） | 需修订的列入修订计划并明确时限 | | 临时修订 | 归口部门 | 相关部门会签 | 见下文触发条件 | 修订说明与新版本 | — | | 下游通知 | 数据治理办公室 | 全部引用方 | 发布后三个工作日内 | 通知记录与引用关系表更新 | 未通知导致下游执行偏差的记入部门考核 | 临时修订的触发条件列六类：引用的法律法规或国家标准发布新版本或被替代；招标方组织机构、岗位设置或归口部门调整；数据分级结论发生变化影响管控策略；源系统或平台功能变更导致原流程无法执行；审计、评测或等级保护测评提出整改要求；同一类问题在三个月内重复出现两次以上，说明原条款存在缺口。 修订后的下游通知按引用关系表执行。引用关系表登记每份文档被哪些文档、哪些表单、哪些平台配置项引用，修订时按表逐项核对。需要同步调整平台配置的，修订通知中写明配置项与生效时点；需要重新培训的，写明培训对象与完成时限。一份文档修订而引用方未同步，是制度体系失效最常见的原因，因此通知与同步核对本身留记录，复核时抽查核对记录。 每份文档的末页附修订记录表，表的字段为正式口径，项目期按此填写。 表 A9-2a　文档修订记录表（模板，附于每份文档末页） | 版本号 | 修订日期 | 修订类型 | 修订条款 | 修订内容摘要 | 修订触发 | 起草 | 会签部门 | 批准 | 下游通知完成日 | |---|---|---|---|---|---|---|---|---|---| | V1.0 | 【待填】 | 首版发布 | — | 首版 | 项目交付节点 | 归口部门 | 相关部门 | 数据治理委员会 | 【待填】 | | V1.1 | 【待填】 | 表述修正 | 全文 | 补齐部门名称与岗位编码 | 组织架构发文完成 | 归口部门 | — | 数据治理办公室 | 【待填】 | | V2.0 | 【待填】 | 条款实质变更 | 【待填：条款号】 | 【待填】 | 【待填：六类触发之一】 | 归口部门 | 相关部门 | 数据治理委员会 | 【待填】 | 修订类型取三值：首版发布、表述修正（次版本号递增）、条款实质变更（主版本号递增）。修订条款一栏须写到条款号，写「全文」仅限表述性的统一修正。下游通知完成日为空的修订视为未生效——通知未完成时，引用方仍按旧版本执行，两边的执行依据就会不一致。 ### 二、《数据合规管理制度》V1.0 样章 本节回应招标文件数据安全规划要求第（1）项数据合规管理与第（4）项输出要求（b1301、b1308），并落实项目安全合规建设要求中关于核查不可用于商业用途的建设内容、承诺数据集来源合法性的条款（b1869、b1870）。 #### 2.1 文件标识与适用范围 表 A9-3　《数据合规管理制度》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 数据合规管理制度 | | 文件编号 | GHY26691-ST-00-0028-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 内部 | | 编制依据 | 《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《生成式人工智能服务管理暂行办法》《关键信息基础设施安全保护条例》（b1896 至 b1900）；GB/T 43697—2024《数据安全技术 数据分类分级规则》；GB/T 35273—2020《信息安全技术 个人信息安全规范》；GB/T 45654—2025《网络安全技术 生成式人工智能服务安全基本要求》；煤机装备行业技术数据与设备参数保密管理相关行业指引（b1908）；招标方现行保密与信息安全制度【待填：现行制度名称与文号】 | | 适用范围 | 适用于本项目范围内全部数据处理活动，覆盖人力资源、研发设计、生产制造、仓储物流、财务管理、设备管理、采购管理、营销管理、质量管理共 9 个业务域（b1336）的数据汇聚、加工、标注、质检、验证、服务、流通与退役各环节；适用于参与上述活动的招标方各部门、各分厂岗位与我方项目组成员；适用于本项目引入的外部数据与向外提供的数据集 | | 不适用情形 | 不涉及数据处理的纯文档流转、不含任何业务数据的测试桩数据 | | 生效条件 | 经数据治理办公室组织业务评审、数据治理委员会审议通过，由招标方按企业文件发布程序正式发文后生效 | | 失效条件 | 被新版本替代；被招标方明令废止；所依据的法律法规整体失效且无替代规定 | | 归口部门 | 【待填：法务与合规归口部门】；数据治理办公室承担日常协调 | | 复核周期 | 每年一次；法律法规或国家标准更新时即时复核 | | 配套表单 | 附表 2-1 至附表 2-5（见本节 2.4） | #### 2.2 章节结构 第一章　总则 1.1 目的与适用范围 1.2 编制依据与依据层级 1.3 基本原则 1.4 术语与定义 第二章　合规管理职责 2.1 数据治理委员会职责 2.2 合规归口部门职责 2.3 业务域数据归口部门职责 2.4 安全管理岗职责 2.5 我方项目组的接口职责与责任边界 第三章　合规义务识别与清单管理 3.1 合规义务的识别方法 3.2 合规义务清单的编制与更新 3.3 与招标方现行制度的差距分析 3.4 差距整改的推进与验收 第四章　重要数据与敏感数据管理 4.1 重要数据的判定标准 4.2 敏感数据的四类范围 4.3 识别作业与双重确认 4.4 目录登记与报备 4.5 处理活动的附加要求 第五章　数据来源合法性管理 5.1 数据源登记与许可核验 5.2 不可用于商业用途内容的核查 5.3 自有数据、委托数据与外部数据的区分 5.4 合法性结论的记录与声明 第六章　个人信息与敏感地理信息保护 6.1 处理的合法性基础 6.2 最小必要与去标识化要求 6.3 敏感地理信息的特别要求 6.4 个人信息主体权利响应 第七章　数据集流通的合规要求 7.1 数据集发布前的合规审查 7.2 数据卡中的合规声明事项 7.3 流通范围与二次提供的约束 7.4 合规瑕疵的处置与召回 第八章　合规审查与评估 8.1 事前审查的触发情形 8.2 事中抽查 8.3 年度合规评估 8.4 评估结论的应用 第九章　违规情形与处理 9.1 违规情形列举 9.2 处理方式与层级 9.3 责任追溯与整改 第十章　附则 10.1 生效与修订 10.2 解释权 10.3 与既有文件冲突时的适用顺序 10.4 附表 #### 2.3 关键条款 以下为制度正文中实质条款的实际文字，节选第一章至第十章的核心条文，条款序号为正式序号。 第一条　为规范本项目数据处理活动的合规管理，明确合规义务、责任与核查方式，防范数据来源不合法、个人信息与敏感信息处理不当、数据集流通越权等风险，依据数据安全法、个人信息保护法、网络安全法及相关规定，结合招标方现行保密与信息安全制度，制定本制度。 第二条　本制度所称合规，指数据处理活动同时满足四层依据的要求：国家法律法规、人工智能与数据领域行业专项规范、煤炭装备行业专属补充依据、招标方内部数据管理制度（b1894）。四层依据发生冲突时，按前述顺序确定适用优先级；行业规范与内部制度严于法律法规的，从严执行。 第三条　合规管理遵循三条原则。其一，先合规后加工：数据源未完成登记与许可核验的，不进入加工环节。其二，证据随行：每一项合规判断须有可追溯的记录，判断结论与记录一并随数据集版本留存。其三，疑则从严：数据来源、许可范围或可商用性存疑且无法在排期内澄清的，该批数据暂不进入训练数据集，并登记为待澄清项。 第四条　数据治理委员会审议本制度及其修订，裁决合规争议，确认重要数据候选范围。合规归口部门负责合规义务清单的编制与年度合规评估，出具合规审查意见。业务域数据归口部门负责本域数据的来源说明、许可凭证提供与敏感信息确认。安全管理岗负责分级标记的核验、脱敏执行情况检查与审计日志抽查。我方项目组负责合规义务的技术落实、核查工具与记录模板的提供、核查过程的执行与结果汇总；我方不代行招标方对重要数据范围、对外提供事项的确认职责。 第五条　合规义务识别按三步执行：由合规归口部门与我方项目组共同逐条摘取四层依据中与本项目数据处理活动相关的条款，形成合规义务条目；每一条目落到具体的处理环节、责任部门与落实方式；每一条目指定可核查的证据形式。识别结论形成《合规义务识别清单》（附表 2-1），经合规归口部门确认后发布，每半年复查一次，法律法规更新时即时增补。 第六条　合规义务清单与招标方现行制度的差距，按「现行制度已覆盖」「现行制度部分覆盖」「现行制度未覆盖」三类标注。部分覆盖与未覆盖的条目形成差距清单，由合规归口部门按季度推进整改；整改方式优先修订现行制度，不另起一套与现行制度并行的体系。 第七条　重要数据按「泄露或滥用后是否可能影响行业运行、生产安全或重大经济利益」判定。本项目的重要数据候选范围包括：矿用刮板输送机的关键结构参数与选型校核方法、关键工艺参数窗口、重大项目的产能与交付能力数据、矿方工作面地质条件参数。候选范围由我方项目组梳理提出，经业务域数据归口部门确认、数据治理委员会审定后，纳入重要数据目录；需履行报备程序的，由合规归口部门按主管部门要求办理，报备口径以主管部门意见为准。 第八条　敏感数据覆盖四类：个人信息、敏感地理信息、重要行业数据、企业秘密数据（b1870）。识别采用机器预判与人工确认两步。机器预判按字段名敏感词表与取值格式特征（身份证号、手机号、银行账号、经纬度坐标、矿井与工作面标识）执行，预判以高召回为取向，宁可多报由人工剔除；人工确认由业务域数据归口部门出具意见。预判漏报的处理方式是：发现漏报后将该字段特征补入敏感词表，并对同源历史批次重新扫描。 第九条　敏感数据识别结论登记入《重要数据与敏感数据识别台账》（附表 2-2），台账字段包含判定依据、确认部门、确认时点与处理要求。台账与数据资源目录、数据安全分级标准的分级标签三者保持一致，发现不一致的以台账为准并同步更正另两处，更正留记录。 第十条　数据源纳入本项目前须完成登记与许可核验，登记内容包含来源系统或载体、权属主体、取得方式、许可范围、许可期限、是否允许用于模型训练、是否允许商业使用、是否允许对外提供。许可核验由我方项目组提出核验要点，业务域数据归口部门提供凭证，合规归口部门出具结论。无法提供凭证且权属不明的数据源不予接入（b1534）。 第十一条　不可用于商业用途的建设内容核查，按四个来向逐项执行（b1869）。第一，外部引入的标准文本、行业统计数据与第三方检测数据，核查其许可条款中有无禁止商业使用、禁止再分发或禁止用于模型训练的限制。第二，开源语料与开源模型，核查其许可协议类别及其对衍生物的约束。第三，公开网络来源的图文资料，核查其著作权状态与使用授权。第四，第三方工具与组件，核查其许可是否覆盖本项目的商业交付场景。核查结论逐项记录在《数据来源合法性与可商用性核查表》（附表 2-3），结论为「不可商用」或「存疑」的内容不进入数据集，已进入的按本制度第二十四条处置。 第十二条　涉及个人信息的数据处理，其合法性基础由业务域数据归口部门在数据源登记时声明。本项目的个人信息主要来自人力资源域的人员信息与营销域的客户联系人信息；凡用于数据集加工的，一律先行去标识化或脱敏，加工环境中不保留可直接识别个人身份的字段。去标识化的方法选择与效果评估依据 GB/T 37964—2019 与 GB/T 42460—2023 执行，评估结论记入批次质检记录。 第十三条　矿井位置、工作面地质条件参数等敏感地理信息，按数据安全分级标准定为 L4 级。此类数据进入加工链路前须完成代号替换或区间化处理，原始值与代号的映射表单独存放、单独授权，映射表的访问须逐事项审批。数据集中保留的地理相关字段不得具备精确定位能力，脱敏后的区间宽度由数据加工侧与场景验证侧共同确认，确认结论记入数据卡。 第十四条　数据集正式发布前须通过合规审查，审查项包含：数据源登记与许可核验齐备；不可商用内容核查结论为通过；个人信息与敏感地理信息的去标识化已执行且效果评估通过；涉政、色情、暴恐、涉密与未脱敏隐私信息的高风险缺陷筛查结论为无（b1885）；外部数据的许可范围覆盖本数据集的使用与流通方式。审查未通过的数据集不进入发布流程。 第十五条　数据卡中须声明的合规事项包含五项：数据来源构成与权属说明、所含外部数据的来源与许可范围、个人信息与敏感信息的处理方式、可用用途与禁止用途、流通范围与二次提供条件。声明内容与《数据来源合法性与可商用性核查表》一致，不一致时以核查表为准并更正数据卡。 第十六条　合规审查在三种情形下事前触发：新数据源首次接入；数据集新版本发布；数据集对外提供或流通范围变更。事中抽查按季度执行，抽查对象为已接入数据源的许可凭证有效性与已发布数据集的合规声明准确性，抽查比例按数据级别设定，L4 与 L5 级数据相关项的抽查比例高于 L3 级。 第十七条　年度合规评估由合规归口部门组织，评估内容包含合规义务清单的落实情况、差距整改进度、事前审查与事中抽查发现的问题及其闭环情况、外部监管要求的变化。评估结论分「符合」「基本符合，存在待整改项」「存在重大合规风险」三档；第三档须在十个工作日内提出处置方案并报数据治理委员会。 第十八条　违规情形列举五类：绕过登记与核验流程接入数据源；未经授权将数据或数据集对外提供；未按要求执行去标识化或脱敏即进入加工环节；将结论为不可商用或存疑的内容写入数据集；伪造或事后补填合规核查记录。前述情形按招标方相关管理规定处理，涉及我方项目组成员的，由我方按项目内部管理制度处理并向招标方书面说明处置结果。 第十九条　合规瑕疵的处置分三级。瑕疵限于单个样本或少量样本且可定位的，剔除该样本、重算版本指纹、出具新版本并在修订记录中说明。瑕疵涉及某一数据源的整批数据的，该源的全部样本退出当前版本，评估对已发布版本的影响并决定是否召回。瑕疵涉及许可范围判断错误并已对外提供的，立即停止提供、通知受众、按约定方式处置已交付件，并在数据集资产台账中登记该事件。 第二十条　本制度自招标方发文之日起生效。本制度由【待填：法务与合规归口部门】负责解释。招标方既有的信息化与保密管理文件与本制度不一致的，就数据处理活动的合规事项以本制度为准，并由数据治理办公室在半年内提出既有文件的修订建议。 第二十一条　个人信息的处理遵循最小必要：仅处理实现用途所必需的字段，不因「可能有用」而保留。处理前由业务域数据归口部门确认用途与字段范围的匹配性，确认记录随数据源登记表留存。个人信息的保存期限按用途设定，用途终止后按《数据退役管理规范》处置。 第二十二条　个人信息主体提出查阅、更正、删除或撤回同意请求的，由人力资源或营销管理归口部门按招标方相应制度受理。请求涉及已进入数据集的样本时，处理方式分两种：样本可定位的，剔除该样本并按《数据合规管理制度》第十九条重出版本；样本已去标识且不可逆、无法定位到特定个人的，按去标识化后不属个人信息处理，并将判定依据与评估报告编号记录在受理结论中。 第二十三条　涉政、色情、暴恐、涉密与未脱敏隐私信息属高风险缺陷，招标文件对此类缺陷的要求为清零（b1885）。本制度的执行口径是：数据集发布前完成筛查，筛查采用规则与模型双通道，筛查工具版本与规则版本记录在批次筛查记录中；筛查结论为存在高风险缺陷的批次不进入发布流程，缺陷样本剔除后重新筛查，检出数趋向为零方可放行。首轮筛查的检出率作为基线，后续批次的检出率与基线对比，检出率不降反升的，回看采集与合成环节的来源控制。筛查方法的局限须一并说明：规则通道受词表覆盖面限制，模型通道存在判别边界，因此本制度配套两项安排——抽样人工复核，以及发布后发现漏检时按第十九条的瑕疵处置条款撤回并重出版本。 第二十四条　已进入数据集的内容被判定为不可商用或存疑时，按三步处置：定位含该内容的全部版本与子集；剔除后重算版本指纹并重出版本；评估已对外提供版本的影响，按本制度第十九条决定是否召回。处置过程登记入合规事件登记表，并在数据卡修订记录中说明。 第二十五条　事中抽查的抽取方式为分层抽样：按数据级别分层，按业务域分配样本量，层内随机抽取。抽查结论分符合、存在形式缺陷、存在实质缺陷三档。形式缺陷指记录要素不全但判断结论成立；实质缺陷指结论本身不成立，实质缺陷按安全事件流程处理。 第二十六条　合规审查的留痕要求为三项：审查意见单与审查对象绑定，数据集类审查对象须填写版本指纹；审查依据的许可凭证与筛查记录作为附件；未通过项的整改完成后出具复审结论，复审结论与初审意见单关联。无复审结论的整改视为未闭环。 第二十七条　年度合规评估的输入为五项：合规义务识别清单及其复查记录；差距整改台账；事前审查与事中抽查的汇总；合规事件登记表；外部监管要求的变化梳理。评估报告提交数据治理委员会，并作为下一年度合规工作安排的依据。 第二十八条　本制度的执行情况纳入部门数据管理考核。考核取向为三条：核查记录完整的不因发现问题而扣分；记录缺失或事后补填的从重；主动报告合规风险并推动整改的予以加分。这一取向的用意是让风险在发生前被说出来。 #### 2.4 附表与模板 附表 2-1　合规义务识别清单（模板） | 字段 | 含义 | 类型 | 必填 | 取值域或填写要求 | |---|---|---|---|---| | 条目编号 | 本清单内唯一编号 | 文本 | 是 | HG-顺序号四位 | | 依据层级 | 来源依据所属层级 | 枚举 | 是 | 法律法规／行业专项规范／行业补充依据／内部制度 | | 依据名称与条款 | 依据文件名称及具体条款号 | 文本 | 是 | 写到条款号，不写「相关规定」 | | 义务内容 | 本项目须履行的具体义务 | 文本 | 是 | 须含动作与对象 | | 落点环节 | 义务落在哪个处理环节 | 枚举 | 是 | 登记／采集／加工／标注／质检／验证／发布／流通／退役 | | 责任部门 | 履行该义务的部门 | 文本 | 是 | 引用招标方部门名称 | | 落实方式 | 通过什么安排落实 | 文本 | 是 | 指向具体流程、表单或平台配置项 | | 证据形式 | 可核查的证据 | 文本 | 是 | 指向具体记录名称 | | 覆盖判定 | 与现行制度的差距 | 枚举 | 是 | 已覆盖／部分覆盖／未覆盖 | | 整改要求 | 差距的整改安排 | 文本 | 条件必填 | 覆盖判定非「已覆盖」时必填 | | 复查时点 | 下次复查的时点 | 日期 | 是 | 默认为半年后 | 样例行：HG-0012｜法律法规｜个人信息保护法第十三条｜处理个人信息须具备法定合法性基础，并在数据源登记时声明｜登记｜人力资源域数据归口部门｜数据源登记表增设「个人信息合法性基础」字段，未填不予提交｜数据源登记表存档件｜部分覆盖｜现行《员工信息管理规定》未涵盖用于模型训练的情形，提请修订｜【待填：复查时点】 样例行：HG-0031｜行业专项规范｜高质量数据集质量评测规范（TC609-5-2025-04）说明文档维度｜数据集须随附说明文档并声明来源与许可｜发布｜数据治理办公室｜数据卡「来源与许可」分区设为必填，缺失则发布流程不予放行｜数据卡存档件与发布审批单｜已覆盖｜—｜【待填：复查时点】 附表 2-2　重要数据与敏感数据识别台账（模板与样例行） | 台账编号 | 数据对象 | 所属业务域 | 类别 | 判定依据 | 分级 | 确认部门 | 确认时点 | 处理要求 | 报备情况 | |---|---|---|---|---|---|---|---|---|---| | ZD-0003 | 刮板输送机选型校核公式与修订参数 | 研发设计 | 重要行业数据、企业秘密数据 | 关系产品核心性能与行业技术优势 | L5 | 【待填：研发设计归口部门】 | 【待填】 | 加工环境与人员单独限定，不进入对外流通数据集 | 列入重要数据候选，待主管部门意见 | | ZD-0007 | 矿方工作面地质条件参数 | 营销管理 | 敏感地理信息、重要行业数据 | 涉及矿方生产安全信息与地理信息安全 | L4 | 【待填：营销管理归口部门】 | 【待填】 | 区间化处理，映射表单独存放并逐事项审批 | 列入重要数据候选，待主管部门意见 | | ZD-0015 | 热处理炉次温度曲线（按炉型聚合） | 生产制造 | 企业秘密数据 | 单炉次为 L2，按炉型全量聚合后反映关键工艺参数窗口 | L5（聚合后升级） | 【待填：生产制造归口部门】 | 【待填】 | 聚合数据集单独定级并在数据卡声明流通范围 | 不报备 | | ZD-0022 | 在职人员身份与薪酬信息 | 人力资源 | 个人信息 | 含可直接识别个人身份的字段 | L4 | 【待填：人力资源归口部门】 | 【待填】 | 去标识化后方可进入加工环境，加工产物不保留标识字段 | 不报备 | 附表 2-3　数据来源合法性与可商用性核查表（模板） | 核查项 | 核查要点 | 证据要求 | 结论取值 | |---|---|---|---| | 权属 | 数据的权属主体是否明确 | 权属说明或合同条款截取 | 明确／不明确 | | 取得方式 | 自有生产、委托加工、采购引入或公开获取 | 来源说明、采购合同、下载记录 | 四选一 | | 许可范围 | 是否允许内部使用、衍生加工、模型训练、商业使用、对外提供 | 许可协议或合同条款原文 | 逐项标注允许／不允许／未约定 | | 许可期限 | 起止日期与到期处置约定 | 协议条款 | 日期区间 | | 可商用性 | 有无禁止商业用途的限制 | 协议条款原文 | 可商用／不可商用／存疑 | | 再分发 | 衍生品能否对外提供及其条件 | 协议条款原文 | 允许／需供方同意／不允许／未约定 | | 署名要求 | 是否要求署名及引用格式 | 协议条款原文 | 要求／不要求 | | 内容安全 | 有无涉政、色情、暴恐、涉密内容 | 筛查记录与筛查工具版本 | 通过／不通过 | | 个人信息 | 是否含个人信息及处理方式 | 去标识化执行记录与效果评估 | 不含／已处理／未处理 | | 综合结论 | 可否进入本项目数据集 | 以上各项的汇总判断 | 通过／不通过／待澄清 | 「未约定」是本表最需要注意的取值。许可协议未明确约定衍生品能否用于模型训练或对外提供时，按本制度第三条「疑则从严」处理，列为待澄清项并由采购或业务归口部门向供方书面确认，确认结果补入本表。 附表 2-4　合规审查意见单（模板） 字段包含：意见单编号、审查对象（数据源或数据集版本）、审查触发情形、审查项逐项结论、未通过项及其原因、整改要求与时限、审查人岗位、审查日期、复审结论、归档编号。审查对象为数据集版本时，须填写版本指纹，使意见单与确定的数据集对象绑定。 附表 2-5　合规事件登记表（模板） 字段包含：事件编号、发现时间、发现方式（事前审查／事中抽查／年度评估／外部反馈／内部举报）、事件描述、涉及数据对象与版本、影响范围评估、处置措施、是否召回、通知对象与通知时间、闭环时间、责任追溯结论、后续改进措施。本表按年归档，年度合规评估时作为输入。 #### 2.5 与本项目业务的结合点 本制度在本项目上的落点集中在三处，都是矿山装备制造数据的具体特征带来的。 第一处是聚合后敏感度升级。本项目要加工的 63 万张历史工艺样本，单张图纸或单份工艺卡片按分级标准多为 L3；但某一产品线全部 28 道备料工序的工艺卡片聚合在一起，其技术秘密含量接近 L5。本制度第九条要求台账与分级标签保持一致，并把聚合后的定级结论作为数据集级别而非成分最大值，正是为此。实际操作中，制造过程数据集的预训练子集因包含跨工序的工艺卡片全集，其定级须单独审批，不沿用成分数据元的级别。 第二处是地质条件参数的处理尺度。刮板输送机的选型校核依赖工作面的煤层厚度、倾角、顶底板条件等参数，这些参数既是选型类样本的关键特征，又属于矿方的生产安全信息。本制度第十三条要求区间化处理并由加工侧与场景验证侧共同确认区间宽度，原因是区间过宽会使选型类样本失去工况区分度，区间过窄则达不到去标识效果。确认结论写入数据卡，使后续场景验证的结论可以回溯到当时的脱敏尺度。 第三处是外部引入内容的可商用性。本项目可能引入的标准文本、行业统计数据与供应商检测数据中，标准文本的著作权限制最容易被忽略——国家标准与行业标准的正文受著作权保护，其全文或大段原文若直接写入预训练语料，许可范围未必覆盖商业性数据集的流通。本制度第十一条把标准文本列为核查的第一来向，处置方式是以术语、字段定义、取值域等事实性内容为引用对象，不整段纳入语料，并在数据卡中声明引用方式。 #### 2.6 评审与修订 本制度由合规归口部门起草，法务、信息安全、九个业务域数据归口部门会签，征求意见期不少于五个工作日，经数据治理办公室审核、数据治理委员会审议通过后由招标方发文发布。首版发布节点安排在数据汇聚与首批数据集加工开始之前——制度未发布则数据源登记无依据，这一顺序不可调换。 定期复核每年一次，由合规归口部门组织，核查合规义务清单的时效性、现行制度差距的整改进度、本制度条款在过去一年有无执行记录与执行障碍。法律法规或行业规范发布新版本时即时复核，复核范围限于受影响的条款。 修订通知按引用关系表执行。本制度被《数据安全分级标准》《外部数据引入管理办法》《数据开放共享管理规范》三份文档引用，同时被数据源登记表、数据卡合规声明分区与数据集发布审批流程引用。修订涉及核查项增减时，通知中写明平台配置项的调整内容与生效时点，并对已登记数据源按新核查项补充核查；补充核查在三个月内完成，未完成的数据源暂停新增批次接入。 ### 三、《数据安全管理办法》V1.0 样章 本节回应招标文件数据安全规划要求第（2）项数据安全防护、第（3）项数据安全审计与第（4）项输出要求（b1304 至 b1309），并落实平台须具备全流程审计和日志记录、严格的权限校验与访问名单控制的要求（b1871）。 #### 3.1 文件标识与适用范围 表 A9-4　《数据安全管理办法》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 数据安全管理办法 | | 文件编号 | GHY26691-ST-00-0029-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 内部 | | 编制依据 | GB/T 37988—2019《信息安全技术 数据安全能力成熟度模型》；GB/T 22239—2019《信息安全技术 网络安全等级保护基本要求》；GB/T 41479—2022《信息安全技术 网络数据处理安全要求》；GB/T 39786—2021《信息安全技术 信息系统密码应用基本要求》；GB/T 34960.5—2018《信息技术服务 治理 第 5 部分：数据治理规范》；本项目《数据合规管理制度》 | | 适用范围 | 适用于本项目数据集加工生产平台、数据集运营服务管理平台及其承载的全部数据的安全管理；适用于 9 个业务域数据在采集、加工、标注、质检、验证、服务、流通、退役各环节的安全防护与审计；适用于招标方相关岗位与我方项目组成员 | | 不适用情形 | 招标方生产控制网络内部的工控安全管理按招标方现行工控安全制度执行，本办法仅规定其数据对外提供侧的安全要求 | | 生效条件 | 经业务评审与数据治理委员会审议通过，由招标方正式发文后生效 | | 失效条件 | 被新版本替代或被明令废止 | | 归口部门 | 【待填：信息安全归口部门】 | | 复核周期 | 每年一次；等级保护测评或商用密码应用安全性评估提出整改要求时即时复核 | | 配套文件 | 《数据安全分级标准》《数据权限管理规范》；技术实现见技术方案安全方案一节 | | 配套表单 | 附表 3-1 至附表 3-6（见本节 3.4） | #### 3.2 章节结构 第一章　总则 1.1 目的与适用范围 1.2 编制依据 1.3 安全管理的四项基本要求 1.4 术语与定义 第二章　组织与职责 2.1 数据治理委员会的安全决策职责 2.2 信息安全归口部门职责 2.3 安全管理岗职责 2.4 业务域数据归口部门职责 2.5 数据运维岗与平台运维岗职责 2.6 我方项目组的接口职责与责任边界 第三章　分类分级管理 3.1 分级标准的引用关系 3.2 分级标记的落地要求 3.3 分级结论的复评 3.4 数据集的独立定级 第四章　安全防护要求 4.1 权限管控的管理要求 4.2 敏感数据脱敏的管理要求 4.3 数据水印的管理要求 4.4 访问审批的管理要求 4.5 加工环境的分区要求 4.6 导入导出的管控要求 4.7 存储与传输的保护要求 第五章　数据安全审计 5.1 日志的覆盖范围 5.2 日志要素 5.3 审计分析模型 5.4 追溯能力与核验方式 5.5 日志的保护与留存 第六章　安全事件响应 6.1 事件分级 6.2 报告与响应时限 6.3 处置流程与升级路径 6.4 复盘与改进 第七章　监督与考核 7.1 日常检查 7.2 专项检查 7.3 考核指标与结果应用 第八章　附则 8.1 生效与修订 8.2 解释权 8.3 附表 #### 3.3 关键条款 第一条　为规范本项目数据的安全管理，明确职责、防护要求、审计要求与事件响应要求，依据数据安全能力成熟度模型、网络安全等级保护基本要求及相关规定，结合本项目数据集加工生产与运营流通的业务特点，制定本办法。 第二条　数据安全管理遵循四项基本要求。按级施策：安全措施的强度与数据级别对应，不对全部数据采用同一强度。授权前置：数据的访问、加工、导出、对外提供均以授权为前提，无授权不操作。留痕可查：对数据的操作须留下可追溯的记录，记录的完整性本身是安全能力的一部分。边界清晰：加工环境、运营环境与招标方生产环境之间的数据流向按既定通道流转。 第三条　信息安全归口部门统筹本办法的执行，组织年度安全检查，裁决安全措施与业务效率的冲突。安全管理岗承担六项日常职责：分级标记完整性核验、权限申请的安全性复核、脱敏执行情况检查、审计日志抽查与异常事件初判、安全事件的受理与跟踪、销毁作业的现场监督。业务域数据归口部门对本域数据的级别、使用范围与授权申请的业务合理性负责。我方项目组负责安全措施在平台与工具链上的实现、安全配置的交付与变更、审计规则的配置与调优，并向安全管理岗提供检查所需的数据与报表；重要数据范围确认、对外提供审批、违规处理等属招标方职权的事项由招标方决定。 第四条　本办法引用《数据安全分级标准》的 L1 至 L5 五级分级结论，不另行定义级别。纳管的每一个数据元须有分级标签，每一个数据集版本须有独立定级结论。未完成分级标记的数据对象，按其所属数据主题的最高级别临时管控，并在三十日内完成正式标记。 第五条　数据集的级别不等于其成分数据元级别的最大值。数据集按聚合后的实际敏感度单独定级，定级结论记录在数据卡中，定级依据与审批记录随数据集版本留存。级别发生变化的数据集，其已签发的授权凭据在十个工作日内按新级别重新核定，核定结果通知受众。 第六条　权限管控按角色与属性结合的模型执行。角色定义岗位的基本权限集合；属性在角色之上做动态约束，约束维度包含数据级别、业务域、项目范围、时间范围与访问环境。权限授予遵循最小必要原则：权限申请须声明用途与期限，无期限的长期权限仅限岗位固有权限；L4 与 L5 级数据的权限逐事项审批，不随角色自动获得；权限按季度复核，连续一个季度未使用的非固有权限进入待回收清单。权限模型的具体定义、申请流程与管控矩阵见《数据权限管理规范》。 第七条　脱敏按用途分静态与动态两种。静态脱敏用于数据集加工与对外提供场合，在数据落地时完成变换，产物不可逆；动态脱敏用于查询展示场合，在返回结果时按访问者权限实时变换，底层数据不变。L4 与 L5 级数据进入数据集加工环境前须完成静态脱敏或去标识化；脱敏规则的选择、信息损失特征与可用性评估结论记入批次质检记录与数据卡。 第八条　L3 及以上级别数据的导出件须带水印。文档与报表导出件加可见水印，标注使用者标识、时间与用途；数据集与批量导出的结构化数据加隐式水印，用于外泄时判断来源批次。水印与导出审批记录关联，可由水印反查到审批单。水印的嵌入方式与强度在技术方案安全方案一节规定。 第九条　访问审批的要素须完整，缺项不予受理：申请人与所属部门、用途、数据范围、字段范围、涉及的最高级别、期限、使用环境、是否允许导出、是否允许二次提供。审批层级按级别设定，与《数据权限管理规范》的分级管控矩阵一致。审批记录与后续访问日志关联，使授权与实际操作可以对上。 第十条　数据加工环境按级别分区。L3 级及以下数据在内网加工区处理；L4 与 L5 级数据在内网受控区处理，受控区的人员范围、终端范围与外设使用单独限定，不具备导出通道的操作在受控区内完成。跨区数据流转按既定通道执行，流转记录包含源区、目标区、数据对象、级别、批次标识与审批单号。 第十一条　审计日志的覆盖范围包含三部分：数据集加工生产平台与数据集运营服务管理平台自身的操作；经统一数据服务通道对源系统数据的访问；权限与配置的变更操作。源系统内部的直接操作日志由源系统自身记录，本项目通过接口采集其可获取部分并在审计分析中合并；源系统日志能力不足的，在诊断报告中列为缺口并提出改造建议，本项目不替源系统补建其内部审计能力。 第十二条　日志要素按附表 3-1 记录，要素缺失的日志视为不完整日志，不完整日志的比例按月统计并纳入考核。查询类操作记录查询条件，修改类操作记录变更前后值；变更前后值的存储是否脱敏按数据级别判定，L4 与 L5 级数据的变更值在日志中以脱敏形式存储，原值在受控查询下可按审批调取。 第十三条　审计分析按三类模型运行：阈值类，判定单位时间内查询量、导出量、失败次数是否超出基线；行为模式类，判定是否存在非常规时段访问、非常规来源访问、首次访问高级别数据、权限变更后立即大量访问；关联类，判定审批范围与实际访问范围是否相符、同一数据是否被多账号集中访问。命中事件生成审计告警，按级别推送至安全管理岗与业务域数据归口部门，告警的受理与处置结论回写至事件记录。 第十四条　追溯能力按抽样核验。每季度从日志中抽取一定数量的 L3 及以上级别数据访问记录，逐条核验能否还原「谁、何时、通过什么通道、对哪些记录、做了什么、依据哪张审批单」。首次核验结果作为基线，抽样可追溯率的目标是逐步接近全部；未能还原的记录逐条分析原因并形成日志完善清单。核验结果未达期段目标时的处置是补齐日志字段与关联凭据，并对相应级别的数据暂时收紧授权方式至逐事项审批，这是本指标的回退安排。 第十五条　日志写入后不可修改。日志删除须经安全管理岗与信息安全归口部门双人审批并留下删除记录。日志存储与业务数据存储分离；运维人员对日志存储的权限与对业务数据的权限分离，同一账号不同时具备两者的写权限。日志留存期限按级别与法规要求设定，不低于相关规定的最低期限，到期前评估是否继续留存。 第十六条　安全事件按影响程度分三级，分级标准与响应时限见附表 3-3。任何岗位发现安全事件或疑似安全事件，应在发现后一小时内报告安全管理岗，不得自行处置后再行报告。事件处置的首要动作是止损与证据保全：先切断越权访问路径或暂停相关服务，再固定日志与现场证据，之后分析原因。 第十七条　一级事件由信息安全归口部门负责人组织处置，处置过程中按小时报告进展；二级事件由安全管理岗组织处置；三级事件由发现方按既定处置方式处理并登记。涉及个人信息泄露或重要数据外泄的事件，由招标方按法律法规要求履行通知与报告义务，我方项目组提供技术分析与证据材料。 第十八条　一级与二级事件在闭环后十个工作日内完成复盘，复盘报告写明事件经过、直接原因、管理与技术上的缺口、已采取的措施、待改进项与责任部门。复盘结论中涉及条款缺口的，作为本办法或相关规范的修订触发条件。 第十九条　日常检查由安全管理岗按月执行，检查项见附表 3-4。专项检查在三种情形下组织：等级保护测评或商用密码应用安全性评估前；重大数据集版本对外发布前；发生一级安全事件后。年度安全检查由信息安全归口部门组织，覆盖本办法全部条款的执行情况。 第二十条　安全考核指标见附表 3-5，考核结果纳入部门与岗位绩效。考核不以事件数量为单一指标——主动发现并上报事件的部门不因上报而扣分，隐瞒不报或延迟上报的从重处理，这一安排的目的是让问题被看见。 第二十一条　本办法自招标方发文之日起生效，由【待填：信息安全归口部门】负责解释。本办法与《数据合规管理制度》就同一事项规定不一致时，以更严格的规定为准。 第二十二条　数据导入须经登记，登记内容包含来源、用途、涉及级别、导入方式与责任岗位。导入文件的完整性以摘要值核对，摘要算法采用国家密码管理部门认可的杂凑算法。未登记的导入操作由平台拒绝并记录。 第二十三条　数据导出按分级管控矩阵执行。L3 及以上级别的导出须生成导出清单，清单内容包含导出对象、字段范围、记录数、导出时间、审批单号与接收方。导出清单与导出件一并留存，留存期限与日志一致。批量导出达到量级阈值的触发告警，由安全管理岗判别。 第二十四条　数据存储按级别设置保护措施，存储介质的报废与更换按《数据退役管理规范》的销毁要求处置。数据传输按通道类型选择保护方式，跨区与对外传输采用加密通道。具体的密码算法选用、密钥管理与密码产品配置在技术方案安全方案一节规定，并以商用密码应用安全性评估结论为准（b1880）。 第二十五条　加工环境中不保留超出加工所需的数据副本。加工过程产生的中间结果按任务配置设定保留期限，期限届满自动清理；需要延长保留的，申请并说明理由。中间结果的级别继承其输入的最高级别，不因是中间结果而降低管控。 第二十六条　标注作业环境单独设置，标注人员仅可访问指派批次内的样本，不可检索批次之外的数据，不可导出样本原件。标注结果的提交与回退均留痕。标注人员的权限按《数据权限管理规范》的时间范围约束设定，批次结束权限失效。 第二十七条　平台账号的口令与凭据管理、终端安全要求、网络分区与边界防护要求按招标方现行信息安全制度与技术方案安全方案执行，本办法不重复规定。本办法与招标方现行制度就同一事项规定不一致时，以更严格的规定为准，并由信息安全归口部门在三个月内提出两套文件的衔接意见。 第二十八条　年度安全检查的结论分三档：符合要求；存在待整改项；存在重大风险。存在重大风险的，由信息安全归口部门在十个工作日内提出处置方案，期间对相关级别的数据收紧授权方式。年度检查结论与考核结果一并提交数据治理委员会。 第二十九条　我方项目组成员的安全管理按三项执行：入场前签署保密承诺并完成安全培训；账号按岗位最小必要开立，离场时当日回收并出具回收确认；受控区作业按名单与审批执行。涉及人员变动的，由我方书面通知招标方并同步调整名单。 图 A9-2　安全事件的分级、响应路径与记录产出 发现来源 审计告警／人工发现 安全管理岗受理 一小时内登记并初判 事件报告 分级判定 一级／二级／三级 一级　归口部门负责人组织，按小时报告 二级　安全管理岗组织处置 三级　发现方处置并登记 止损与证据保全 先断路径，后固证据 原因分析与处置 权限、配置、流程三查 闭环与复盘 一级二级十日内复盘 产出记录（随事件编号绑定，归档后进入年度安全检查输入） 安全事件登记表（附表 3-6）　｜　证据清单与日志快照　｜　处置记录与时限留痕 权限回收与凭据失效记录　｜　受众通知记录　｜　复盘报告与条款修订建议 图 A9-2　数据来源：招标文件第五章 3.2.6.1.1.2.7 第（3）项数据安全审计要求（b1306、b1307）与项目安全合规建设要求（b1871）；事件分级与时限取本办法第十六条、第十七条。 #### 3.4 附表与模板 附表 3-1　操作日志要素字段表（模板） | 字段 | 含义 | 类型 | 必填 | 取值域或校验规则 | |---|---|---|---|---| | 日志标识 | 日志记录唯一标识 | 文本 | 是 | 全局唯一，不可重复 | | 操作主体账号 | 发起操作的账号标识 | 文本 | 是 | 须存在于账号目录 | | 所属组织 | 账号所属部门 | 文本 | 是 | 引用组织目录 | | 所属角色 | 操作时生效的角色 | 文本 | 是 | 引用角色目录，多角色时记录生效角色 | | 关联自然人标识 | 服务账号的实际责任人标识 | 文本 | 条件必填 | 服务账号必填 | | 发起时间 | 操作发起时间 | 时间戳 | 是 | 统一时间基准，毫秒精度 | | 完成时间 | 操作完成时间 | 时间戳 | 是 | 不早于发起时间 | | 操作类型 | 操作的动作类别 | 枚举 | 是 | 查询／新增／修改／删除／导出／接口调用／授权变更／配置变更 | | 对象系统 | 被操作的系统或平台 | 文本 | 是 | 引用系统目录 | | 对象标识 | 被操作的数据对象 | 文本 | 是 | 表、接口、数据集版本等 | | 字段范围 | 涉及的字段清单 | 文本 | 条件必填 | 查询与导出必填 | | 记录范围 | 影响的记录条件或条数 | 文本 | 是 | 批量操作须填影响记录数 | | 数据级别 | 涉及的最高数据级别 | 枚举 | 是 | L1 至 L5 | | 变更前值 | 修改类操作的原值 | 文本 | 条件必填 | 修改、删除必填；L4 与 L5 脱敏存储 | | 变更后值 | 修改类操作的新值 | 文本 | 条件必填 | 修改、新增必填；L4 与 L5 脱敏存储 | | 查询条件 | 查询类操作的条件表达式 | 文本 | 条件必填 | 查询必填 | | 来源地址 | 发起操作的网络地址 | 文本 | 是 | 记录原始地址，不做归并 | | 终端标识 | 终端或设备标识 | 文本 | 是 | 受控区操作须可定位到终端 | | 访问通道 | 操作经由的通道 | 枚举 | 是 | 平台界面／接口／文件通道／专线 | | 执行结果 | 操作的结果 | 枚举 | 是 | 成功／失败／被拒绝 | | 失败原因 | 失败或被拒绝的原因 | 文本 | 条件必填 | 结果非成功时必填 | | 审批单号 | 关联的审批单 | 文本 | 条件必填 | L4 与 L5 级操作必填 | | 任务标识 | 关联的加工任务或作业 | 文本 | 条件必填 | 加工类操作必填 | | 会话标识 | 关联会话 | 文本 | 是 | 用于同一会话内操作串联 | 被拒绝的访问尝试同样记录，这是识别试探性越权的主要依据；只记成功操作的日志，发现不了反复尝试访问高级别数据的行为。 附表 3-2　审计分析规则登记表（模板与样例行） | 规则编号 | 规则类型 | 判定逻辑 | 阈值来源 | 告警级别 | 推送对象 | 复核周期 | |---|---|---|---|---|---|---| | AD-0001 | 阈值类 | 单账号单日 L3 及以上数据查询条数超过基线倍数 | 该账号近三个月分布的上分位 | 二级 | 安全管理岗 | 季度 | | AD-0004 | 阈值类 | 单次导出记录数超过该对象的导出量阈值 | 按对象设定 | 一级 | 安全管理岗、业务域数据归口部门 | 季度 | | AD-0009 | 行为模式类 | 非工作时段访问 L4 及以上数据且无在途审批单 | 不设阈值，命中即告警 | 一级 | 安全管理岗 | 半年 | | AD-0012 | 行为模式类 | 权限变更后两小时内对新增范围发起批量查询 | 不设阈值 | 二级 | 安全管理岗 | 半年 | | AD-0017 | 关联类 | 实际访问字段范围超出审批单授权字段范围 | 不设阈值 | 一级 | 安全管理岗、信息安全归口部门 | 季度 | | AD-0021 | 关联类 | 同一数据集版本在短期内被三个以上账号集中下载 | 按数据集级别设定 | 二级 | 安全管理岗、数据治理办公室 | 季度 | 新纳管对象在积累两个月运行基线后启用阈值类规则；基线不足期间按行为模式类与关联类规则监控。 附表 3-3　安全事件分级与响应时限（模板） | 级别 | 判定情形 | 报告时限 | 响应时限 | 处置组织者 | 闭环要求 | |---|---|---|---|---|---| | 一级 | L4 或 L5 级数据外泄或疑似外泄；重要数据越权对外提供；审计日志被篡改或大面积缺失；数据集已对外发布后发现合规瑕疵 | 发现后一小时内 | 两小时内启动处置 | 信息安全归口部门负责人 | 止损完成并出具复盘报告，整改项明确责任与时限 | | 二级 | L3 级数据越权访问；权限配置错误导致超范围可见；导出件无水印流出；脱敏未执行即进入加工环境 | 发现后一小时内 | 当日内启动处置 | 安全管理岗 | 原因定位、配置纠正、影响范围核查完成 | | 三级 | 单次失败的越权尝试；日志字段缺失；审批单要素填写不全 | 当日登记 | 三个工作日内处理 | 发现方 | 登记并完成纠正 | 附表 3-4　月度安全检查表（模板） 检查项包含十二项：分级标记完整率；新增账号与角色的授权合规性；L4 与 L5 级权限的审批单齐备性；季度权限复核的执行情况；脱敏规则的实际执行比对；导出件水印抽样核查；审批范围与访问日志一致性抽查；日志完整率与缺失字段统计；审计告警的受理与闭环情况；受控区人员与终端清单的时效性；外部数据台账的许可有效期临期提醒处理情况；安全事件登记与闭环情况。每项填写检查结论、发现问题、整改要求与整改时限。 附表 3-5　安全考核指标表（模板） | 指标 | 计算口径 | 考核对象 | 周期 | 目标取向 | |---|---|---|---|---| | 分级标记完整率 | 已标记数据元数÷纳管数据元数 | 业务域数据归口部门 | 月 | 逐步接近全部，首月结果为基线 | | 审批要素完整率 | 要素齐备的审批单数÷审批单总数 | 申请部门 | 月 | 逐步接近全部 | | 日志完整率 | 要素齐备的日志条数÷日志总条数 | 我方项目组、平台运维岗 | 月 | 逐步接近全部 | | 抽样可追溯率 | 可完整还原的记录数÷抽样记录数 | 我方项目组 | 季 | 逐步接近全部，首次核验为基线 | | 权限复核完成率 | 已复核权限项数÷应复核权限项数 | 业务域数据归口部门 | 季 | 按期完成 | | 待回收权限清理时效 | 进入清单至回收完成的天数 | 业务域数据归口部门 | 季 | 不超过约定天数 | | 事件按时报告率 | 按时限报告的事件数÷事件总数 | 全部岗位 | 季 | 逐步接近全部 | | 一级事件复盘按时率 | 按期出具复盘报告数÷一级事件数 | 信息安全归口部门 | 半年 | 按期完成 | 附表 3-6　安全事件登记表（模板） 字段包含：事件编号、发现时间、发现方式、报告人岗位、事件级别、涉及数据对象与级别、涉及数据集版本与版本指纹、影响范围（账号数、记录数、是否已对外）、止损措施与完成时间、证据清单、原因分析结论（权限配置／流程执行／技术缺陷／人为违规四分类）、处置措施、权限回收与凭据失效记录、受众通知记录、闭环时间、复盘报告编号、条款修订建议。 #### 3.5 与本项目业务的结合点 本办法在本项目上有三处具体落点。 加工环境分区对应的是本项目数据的实际构成。63 万张历史工艺样本中，图纸与工艺卡片按分级标准多为 L3 级，可在内网加工区处理；而选型校核公式与修订参数、关键工艺的核心参数窗口为 L5 级，须在内网受控区处理。受控区的现实约束是人员与终端数量有限，因此本办法第十条要求的分区不是把全部数据搬进受控区，而是把 L5 级样本的加工任务单独排期、单独审批、单独记录，加工产物的流通范围在数据卡中声明。 隐式水印对本项目有特殊意义。本项目的数据集会进入运营与流通环节，一份数据集被授权给多个使用方后若出现未授权扩散，隐式水印是判断来源批次的依据。因此本办法第八条把 L3 级作为水印起点，而不是只对 L4 与 L5 级要求水印——制造过程与质量域的数据集大量处于 L3 级，恰恰是流通中最常被申请的部分。 审计日志的覆盖边界与招标方的系统现状直接相关。本项目需接入的外围应用系统包含制造执行、产品生命周期管理、企业资源计划、质量管理、仓储管理、热处理群控等多个系统（b0804r02），各系统的日志能力参差不齐。本办法第十一条写明的责任边界——本项目不替源系统补建其内部审计能力——是为了避免验收时对审计完整性的理解分歧；可获取的源系统日志通过接口采集并在审计分析中合并，不可获取的在诊断报告中列为缺口并提出改造建议。 #### 3.6 评审与修订 本办法由信息安全归口部门起草，法务、九个业务域数据归口部门、平台运维岗会签，经数据治理办公室审核、数据治理委员会审议通过后发布。首版发布节点与《数据安全分级标准》《数据权限管理规范》同期，三份文档一并评审，避免分级口径与管控策略在评审中被分别修改而失去对应关系。 定期复核每年一次。等级保护 2.0 测评或商用密码应用安全性评估提出整改要求时即时复核（b1880），复核范围限于被提出整改的条款及其引用方。审计分析规则的阈值按附表 3-2 的复核周期单独调整，阈值调整不构成本办法的版本变更，但须在规则登记表中留记录。 修订通知的同步范围包含三类：引用本办法的其余八份治理文档；平台的权限、脱敏、水印、日志与告警配置项；相关岗位的培训材料。修订涉及日志要素增减时，平台侧的配置变更与历史日志的兼容处理方式在通知中一并写明——新增必填要素对历史日志不追溯补填，但统计口径中须区分新旧要素的生效区间，否则日志完整率的月度曲线会出现无法解释的跳变。 ### 四、《数据安全分级标准》V1.0 样章 本节回应招标文件数据安全规划要求第（1）项中按 L1 公开、L2 内部、L3 重要、L4 敏感、L5 机密五个层级制定数据安全分级标准的要求（b1301、b1302、b1303）与第（4）项输出要求（b1308、b1309）。 #### 4.1 文件标识与适用范围 表 A9-5　《数据安全分级标准》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 数据安全分级标准 | | 文件编号 | GHY26691-ST-00-0030-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 正文内部；附录 A 分级实例清单与附录 C 敏感特征词表分册管理，发放范围单独审批 | | 编制依据 | GB/T 43697—2024《数据安全技术 数据分类分级规则》；GB/T 38667—2020《信息技术 大数据 数据分类指南》；GB/T 35273—2020《信息安全技术 个人信息安全规范》；《中华人民共和国数据安全法》；煤机装备行业技术数据与设备参数保密管理相关行业指引（b1908）；招标方现行保密制度【待填：现行保密制度名称与文号】 | | 适用范围 | 适用于本项目纳管范围内 9 个业务域（b1336）数据的分类与分级，包含结构化业务数据、文档、图纸、时序数据与图像五类形态；适用于四类数据集及其用途子集的独立定级；分级结论用于权限管控、脱敏、水印、审计、流通与退役各环节的策略取值 | | 不适用情形 | 不适用于招标方对纸质档案的密级管理，纸质档案密级按招标方档案与保密制度执行；本标准与档案密级的对应关系见附录 D | | 生效条件 | 经九个业务域数据归口部门业务评审、数据治理委员会审议通过，由招标方正式发文后生效 | | 失效条件 | 被新版本替代；所依据的分类分级国家标准被替代且判定框架发生实质变化 | | 归口部门 | 【待填：信息安全归口部门】 | | 复核周期 | 每半年一次；业务范围或数据构成发生较大变化时即时复核 | | 配套表单 | 附录 A 至附录 E（见本节 4.4） | #### 4.2 章节结构 1　范围 2　规范性引用文件 3　术语和定义 3.1 数据分类 3.2 数据分级 3.3 数据元 3.4 数据主题 3.5 聚合敏感度 3.6 衍生数据 4　分类框架 4.1 分类维度与层级 4.2 业务域划分 4.3 数据主题划分 4.4 分类编码规则 5　分级框架 5.1 五级定义 5.2 判定要素 5.3 判定依据与影响对象 5.4 分级与其他标尺的对应 6　判定规则 6.1 基本判定规则 6.2 聚合敏感度升级规则 6.3 衍生数据的级别传递规则 6.4 脱敏后降级规则 6.5 冲突裁决规则 7　分级作业 7.1 作业流程与五个步骤 7.2 定级输入的两个来源 7.3 审批层级 7.4 标记的落地位置 7.5 复核与复评 8　分级标签的字段定义 8.1 字段清单与取值域 8.2 校验规则 8.3 与数据资源目录、数据卡的一致性要求 9　分级结论的使用 9.1 作为管控策略取值 9.2 作为数据集定级输入 9.3 作为退役处置判定输入 附录 A　分级实例清单（规范性） 附录 B　聚合升级判定示例（资料性） 附录 C　敏感特征词与格式特征表（规范性） 附录 D　与招标方现行密级的对应关系（规范性） 附录 E　分级申请与审批单模板（规范性） #### 4.3 关键条款 4.1.1　本标准规定本项目纳管数据的分类维度、五级分级框架、判定规则、分级作业流程与分级标签的字段定义，适用于数据元、数据主题、数据集三个粒度的定级。 4.2.1　业务域的划分不随本标准修订。数据主题的增设由业务域数据归口部门提出，数据治理办公室确认后登记，并同步至分类编码与数据资源目录。数据主题的合并与废止同样走确认流程，废止的主题编码不再复用。 4.4.1　分类按「业务域＋数据主题」二维组织。第一维为 9 个业务域：人力资源、研发设计、生产制造、仓储物流、财务管理、设备管理、采购管理、营销管理、质量管理（b1336）。第二维为业务域下的数据主题，例如生产制造域下设工单与报工、工艺执行、热处理炉次、焊接过程、设备运行五个主题。分类的粒度到数据主题，分级的粒度到数据元；数据集作为独立对象单独定级。 4.4.4　分类编码为三段式：业务域码两位、数据主题码两位、数据元序号四位。业务域码与本项目文档编号规则中的业务域码取值一致，口径以数据治理段的 9 个业务域划分为准，本标准不另行定义业务域。 5.1.1　数据按泄露、篡改、滥用或不可用后对招标方、行业运行、个人权益造成的影响程度，划分为五级。 L1 公开：已对外发布或可对外发布，泄露不产生实质影响。 L2 内部：仅限内部使用，泄露对内部管理秩序产生有限影响。 L3 重要：关系生产经营与行业运行，泄露使技术与经营优势受损，可能影响行业数据安全。 L4 敏感：含个人信息、客户敏感信息或敏感地理信息，泄露侵害个人权益或客户利益，可能触及地理信息安全。 L5 机密：核心技术秘密与重大商业秘密，泄露后果严重，可能造成重大经济损失与核心竞争力受损。 5.2.1　定级的判定要素为四项：影响对象（招标方、客户、个人、行业）、影响类型（经济利益、技术优势、生产安全、个人权益、行业秩序）、影响程度（轻微、有限、较大、严重）、可恢复性（可恢复、部分可恢复、不可恢复）。四项要素中影响程度为主导要素，其余三项用于在相邻两级之间作出区分。 6.1.1　同一数据元在不同业务场景下的级别应一致；场景差异导致判定分歧的，按较高级别定级，并在分级台账中记录分歧情形与裁决依据。 6.1.2　无法明确判定的数据元，在完成定级前按其所属数据主题的最高级别临时管控，临时管控期不超过三十日。 6.1.3　同一数据元在不同源系统中存在的，按同一级别管控，不因所在系统不同而分别定级。源系统的物理保护能力不足导致实际保护水平低于级别要求的，在诊断报告中列为缺口并提出改造建议，不以降低定级来适配现状。 6.2.1　数据集或数据集合的级别不等于其成分数据元级别的最大值。当数据聚合后反映出单条数据不具备的规律、窗口或全貌时，按聚合后的实际敏感度定级，定级可高于成分最大值。 6.2.2　触发聚合敏感度升级判定的情形列四类：同一产品或同一产品线的全工序工艺数据聚合；同一设备类型或同一炉型的全周期过程参数聚合；同一客户或同一矿区的全量作业参数聚合；同一期间的全量成本与报价数据聚合。命中上述情形的数据集，其定级须经业务域数据归口部门与信息安全归口部门共同审批。 6.2.3　聚合升级的判定在数据集加工计划阶段进行，不留到发布前。判定时点前置的理由是加工环境与人员范围须按级别提前安排：若在发布前才判定为 L5，加工已在普通加工区完成，该批次须在受控区重做。 6.3.1　衍生数据的级别原则上继承其输入数据的最高级别。输入经不可逆变换且变换后不再反映原始敏感内容的，可按 6.4 条申请降级。 6.4.1　脱敏后降级须同时满足三个条件：脱敏为不可逆变换；脱敏效果经评估且评估结论为达到预期去标识水平，评估方法依据 GB/T 42460—2023；降级后的数据不与其他数据组合即可重新识别。三个条件缺一不予降级。 6.4.2　降级幅度一般不超过一级。L5 级数据经脱敏后不直接降至 L3 级及以下，须经两次独立评估并由数据治理委员会确认。 6.5.1　业务域数据归口部门与信息安全归口部门对同一对象的定级结论不一致时，由数据治理办公室组织协调；协调两次未果的提交数据治理委员会裁决。裁决期间按较高级别管控。 7.1.1　分级作业按识别、定级、审批、标记、复核五步执行。识别步骤产出待定级对象清单；定级步骤由业务域数据归口部门填写定级意见；审批步骤按级别对应的审批层级完成；标记步骤把结论写入分级标签并同步至数据资源目录与平台策略；复核步骤核查标记完整性与一致性。 7.2.1　定级的输入有两个来源。第一来源是业务判断：由业务域数据归口部门依据本标准第 5 章与附录 A 给出意见。第二来源是机器预判：按附录 C 的敏感特征词与格式特征扫描字段名与取值样本，输出候选级别与置信提示。两个来源不一致时以业务判断为准，但须在台账中记录机器预判结论，用于后续改进特征表。 7.3.1　审批层级按级别设定：L1 与 L2 级由业务域数据归口部门确认；L3 级由业务域数据归口部门确认并报安全管理岗备案；L4 级由业务域数据归口部门与信息安全归口部门会签；L5 级在会签基础上报数据治理委员会审定。 7.4.1　分级标签的落地位置有四处，四处须一致：数据资源目录中的数据元条目；元数据管理中的技术元数据属性；平台的权限与脱敏策略配置项；数据集的数据卡安全与合规分区。四处不一致时以分级台账为准，并在五个工作日内同步更正。 7.4.2　标记落地的核对按月执行，核对方式为四处取值的交叉比对。比对不一致的生成待处理清单，由对应业务域数据归口部门在五个工作日内更正。连续两个月出现同一对象不一致的，核查是哪一处的更新流程存在缺口，而不是反复更正取值。 7.5.1　分级结论每半年复核一次，复核内容为标记完整率与四处一致性。下列情形触发即时复评：数据内容构成发生变化；业务用途发生变化；相关法律法规或国家标准对该类数据的定级要求发生变化；发生与该数据相关的安全事件；聚合范围扩大触发 6.2.2 条的判定情形。 7.5.2　即时复评的发起主体为三类：业务域数据归口部门发现业务用途变化时发起；安全管理岗在安全事件分析中发现定级不当时发起；我方项目组在数据集加工中发现聚合范围扩大时发起。复评期间该对象按原级别与新建议级别中的较高者管控。 8.1.1　分级标签的字段定义见表 A9-6，字段的必填性与取值域为正式口径，平台侧按此实现校验。 8.2.1　分级标签的校验规则在平台落地为三类：必填性校验，缺失字段不允许保存；一致性校验，升级标记为是而升级情形为空的不允许保存；时效性校验，状态为临时且超过三十日的生成逾期提醒。校验不通过项进入待处理清单并计入月度标记完整率统计。 8.3.1　分级标签与数据资源目录、数据卡的一致性按月校验，校验不通过项生成待处理清单。标记完整率与一致率按月统计，纳入《数据安全管理办法》附表 3-5 的考核指标。 9.1.1　分级结论是管控策略的取值来源。权限授予方式、查询展示方式、导出与接口调用的条件、加工环境、脱敏与水印要求、审计留痕与留存期限，均按《数据权限管理规范》附录 B 的矩阵按级别取值，不另行约定。 9.2.1　数据集定级结论写入数据卡的安全与合规分区，内容包含级别、定级依据、是否聚合升级、流通范围声明与脱敏说明。数据集版本发布前核对数据卡级别与分级台账一致，不一致不予发布。 9.3.1　退役处置的审批层级与销毁方式按级别确定，取值见《数据退役管理规范》。级别为 L4 与 L5 的对象，其销毁须由安全管理岗监督并出具销毁证明。 #### 4.4 附表与附录 表 A9-6　分级标签字段定义（标准正文第 8 章附表） | 字段 | 含义 | 类型 | 必填 | 取值域 | 校验规则 | |---|---|---|---|---|---| | 对象标识 | 被定级对象的唯一标识 | 文本 | 是 | 数据元编码、数据主题编码或数据集版本标识 | 须存在于数据资源目录或数据集台账 | | 对象粒度 | 定级对象的粒度 | 枚举 | 是 | 数据元／数据主题／数据集 | — | | 业务域码 | 所属业务域 | 枚举 | 是 | 9 个业务域对应码值 | 与数据资源目录一致 | | 数据主题码 | 所属数据主题 | 枚举 | 是 | 按附录 A 主题表取值 | 与业务域码组合须存在 | | 安全级别 | 分级结论 | 枚举 | 是 | L1／L2／L3／L4／L5 | — | | 判定要素 | 四项判定要素的取值 | 结构 | 是 | 影响对象、影响类型、影响程度、可恢复性各取枚举值 | 四项齐备 | | 判定依据 | 定级理由的文字说明 | 文本 | 是 | 不少于二十字，须指向具体影响 | 不接受「按规定」一类表述 | | 升级标记 | 是否因聚合而升级 | 布尔 | 是 | 是／否 | 为「是」时须填升级情形与审批单号 | | 升级情形 | 触发升级的情形 | 枚举 | 条件必填 | 6.2.2 条四类情形之一 | 升级标记为「是」时必填 | | 脱敏降级标记 | 是否为脱敏后降级结论 | 布尔 | 是 | 是／否 | 为「是」时须填评估报告编号 | | 机器预判级别 | 预判结论 | 枚举 | 否 | L1 至 L5 或空 | 与安全级别不一致时须填差异说明 | | 差异说明 | 预判与结论不一致的理由 | 文本 | 条件必填 | — | 两者不一致时必填 | | 确认部门 | 出具定级意见的部门 | 文本 | 是 | 引用组织目录 | — | | 审批单号 | 对应的分级审批单 | 文本 | 条件必填 | — | L4、L5 与升级结论必填 | | 生效日期 | 分级结论生效日期 | 日期 | 是 | — | 不早于审批日期 | | 复核时点 | 下次复核时点 | 日期 | 是 | — | 默认生效日期后六个月 | | 状态 | 标签状态 | 枚举 | 是 | 临时／生效／待复评／已废止 | 临时状态存续不超过三十日 | 附录 A　分级实例清单（节选，规范性） 分级标准若只给级别定义不给实例，分级作业在现场会停在「这个到底算几级」的争论上。本附录按业务域逐条列出实例，项目期按纳管范围滚动补充。 | 业务域 | 数据主题 | 数据对象实例 | 级别 | 判定依据 | |---|---|---|---|---| | 研发设计 | 产品图纸 | 刮板输送机溜槽、链轮、减速器零部件图纸（单张） | L3 | 反映产品结构与制造要求，泄露损及技术优势 | | 研发设计 | 产品图纸 | 某一机型全套图纸与物料清单的完整集合 | L5 | 聚合后构成整机可复制的技术方案 | | 研发设计 | 选型校核 | 选型校核公式与修订参数 | L5 | 核心技术秘密，不可恢复 | | 研发设计 | 技术标准 | 已发布的企业标准中可公开部分 | L1 | 已对外发布 | | 生产制造 | 工艺执行 | 单道备料工序的工艺卡片 | L3 | 反映工艺要求 | | 生产制造 | 工艺执行 | 某产品 28 道备料工序工艺卡片全集 | L5 | 聚合后反映完整工艺路线与参数窗口 | | 生产制造 | 热处理炉次 | 单炉次温度曲线 | L2 | 单炉次不反映工艺窗口 | | 生产制造 | 热处理炉次 | 某炉型全部炉次温度曲线集合 | L5 | 聚合后反映关键热处理参数窗口 | | 生产制造 | 焊接过程 | 单焊道电流电压与焊接速度记录 | L2 | 单条记录信息量有限 | | 生产制造 | 焊接过程 | 关键焊缝的焊接工艺规程与参数窗口 | L5 | 核心工艺秘密 | | 生产制造 | 工单与报工 | 工单、报工记录、班组排班 | L2 | 内部管理信息 | | 质量管理 | 检验记录 | 一般零部件入厂检验记录 | L2 | 常规记录 | | 质量管理 | 检验记录 | 质量缺陷统计与不合格品分布 | L3 | 反映制造能力短板 | | 质量管理 | 无损检测 | 焊缝超声与射线检测结果及评定等级 | L3 | 关系产品安全性能 | | 设备管理 | 设备台账 | 设备台账与维修记录 | L2 | 内部管理信息 | | 设备管理 | 设备运行 | 在役装备测点时序数据（含客户现场标识） | L4 | 含客户现场信息 | | 采购管理 | 采购价格 | 单项物料采购价格 | L3 | 关系经营优势 | | 采购管理 | 采购价格 | 某期间全量采购价格与成本构成 | L5 | 聚合后构成成本底牌 | | 营销管理 | 客户信息 | 矿方客户联系人姓名与联系方式 | L4 | 含个人信息 | | 营销管理 | 项目信息 | 矿井位置与工作面地质条件参数 | L4 | 敏感地理信息与客户生产安全信息 | | 营销管理 | 报价 | 重大项目报价与合同关键条款 | L5 | 重大商业秘密 | | 人力资源 | 人员信息 | 在职人员身份信息与薪酬 | L4 | 个人信息 | | 人力资源 | 技能 | 岗位技能矩阵（去个人标识后） | L2 | 去标识后为内部管理信息 | | 仓储物流 | 库存 | 通用耗材库存 | L2 | 内部管理信息 | | 仓储物流 | 库存 | 关键备件库存与周转（按产线聚合） | L3 | 反映产能与交付能力 | | 财务管理 | 成本 | 产品单位成本与工时定额 | L3 | 关系经营优势 | | 财务管理 | 报表 | 已对外披露的财务数据 | L1 | 已对外发布 | 附录 B　聚合升级判定示例（资料性） 示例一：预训练数据集中的制造过程子集。该子集按业务范围要求覆盖工艺执行、热处理、焊接三个数据主题，样本来自 63 万张历史工艺样本中的工艺卡片与过程参数记录。成分数据元的最高级别为 L3（工艺卡片），但子集按产品线组织，事实上构成某产品线的完整工艺路线，命中 6.2.2 条第一类情形，定级为 L5。处理方式是该子集的加工在内网受控区完成，对外流通版本须经抽样与参数区间化处理后重新定级。 示例二：指令微调数据集中的质量子集。样本由检验记录与缺陷判定构成，成分最高级别为 L3，但样本经改写为指令与回答形式后不再保留产品型号与批次标识，不构成缺陷分布的可还原视图，不命中升级情形，维持 L3。 示例三：设备运维场景的时序样本。成分数据含在役装备测点数据（L4，含客户现场标识）。经客户与矿井标识代号替换、地理参数区间化后，按 6.4.1 条申请降级，评估通过后定为 L3。映射表保留在受控区并按 L4 管控。 附录 C　敏感特征词与格式特征表（节选，规范性） | 特征类型 | 特征表达 | 候选级别 | 适用范围 | |---|---|---|---| | 字段名关键词 | 身份证、证件号、手机、联系电话、家庭住址、银行账号、薪酬、工资 | L4 | 人力资源、营销管理 | | 字段名关键词 | 经度、纬度、坐标、矿井、工作面、倾角、煤层厚度 | L4 | 营销管理、设备管理 | | 字段名关键词 | 校核系数、修订参数、许用值、参数窗口 | L5 | 研发设计、生产制造 | | 字段名关键词 | 报价、成本构成、毛利、折扣 | L5 | 财务管理、营销管理、采购管理 | | 取值格式 | 十八位身份证号格式 | L4 | 全域 | | 取值格式 | 十一位手机号格式 | L4 | 全域 | | 取值格式 | 经纬度数值对且位于矿区范围 | L4 | 全域 | | 文档特征 | 文档页眉或标题栏含「机密」「绝密」「内部」标识 | 按标识取较高级别 | 文档与图纸类 | | 图纸特征 | 标题栏中的图号属关键机型图号段 | L3，全套聚合时按 L5 | 研发设计 | 特征表的维护方式是只增不删：发现漏判后把新特征补入表中，并对同源历史批次重新扫描；特征导致误判较多的，不删除特征而是增加适用范围限定，避免同一特征在别处失效。 附录 D　与招标方现行密级的对应关系（规范性） | 本标准级别 | 招标方现行密级 | 对应说明 | |---|---|---| | L1 | 公开 | 一致 | | L2 | 内部 | 一致 | | L3 | 内部或商密【待填：以招标方现行密级设置为准】 | 需在业务评审时确认对应关系 | | L4 | 商密 | 个人信息部分另按个人信息保护要求管理 | | L5 | 核心商密【待填：招标方核心商密的认定程序】 | 认定程序以招标方保密制度为准 | 本附录的取值须在首版业务评审时与招标方保密归口部门逐行确认。对应关系未确认前，数据的纸质载体按招标方现行密级管理，电子载体按本标准级别管理，两套标识并行但不互相覆盖。 附录 E　分级申请与审批单模板（规范性） 字段包含：申请单号、申请部门、对象标识与名称、对象粒度、建议级别、判定要素四项取值、判定依据说明、是否涉及聚合升级与升级情形、是否为脱敏降级申请与评估报告编号、机器预判结论、业务域归口意见与日期、信息安全归口意见与日期、委员会审定意见与日期、生效日期、标记落地确认（四处逐项打勾）、归档编号。 图 A9-3　分级标签从数据元到数据集的传递与聚合升级裁决 数据元定级 业务判断 ＋ 机器预判 粒度：字段 数据主题归并 取主题内最高级别 粒度：主题 标签 数据集候选级别 成分最高级别作为下限 粒度：数据集版本 聚合升级判定（四类情形：全工序工艺／全周期参数／全量作业／全量成本） 命中任一情形 → 级别可高于成分最高级别 候选级别送判 脱敏后降级申请 三条件齐备，幅度一级 审批：L4 会签　｜　L5 与升级结论报委员会审定 分歧按较高级别管控，裁决后更正 标记落地四处（须一致，不一致以分级台账为准并在五个工作日内更正） 数据资源目录条目　｜　技术元数据属性　｜　平台权限与脱敏策略配置　｜　数据卡安全与合规分区 图 A9-3　数据来源：招标文件第五章 3.2.6.1.1.2.7 第（1）项（b1301 至 b1303）；聚合升级四类情形取本标准 6.2.2 条，标记落地四处取 7.4.1 条。 #### 4.5 与本项目业务的结合点 本标准与本项目的结合主要体现在两件事上，两件事都来自矿山装备制造数据的形态。 第一件事是「单条不敏感、聚合即核心」在本项目中不是例外而是常态。本项目要加工的预训练数据集规模为 615 亿 Token，其中制造过程部分 105 亿 Token，样本来源正是跨工序、跨炉次、跨焊道的过程记录。按常规做法以成分数据元的最高级别为数据集级别，这些子集会被定为 L3，而其实际敏感度接近 L5。本标准 6.2.1 与 6.2.2 条把聚合升级写成规范性条款并列出四类触发情形，就是为了让加工侧在排期之前而不是在发布之前知道这个子集要在受控区做。附录 B 的三个示例取自本项目四类数据集的实际构成，用于让分级作业的人看到判定过程而不只是判定结论。 第二件事是脱敏后降级的尺度。设备运维场景的时序样本如果维持 L4，就无法进入常规加工环境，也难以在场景验证中被多方使用；而降级的前提是客户与矿井标识已代号化、地理参数已区间化且评估通过。本标准 6.4.1 条把降级条件写成三条可核查的条件，并在 6.4.2 条限制降级幅度，原因是本项目的数据集将进入流通环节，一次失当的降级会在流通后难以收回。映射表按 L4 管控并留在受控区，是降级能够成立的配套安排。 #### 4.6 评审与修订 本标准由信息安全归口部门起草，九个业务域数据归口部门逐域会签——附录 A 的实例清单必须逐行由对应业务域确认，这是本标准与其他文档在评审上的最大差别。保密归口部门会签附录 D 的密级对应关系。评审通过后由招标方发文发布，与《数据安全管理办法》《数据权限管理规范》同期。 定期复核每半年一次，复核内容包含三项：纳管范围新增对象的定级完成情况；附录 A 实例清单的补充情况；机器预判与业务判断差异较多的特征项。附录 C 的特征表允许在不改动正文条款的情况下按季度增补，增补由安全管理岗批准并记录，不构成正文的版本变更；特征表的增补通知须同步至平台扫描规则配置。 修订后的通知范围除其余治理文档外，还包含三类配置：平台的分级标签校验规则、脱敏策略与权限策略的级别取值映射、数据卡安全与合规分区的可选值。级别定义或判定规则发生实质修订时，已定级对象须在三个月内按新规则复评；复评期间旧结论继续有效，但新增对象一律按新规则定级，复评进度按月通报。 ### 五、《数据权限管理规范》V1.0 样章 本节回应招标文件数据安全规划要求第（2）项中权限管控与访问审批的内容（b1304、b1305）、第（4）项输出要求（b1308、b1309），以及平台须具备严格的权限校验与访问名单控制的要求（b1871）。 #### 5.1 文件标识与适用范围 表 A9-7　《数据权限管理规范》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 数据权限管理规范 | | 文件编号 | GHY26691-ST-00-0031-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 正文内部；附录 B 分级管控矩阵与附录 C 受控区名单分册管理 | | 编制依据 | GB/T 22239—2019《信息安全技术 网络安全等级保护基本要求》访问控制相关要求；GB/T 25070—2019《信息安全技术 网络安全等级保护安全设计技术要求》；GB/T 41479—2022《信息安全技术 网络数据处理安全要求》；本项目《数据安全管理办法》《数据安全分级标准》 | | 适用范围 | 适用于数据集加工生产平台、数据集运营服务管理平台、数据治理开发工具平台的账号、角色、权限与访问名单管理；适用于自然人账号、服务账号与外部调用方；适用于平台内数据对象、加工任务、数据集版本与接口四类受控资源 | | 不适用情形 | 招标方源业务系统内部的功能权限按各系统自身权限管理规定执行，本规范仅规定经统一数据服务通道访问时的授权要求 | | 生效条件 | 经业务评审与数据治理委员会审议通过，由招标方正式发文后生效 | | 失效条件 | 被新版本替代或被明令废止 | | 归口部门 | 【待填：信息安全归口部门】；账号与角色日常维护由平台运维岗承办 | | 复核周期 | 每半年一次；权限模型或平台权限实现方式变更时即时复核 | | 配套表单 | 附录 A 至附录 F（见本节 5.4） | #### 5.2 章节结构 1　范围 2　规范性引用文件 3　术语和定义 3.1 账号 3.2 角色 3.3 权限项 3.4 属性约束 3.5 固有权限与申请权限 3.6 访问名单 4　权限模型 4.1 模型构成 4.2 角色设计原则与角色目录 4.3 权限项的定义维度 4.4 属性约束的五个维度 4.5 固有权限与申请权限的区分 5　账号管理 5.1 自然人账号的开立与变更 5.2 服务账号的登记与责任人 5.3 外部调用方的登记 5.4 账号的停用与注销 6　权限申请与审批 6.1 申请要素 6.2 审批层级 6.3 审批时限与超期处理 6.4 紧急授权的例外流程 6.5 授权的生效与通知 7　分级管控 7.1 管控措施的八个维度 7.2 分级管控矩阵 7.3 矩阵与平台策略的映射 7.4 矩阵的例外申请 8　访问名单控制 8.1 名单的适用对象 8.2 名单的维护与审批 8.3 受控区名单的特别要求 9　复核与回收 9.1 季度复核 9.2 待回收清单与清理时效 9.3 回收的五种触发情形 9.4 岗位变动与离场的权限处置 10　监督与留痕 10.1 权限台账 10.2 与审批单、访问日志的关联 10.3 抽查与考核 附录 A　角色目录（规范性） 附录 B　分级管控矩阵（规范性） 附录 C　受控区人员与终端名单模板（规范性） 附录 D　权限申请单模板（规范性） 附录 E　权限台账模板（规范性） 附录 F　季度复核记录模板（规范性） #### 5.3 关键条款 4.1.1　权限模型由角色与属性约束两部分构成。角色定义岗位的基本权限集合，属性约束在角色之上做动态限定。采用两部分组合而非单纯角色模型的理由是粒度：同一个工艺工程师角色，对本人负责产品的工艺卡片应可读写，对其他产品线的工艺卡片只应可读或不可见，纯角色模型要为此建立大量角色，角色数量膨胀后无人能说清每个角色实际拥有什么。 4.3.1　权限项按四个维度定义：受控资源（数据对象、加工任务、数据集版本、接口）、操作动作（查询、新增、修改、删除、导出、执行、调用、授权）、数据范围（表、字段、记录条件）、环境限定（访问通道与终端范围）。四个维度齐备的权限项方可配置，缺维度的配置不予通过。 4.4.1　属性约束的维度为五项：数据级别、业务域、项目范围、时间范围、访问环境。约束按「取交集」方式生效，即角色权限与属性约束的交集为实际权限。 4.5.1　固有权限指岗位履职必需、随岗位设置而授予的权限，范围限于 L1 至 L3 级数据的查询与本岗位职责内的操作，无需逐事项申请但须在角色目录中列明。申请权限指固有权限之外的权限，一律按本规范第 6 章申请，须声明用途与期限；无期限的长期权限仅限固有权限。 5.1.1　自然人账号的开立以岗位设置为依据，一人一账号，不共用。账号开立时按角色目录授予固有权限，不预授申请权限。岗位变更、调岗、长期离岗与离场时，由所在部门在变更生效日前提出账号变更或停用申请，平台运维岗按申请执行并记录。 5.2.1　服务账号须登记实际责任人，责任人为自然人且在岗。服务账号不得用于人工交互操作；经人工使用服务账号执行的操作，按越权处理。服务账号的权限范围按最小必要配置，其凭据的轮换周期与保管方式按技术方案安全方案一节的要求执行。 5.3.1　外部调用方须完成登记后方可调用接口，登记内容包含调用方主体、用途、所需数据对象与字段、涉及的最高级别、调用频次上限、有效期与对接责任人。L3 及以上级别数据的接口调用须逐调用方登记并经业务域数据归口部门确认用途。 5.4.1　账号停用的触发为四类：离场或离职；长期离岗超过约定期限；连续未登录超过约定期限；发生违规事件且处于处理期间。停用后账号的历史操作日志保留，不随账号注销而删除。账号注销前核对其是否为服务账号的责任人，是则先行变更责任人。 6.1.1　权限申请单的要素为九项，缺项不予受理：申请人与所属部门、申请用途、受控资源与数据范围、字段范围、涉及的最高数据级别、期限、使用环境、是否允许导出、是否允许二次提供。申请用途须写明具体业务动作，「工作需要」「日常使用」一类表述不予受理。 6.2.1　审批层级按涉及的最高数据级别设定：L1 级无需授权；L2 级由所属部门负责人审批；L3 级由所属部门负责人审批并经业务域数据归口部门确认；L4 级在前项基础上经安全管理岗复核；L5 级在前项基础上报归口部门负责人复批。涉及导出或二次提供的申请，审批层级在上述基础上提高一级。 6.3.1　审批时限为三个工作日，L4 与 L5 级为五个工作日。超期未办理的，由数据治理办公室在月度例会上通报；超期不视为默认同意——本规范不设默认通过规则，原因是权限一旦默认授予，事后难以判断谁做出了授予决定。 6.4.1　紧急授权仅适用于生产中断、重大质量事件追溯、安全事件处置三种情形。紧急授权由申请部门负责人与安全管理岗口头确认后先行开通，开通范围限于处置所必需，期限不超过七十二小时，并在二十四小时内补办正式审批单。补办未完成的，权限到期自动失效且不予延期。 6.5.1　授权生效后由平台向申请人与所属部门负责人发送生效通知，通知内容包含授权范围、期限与到期提醒安排。到期前七日再次提醒，提醒对象包含申请人与业务域数据归口部门。 7.1.1　管控措施按八个维度规定：访问授权方式、查询展示方式、批量导出、接口调用、加工环境、脱敏要求、水印要求、审计留痕与留存期限。各维度在五个级别上的取值见附录 B。 7.2.1　分级管控矩阵的八个维度之间不互相替代。例如对 L4 级数据，脱敏展示不免除逐事项审批的要求，水印不免除导出清单的要求。矩阵的每一格是独立的控制点，任一格未落实即视为该级别的管控未完整实施。 7.3.1　附录 B 的矩阵是平台策略的取值依据。平台侧按矩阵生成策略配置项，策略与矩阵逐格对应；矩阵修订后平台策略在五个工作日内同步，同步结果经安全管理岗核对。 7.4.1　矩阵的例外申请须说明业务必要性、替代控制措施与期限，由信息安全归口部门审批，L5 级相关的例外报数据治理委员会。例外登记在权限台账中单独标记，每季度复核时逐项复查，期限届满不自动延续。 8.1.1　访问名单控制适用于三类对象：L4 与 L5 级数据的可访问人员；内网受控区的可进入人员与可使用终端；数据集对外提供的受众。名单之外的主体即使持有角色权限亦不可访问，平台侧按名单做第二道校验。 8.2.1　访问名单的维护由业务域数据归口部门提出、安全管理岗审批，平台运维岗执行。名单的新增与删除均留记录，名单的当前版本与变更历史可查。名单按月复核，复核结论记录在月度安全检查表中。 8.3.1　受控区名单按月复核，人员岗位变动、项目分工调整或离场时即时调整。名单调整由业务域数据归口部门提出、安全管理岗审批，调整记录留存。受控区内的终端不具备外设与外发通道，终端清单与名单一并维护。 9.1.1　权限按季度复核。复核内容包含三项：权限与当前岗位职责是否相符；申请权限的期限是否届满；权限在复核周期内有否实际使用。连续一个季度未使用的非固有权限进入待回收清单。 9.2.1　待回收清单由业务域数据归口部门在十个工作日内处理，处理结论为「回收」或「保留并说明理由」。保留理由须写明该权限在何种情形下使用、预计下次使用时点；连续两个季度以「备用」为由保留的权限，一律回收，需要时重新申请。 9.3.1　权限回收的触发情形为五类：授权期限届满；申请用途变更或终止；监测发现越权访问；发生违规事件；申请人岗位变动或离场。回收执行后相关凭据立即失效，已导出的数据按约定方式处置并记录。 9.4.1　岗位变动的权限处置采用「先收后授」：原岗位的申请权限在变动生效日一并回收，新岗位的固有权限按角色目录授予，新的申请权限重新申请。不采用权限平移方式——平移会使权限随人逐步累积，是权限失控最常见的成因。 10.1.1　权限台账登记全部已授予的权限项，字段见附录 E。台账的更新与权限变更同步，不允许先改配置后补台账。台账与平台实际配置按月比对，比对不一致的以审批单为准，并核查是哪一侧被绕过。 10.2.1　权限台账、审批单与访问日志三者须可相互关联：台账中每一条申请权限记录其审批单号；访问日志中 L4 及以上级别的操作记录其审批单号。关联完整性按月校验，无法关联的记录逐条分析原因并补齐。 10.3.1　抽查每季度一次，由安全管理岗执行，抽查内容为审批单授权范围与实际访问日志的一致性。抽查比例按级别设定，L4 与 L5 级审批单的抽查比例高于 L3 级。超出授权范围的访问按《数据安全管理办法》第十六条处理。 10.3.1　抽查结论分三档：一致；范围不一致但未实际越权（授权范围大于实际使用）；实际越权。第二档的处理是在下次授权时收紧范围，并在季度复核中统计此类情形的占比——占比高说明申请环节的范围界定过宽。第三档按安全事件处理。 10.3.2　本规范的执行情况按季度形成权限管理报告，内容包含授权与回收数量、复核完成率、待回收权限清理时效、抽查结论构成与例外项清单。报告提交数据治理办公室，并作为安全考核的输入。 图 A9-4　权限台账、审批单与访问日志的三表关联与复核回收回路 权限申请单（附录 D） 九项要素齐备方受理 主键：申请单号 审批记录 层级按最高级别设定 产出：审批单号 权限台账（附录 E） 登记范围、期限、例外标记 外键：审批单号 平台策略配置 按附录 B 矩阵逐格取值 名单为第二道校验 授权范围与属性约束下发 访问日志 L4 及以上记审批单号 外键：审批单号、会话标识 实际操作 季度复核（附录 F） 职责相符性、期限、使用情况 输入：台账 ＋ 日志 使用情况与一致性抽查结果回流复核 待回收清单 十个工作日内处理，结论为回收或保留 连续两季以备用为由保留的一律回收 回收执行 凭据失效、导出件按约定处置、台账登记 岗位变动按先收后授，不作权限平移 图 A9-4　数据来源：招标文件第五章 3.2.6.1.1.2.7 第（2）项权限管控与访问审批要求（b1304、b1305）、项目安全合规建设要求中的权限校验与访问名单控制（b1871）；复核与回收规则取本规范 9.1.1 至 9.4.1 条。 #### 5.4 附录内容 附录 A　角色目录（节选，规范性） | 角色编码 | 角色名称 | 固有权限范围 | 可申请权限范围 | 属性约束默认值 | |---|---|---|---|---| | R-01 | 数据治理办公室管理员 | 全域 L1 至 L2 查询；台账与目录维护 | L3 查询 | 业务域不限，环境限内网 | | R-02 | 业务域数据归口岗 | 本域 L1 至 L3 查询 | 本域 L4 查询、导出 | 业务域限本域 | | R-03 | 安全管理岗 | 全域分级标签与日志查询；审批与名单维护 | 受控区进入 | 不含业务数据内容的修改权 | | R-04 | 数据开发岗 | 加工任务的创建与执行；L1 至 L3 加工区读写 | L4 受控区加工、L5 受控区加工 | 项目范围限在办任务 | | R-05 | 数据标注岗 | 指派批次内样本的读取与标注写入 | — | 时间范围限批次周期，环境限标注专区 | | R-06 | 数据质量管理员 | 质量规则配置；质检结果查询 | 问题样本原值查询 | 业务域不限 | | R-07 | 数据运维岗 | 任务运行状态与日志查询；重跑与补数执行 | 数据内容查询 | 不含数据内容的默认读权 | | R-08 | 平台运维岗 | 平台配置与账号维护 | — | 不含业务数据读权 | | R-09 | 场景验证岗 | 验证用数据集版本的读取；评测记录写入 | 原始样本回溯查询 | 项目范围限在办验证场景 | | R-10 | 数据集使用方（内部） | 已授权数据集版本的下载 | — | 时间范围限授权期 | | R-11 | 外部调用方 | 登记接口的调用 | — | 频次上限与有效期按登记 | | R-12 | 审计查阅岗 | 日志与审批记录查询 | — | 不含业务数据修改权 | 角色设计有两条自我约束：角色总数控制在可逐一说清其权限内容的范围内，不因个别场景新增角色而是用属性约束解决；运维类角色默认不含业务数据内容的读权，需要时按申请权限开通并限定期限，原因是运维岗的权限范围最容易因排障便利而无限扩大。 附录 B　分级管控矩阵（规范性） | 管控维度 | L1 公开 | L2 内部 | L3 重要 | L4 敏感 | L5 机密 | |---|---|---|---|---|---| | 访问授权方式 | 无需授权 | 角色授予 | 角色授予并限定业务域 | 逐事项审批 | 逐事项审批并由归口部门负责人复批 | | 查询展示 | 明文 | 明文 | 明文 | 关键字段脱敏展示 | 脱敏展示，原文需二次授权 | | 批量导出 | 允许 | 按量阈值告警 | 审批后允许并记录导出清单 | 审批后允许，导出件带水印 | 原则上不导出，特殊情形逐事项审批 | | 接口调用 | 开放 | 鉴权后开放 | 鉴权并登记调用方 | 鉴权、登记并限制频次 | 专线或专用通道，单独登记 | | 加工环境 | 无限制 | 内网 | 内网 | 内网受控区 | 内网受控区，环境与人员单独限定 | | 脱敏要求 | 无 | 无 | 按用途判定 | 必须去标识或脱敏 | 必须去标识或脱敏 | | 水印要求 | 无 | 无 | 导出件加可见水印 | 导出件加可见与隐式水印 | 导出件加可见与隐式水印 | | 审计留痕 | 基本日志 | 基本日志 | 全操作日志 | 全操作日志并定期审计分析 | 全操作日志并专项审计 | | 留存期限 | 按业务需要 | 按业务需要 | 不少于约定期限 | 按法规与合同约定 | 按法规与合同约定，到期评估 | 本矩阵与技术方案数据治理段给出的管控口径为同一套取值，两处如有差异以本附录为准并同步更正，避免平台策略取到两个不同的值。 附录 C　受控区人员与终端名单模板（规范性） 人员名单字段：名单编号、人员岗位标识【待填：以招标方岗位编码为准】、所属部门、可访问级别上限、可访问业务域、可执行操作、准入事由、有效期、审批单号、复核时点、状态。终端名单字段：终端标识、所在位置、可用操作范围、外设封禁状态、准入网络段、责任岗位、复核时点、状态。 附录 D　权限申请单模板（规范性） 字段包含：申请单号、申请人岗位与部门、申请用途（须写具体业务动作）、受控资源类型、数据对象清单、字段范围、记录条件、涉及最高级别、申请操作动作、期限（起止日期）、使用环境、是否允许导出、是否允许二次提供、是否为例外申请与替代控制措施、部门负责人意见、业务域归口意见、安全管理岗复核意见、归口部门负责人复批意见、授权生效日期、关联台账编号。 附录 E　权限台账模板与样例行（规范性） | 台账编号 | 主体 | 角色 | 受控资源 | 数据范围 | 最高级别 | 操作动作 | 属性约束 | 权限类型 | 期限 | 审批单号 | 末次使用 | 复核结论 | 状态 | |---|---|---|---|---|---|---|---|---|---|---|---|---|---| | QX-0104 | 自然人账号【待填】 | R-04 数据开发岗 | 加工任务 | 制造过程域工艺执行主题 | L3 | 执行、读写 | 业务域限生产制造，环境限内网 | 固有 | 长期 | — | 【待填】 | 相符 | 生效 | | QX-0237 | 自然人账号【待填】 | R-04 数据开发岗 | 数据对象 | 热处理炉次温度曲线（按炉型聚合） | L5 | 查询、加工 | 环境限受控区，终端限名单内 | 申请 | 六十日 | SP-0881 | 【待填】 | 相符 | 生效 | | QX-0311 | 服务账号【待填】 | R-11 外部调用方 | 接口 | 公开产品参数查询接口 | L1 | 调用 | 频次上限按登记 | 申请 | 一年 | SP-0902 | 【待填】 | 相符 | 生效 | | QX-0356 | 自然人账号【待填】 | R-09 场景验证岗 | 数据集版本 | 质量域指令微调子集 V1.2 | L3 | 读取 | 项目范围限在办验证场景 | 申请 | 四十五日 | SP-0915 | 【待填】 | 期限届满 | 待回收 | | QX-0402 | 自然人账号【待填】 | R-07 数据运维岗 | 数据对象 | 工单与报工明细 | L2 | 查询 | 排障期间限定 | 申请（例外） | 十五日 | SP-0931 | 【待填】 | 连续未使用 | 待回收 | 附录 F　季度复核记录模板（规范性） 字段包含：复核批次、复核范围（部门或角色）、应复核权限项数、已复核项数、相符项数、不相符项及其处理、期限届满项数、连续未使用项数、进入待回收清单项数、清单处理完成项数、超期未处理项及责任部门、例外项复查结论、复核人岗位、复核完成日期、遗留问题与下次重点。 #### 5.5 与本项目业务的结合点 本规范在本项目上的落点有三处。 其一是标注岗的权限设计。本项目的标注工作量集中在 63 万张历史工艺样本的解析与标注上，标注人员数量多、批次轮换快，若按常规方式给标注岗开放数据对象的读权，权限范围会随批次累积而无法收回。本规范的处理方式是把标注岗的固有权限限定为「指派批次内样本的读取与标注写入」，属性约束的时间范围限批次周期，批次结束权限自然失效。这一设计同时服务于标注质量管理：标注人员只能看到指派给自己的样本，黄金集样本以同样形态混入批次而不被识别。 其二是 L5 级样本的加工权限。选型校核公式、关键工艺参数窗口这类 L5 级对象的加工任务，按附录 B 须在受控区进行，操作人员须同时满足三个条件：持有数据开发岗角色、在受控区人员名单内、持有有效的逐事项审批单。三个条件由平台做三道校验而非一道，原因是前两个条件变化慢、第三个条件变化快，混在一处配置会导致审批到期而访问仍然可行。 其三是外部调用方的接口权限。数据集运营服务管理平台含对外接口与数据集下载功能（b0804r04），其调用方可能是招标方的关联单位或外部使用方。本规范要求 L3 及以上级别数据的接口调用逐调用方登记并经业务域数据归口部门确认用途，调用频次设上限。频次上限不只是防护措施，也是流通计量的依据——按调用方统计的使用量进入数据资产价值评估的输入。 #### 5.6 评审与修订 本规范由信息安全归口部门起草，九个业务域数据归口部门、平台运维岗与我方项目组会签。附录 A 的角色目录须与招标方的实际岗位设置逐项对应，这一项在业务评审中逐角色确认；附录 B 的矩阵与《数据安全分级标准》一并评审，两者的级别取值必须对齐。 定期复核每半年一次，复核内容包含角色目录与实际岗位的对应关系、矩阵与平台策略的一致性、例外项的存续必要性。平台权限实现方式变更时即时复核，重点核对属性约束的五个维度是否仍能完整表达。 修订通知的同步范围包含平台的角色与策略配置、受控区名单、接口调用方登记记录与相关岗位培训材料。矩阵修订涉及管控强度提高时，已生效的授权在三个月内按新矩阵重新核定，核定期间旧授权继续有效但不新增同类授权；管控强度降低的修订立即生效。重新核定的进度按月通报，未完成核定的授权在期限届满后不予延期。 ### 六、《数据需求管理规范》V1.0 样章 本节回应招标文件数据生存周期规划要求第（1）项数据需求管理与第（5）项输出要求（b1311、b1312、b1320、b1321）。 #### 6.1 文件标识与适用范围 表 A9-8　《数据需求管理规范》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 数据需求管理规范 | | 文件编号 | GHY26691-ST-00-0032-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 内部 | | 编制依据 | GB/T 9385—2008《计算机软件需求规格说明规范》；GB/T 34960.5—2018《信息技术服务 治理 第 5 部分：数据治理规范》；本项目《数据安全分级标准》《数据权限管理规范》 | | 适用范围 | 适用于本项目范围内全部数据需求的提交、受理、评审、排期、开发、交付、验收与关闭；需求类型覆盖数据集建设需求、指标与报表需求、数据服务需求、数据质量整改需求四类；适用于招标方各部门与各分厂作为需求提交方，适用于我方项目组作为承接方 | | 不适用情形 | 平台功能需求与界面改进需求按项目变更管理流程处理，不进入本规范的需求池；两者的边界判定见本规范 4.4 条 | | 生效条件 | 经业务评审与数据治理委员会审议通过，由招标方正式发文后生效 | | 失效条件 | 被新版本替代或被明令废止 | | 归口部门 | 数据治理办公室 | | 复核周期 | 每半年一次 | | 配套表单 | 附录 A 至附录 E（见本节 6.4） | #### 6.2 章节结构 1　范围 2　规范性引用文件 3　术语和定义 3.1 数据需求 3.2 需求池 3.3 受理 3.4 排期 3.5 闭环 4　需求的来源与分类 4.1 四类需求来源 4.2 需求类型与优先级的对应 4.3 需求的提出主体 4.4 与平台功能需求的边界 5　需求提交 5.1 提交渠道 5.2 需求单的填写要求 5.3 不予受理的情形 6　需求受理 6.1 受理时限与形式检查 6.2 重复需求的合并 6.3 退回补充的处理 7　需求评审 7.1 评审组织与参与方 7.2 四个角度的评审要素 7.3 评审结论的四种取值 7.4 否定结论的转出路径 8　排期与开发 8.1 排期规则与优先级 8.2 排期结论的反馈 8.3 未排期需求的再评估 8.4 开发过程中的变更 9　交付与验收 9.1 交付内容 9.2 验收标准与一次通过的判定 9.3 验收不通过的返工与轮次记录 9.4 关闭条件 10　流程记录与运行指标 10.1 状态变更的留痕要求 10.2 记录的保存与不删除原则 10.3 月度运行指标 10.4 指标的诊断用法 附录 A　数据需求单模板（规范性） 附录 B　需求评审记录模板（规范性） 附录 C　采集扩展清单模板（规范性） 附录 D　接口协调清单模板（规范性） 附录 E　需求池状态定义表（规范性） #### 6.3 关键条款 4.1.1　数据需求按来源分四类。第一类为数据集建设需求，来自四类数据集的加工计划与场景验证的数据要求，这类需求量最大且有明确交付时点。第二类为指标与报表需求，来自决策指标体系与各部门管理需要。第三类为数据服务需求，来自应用系统对标准化数据接口的需要。第四类为数据质量整改需求，由质量问题闭环中需要系统改造的问题单转化而来。 4.2.1　四类需求统一进入同一个需求池，按同一流程处理；排期时按来源区分优先级，优先级规则见 8.1 条。设置单一需求池的理由是避免同一数据对象被不同渠道重复建设——不同部门各自提报时并不知道其他部门已提过相同的数据。 4.4.1　需求指向数据内容、口径、范围或交付形态的，属数据需求，进入本规范流程。需求指向平台功能、界面、操作流程或性能的，属平台功能需求，走项目变更管理流程。一项需求同时包含两者的，拆为两张单分别处理，并在两张单上互相标注关联编号。 5.2.1　需求单按附录 A 填写，字段组为八组：基本信息、业务背景、数据范围、质量要求、安全要求、交付形态、评审意见、排期与反馈。业务背景组中「不满足时的业务后果」为必填项，该项的作用是让提出方说明这个数据拿去做什么判断；写不出后果的需求，通常是「先要一张表再看」，这类需求在评审中难以判断必要性。 5.3.1　下列情形不予受理，退回补充：需求单必填字段缺失；数据范围未写到字段层；期望交付时间无依据说明；涉及 L4 及以上级别数据而未填写使用人员范围。退回时写明缺项，不作笼统退回。 6.1.1　受理时限为两个工作日，由数据治理办公室完成形式检查并登记入需求池。形式检查只检查要素齐备性，不判断必要性与可行性，后者属评审环节。 6.2.1　受理时检索需求池与数据资源目录，发现同一数据对象的在途需求或已有可满足的数据服务时，作合并或引导处理：在途需求合并为一张单，原提出方列为共同需求方；已有数据服务可满足的，告知服务标识与申请方式并关闭该需求，关闭理由记为「已有服务可满足」。 7.2.1　评审从四个角度给出结论，每个角度须单独写明结论与理由，不以「同意」概括。 必要性：是否已有同类数据、指标或服务可满足；是否与在途需求重复；需求的业务后果是否成立。 合法性：数据来源是否合法、使用用途是否在授权范围内、是否涉及个人信息或敏感数据而未提出相应处理要求。 可行性：源数据是否存在；现有质量是否够用；接口是否可开通；所需工作量与排期是否匹配。 安全合规：涉及的最高数据级别、使用人员范围、脱敏要求与审批层级是否匹配《数据安全分级标准》与《数据权限管理规范》的要求。 7.3.1　评审结论取四值：通过并排期；通过但待条件具备（写明条件与再评估时点）；转出（写明转出路径）；不通过（写明理由）。 7.4.1　可行性为否定结论的需求不作简单驳回，按两条路径转出：需要扩大采集范围的，转入《采集扩展清单》（附录 C）；需要源系统开通接口或变更字段的，转入《接口协调清单》（附录 D）。两张清单按月与招标方对接推进，推进结果回写至原需求单，条件具备后重新进入评审。 8.1.1　排期按三条规则确定优先级：带明确交付时点的数据集建设需求优先，因其直接影响数据集交付节点；阻断级质量整改需求优先，因其影响在产数据的可用性；其余需求按业务价值与实现成本排序。同一优先级内按提交时间先后排列。 8.2.1　排期结论在确定后两个工作日内反馈提出方，反馈内容包含排期结论、计划起止时间、承接岗位与验收安排。结论为待条件具备或转出的，反馈中写明条件、负责推进方与再评估时点，不以「待协调」一词带过。 8.3.1　未排期需求每月重新评估一次，评估结论为继续等待、提升优先级或关闭。连续三个月未排期且提出方未再催办的需求，征询提出方意见后关闭，关闭理由记为「需求失效」，不作静默沉底处理。 8.4.1　开发过程中需求发生变更的，按变更范围分两种处理：不改变数据范围与质量要求的表述修正，由承接方记录后继续执行；改变数据范围、字段清单、质量要求或安全要求的，以版本方式追加并重新评审，原排期作废后重新排期。 9.1.1　交付内容按交付形态确定：接口形态交付接口契约文档与调用示例；文件形态交付文件、字段说明与校验值；视图形态交付视图说明与访问方式；订阅形态交付事件格式与重放方式；数据集形态按版本五件套交付。交付时同步完成数据资源目录或服务目录的登记。 9.2.1　验收由提出方执行，验收标准在排期时即与提出方约定并写入需求单，内容包含数据范围核对、质量要求的实测结果、交付形态是否可用三项。三项均符合为一次通过；任一项不符合为不通过，返工并记录轮次。 9.3.1　验收不通过的返工记录轮次，第三轮仍不通过的由数据治理办公室组织复议，复议内容为需求描述是否清晰、验收标准是否可判定、承接方理解是否有偏差三项。复议结论可以是修订需求、修订验收标准或更换承接安排。 9.4.1　需求关闭的条件为三项齐备：提出方验收通过；交付物已登记入数据资源目录或服务目录；相关权限已按《数据权限管理规范》授予。三项缺一不得关闭。 10.1.1　需求单的每一次状态变更产生一条记录，记录内容包含操作岗位、时间、意见与附件。状态定义见附录 E，状态流转不可跳跃，不可逆向修改历史记录。 10.2.1　驳回与未排期的需求同样留存，不删除。需求变更不覆盖原需求，以版本方式追加，原版本与变更版本均保留；变更涉及数据范围或质量要求的，重新评审。流程记录的保存期限不短于项目期加质保期。 10.3.1　月度运行指标为五项：受理时效、评审时效、按期交付率、验收一次通过率、驳回原因构成。指标按月统计并在数据治理办公室月度例会上通报。 10.3.2　月度运行指标中的按期交付率以排期时确定的计划完成时间为基准，因提出方原因导致的延期单独统计，不计入未按期。这一区分的目的是让指标反映承接侧的实际表现，否则指标会在双方之间互相推诿。 10.4.1　驳回原因构成是五项指标中诊断价值最高的一项。若「已有同类数据」占比高，说明数据资源目录的检索与宣传不足；若「源数据不存在」占比高，说明采集范围需要扩展；若「安全要求不匹配」占比高，说明提出方对分级标准不熟悉，需补充培训。指标的用法不是考核提出方，而是定位管理动作。 10.4.2　需求管理的运行情况按季度形成分析，内容包含需求来源构成、各类需求的平均周期、转出清单的推进情况与典型需求案例。转出清单的推进情况是其中最需要外部协同的部分，分析中逐条列出停滞条目及其阻点。 图 A9-5　需求单状态流转与各状态产出的流程记录 已提交 需求单 V1 已受理 形式检查记录 评审中 四角度意见 已排期 排期结论 开发中 开发与自检记录 已交付 交付说明 验收中 验收结论与轮次 已关闭 三项齐备方关闭 验收不通过：返工并记轮次 退回补充 写明缺项，不作笼统退回 未排期（按月再评估） 连续三月且无催办则征询后关闭 转出 采集扩展清单／接口协调清单 不通过 写明理由，记录不删除 条件具备后重新评审 每次状态变更生成一条记录（操作岗位、时间、意见、附件）；需求变更以版本追加，原版本保留。 数据来源：招标文件第五章 3.2.6.1.1.2.8 第（1）项（b1311、b1312）；状态定义取本规范附录 E。 图 A9-5　需求单状态流转与各状态产出的流程记录。数据来源：招标文件第五章 3.2.6.1.1.2.8 第（1）项数据需求管理要求（b1311、b1312）；状态定义取本规范附录 E。 #### 6.4 附录内容 附录 A　数据需求单模板（规范性） | 字段组 | 字段 | 类型 | 必填 | 填写要求或取值域 | |---|---|---|---|---| | 基本信息 | 需求编号 | 文本 | 是 | XQ 加年份加四位顺序号，系统生成 | | 基本信息 | 提交部门与岗位 | 文本 | 是 | 引用组织目录 | | 基本信息 | 提交时间 | 日期 | 是 | 系统记录 | | 基本信息 | 需求类型 | 枚举 | 是 | 数据集建设／指标与报表／数据服务／质量整改 | | 基本信息 | 期望交付时间 | 日期 | 是 | 须填写依据说明 | | 基本信息 | 关联编号 | 文本 | 否 | 关联的平台功能需求单或质量问题单编号 | | 业务背景 | 业务场景 | 文本 | 是 | 写明在什么业务环节使用 | | 业务背景 | 使用方式 | 枚举 | 是 | 人工查阅／报表展示／系统调用／模型训练／场景验证 | | 业务背景 | 不满足时的业务后果 | 文本 | 是 | 写明具体后果，不接受「影响工作」一类表述 | | 数据范围 | 业务域 | 枚举 | 是 | 9 个业务域 | | 数据范围 | 数据对象 | 文本 | 是 | 引用数据资源目录条目 | | 数据范围 | 字段清单 | 文本 | 是 | 逐字段列出并引用数据元标识 | | 数据范围 | 时间范围 | 文本 | 是 | 起止区间或滚动窗口 | | 数据范围 | 数据量级 | 文本 | 是 | 预估条数或容量 | | 质量要求 | 完整性要求 | 文本 | 是 | 写明关键字段的非空要求 | | 质量要求 | 准确性要求 | 文本 | 是 | 写明可接受的偏差范围 | | 质量要求 | 及时性要求 | 文本 | 是 | 写明可接受的时延 | | 质量要求 | 其他维度要求 | 文本 | 否 | 一致性、唯一性、有效性按需填写 | | 安全要求 | 涉及最高级别 | 枚举 | 是 | L1 至 L5，引用分级标准 | | 安全要求 | 使用人员范围 | 文本 | 是 | 岗位或名单范围 | | 安全要求 | 脱敏要求 | 枚举 | 是 | 不需要／按规则脱敏／去标识化 | | 交付形态 | 形态 | 枚举 | 是 | 接口／文件／视图／订阅／数据集 | | 交付形态 | 服务标准引用 | 文本 | 条件必填 | 选定形态后引用对应服务标准条目 | | 评审意见 | 必要性结论与理由 | 文本 | 是 | 单独给结论 | | 评审意见 | 合法性结论与理由 | 文本 | 是 | 单独给结论 | | 评审意见 | 可行性结论与理由 | 文本 | 是 | 单独给结论 | | 评审意见 | 安全合规结论与理由 | 文本 | 是 | 单独给结论 | | 评审意见 | 工作量评估 | 文本 | 是 | 人日或工作包数 | | 排期与反馈 | 排期结论 | 枚举 | 是 | 已排期／待条件具备／转出／不通过 | | 排期与反馈 | 计划起止时间 | 日期 | 条件必填 | 结论为已排期时必填 | | 排期与反馈 | 未排期原因与再评估时点 | 文本 | 条件必填 | 结论非已排期时必填 | | 排期与反馈 | 交付时间与交付内容 | 文本 | 条件必填 | 交付后填写 | | 排期与反馈 | 验收结论与轮次 | 文本 | 条件必填 | 验收后填写 | 需求单样例（节选，示意填写粒度）：需求编号 XQ-2027-0143｜提交部门【待填：工艺技术部门】｜需求类型 数据集建设｜业务场景 工艺设计数据集指令微调子集需补充坡口类型与焊接参数的对应样本｜使用方式 模型训练｜不满足时的业务后果 该子集在焊接工艺问答上的样本覆盖不足，场景验证中与坡口相关的问题回答准确率低于基线，无法支撑该场景的验证结论｜数据对象 焊接工艺规程、焊缝符号标注、焊接参数记录｜字段清单 坡口类型、板厚、焊接方法、电流、电压、焊接速度、保护气体成分｜涉及最高级别 L5（关键焊缝参数窗口）｜使用人员范围 受控区名单内数据开发岗｜脱敏要求 按规则脱敏（参数区间化）｜交付形态 数据集。 附录 B　需求评审记录模板（规范性） 字段包含：评审批次、评审日期、参与岗位、需求编号清单、逐需求的四角度结论、分歧事项与处理方式、评审结论汇总、下次评审时点、记录人岗位、归档编号。分歧事项一栏的作用是留下不同意见，避免评审结论看起来一致而实际存在未解决的争议。 附录 C　采集扩展清单模板与样例行（规范性） | 清单编号 | 来源需求编号 | 需扩展的数据对象 | 所在系统或现场 | 扩展方式 | 前置条件 | 涉及方 | 推进状态 | 计划时点 | |---|---|---|---|---|---|---|---|---| | CJ-0007 | XQ-2027-0143 | 关键焊缝焊接过程参数（按焊道） | 焊接车间焊机与现场采集 | 新增测点采集与数据上传 | 需确认停机窗口与施工条件 | 【待填：生产制造归口部门】 | 待现场勘察 | 【待填】 | | CJ-0011 | XQ-2027-0158 | 热处理炉次完整温度曲线（含升温段） | 热处理群控系统 | 扩大取数范围至升温与保温全段 | 需群控系统开放历史曲线接口 | 【待填：设备管理归口部门】 | 待接口评估 | 【待填】 | 附录 D　接口协调清单模板（规范性） 字段包含：清单编号、来源需求编号、源系统名称、所需接口或字段、现状说明、协调内容、涉及的源系统归口部门与运维方、协调进展、计划完成时点、未能开通时的替代方案。替代方案一栏为必填，内容为在接口未开通期间如何维持需求方的最低可用性，例如按期人工导出、按批次文件交换或降低更新频率。 附录 E　需求池状态定义表（规范性） | 状态 | 进入条件 | 允许的下一状态 | 产出记录 | |---|---|---|---| | 已提交 | 需求单提交 | 已受理、退回补充 | 需求单首版 | | 退回补充 | 形式检查不通过 | 已提交 | 退回记录与缺项说明 | | 已受理 | 形式检查通过并登记 | 评审中、已关闭（已有服务可满足） | 形式检查记录 | | 评审中 | 进入评审批次 | 已排期、未排期、转出、不通过 | 四角度评审意见 | | 未排期 | 评审通过但待条件具备 | 已排期、已关闭 | 再评估记录（按月） | | 转出 | 可行性受阻且转入两张清单 | 评审中、已关闭 | 清单登记与推进记录 | | 不通过 | 评审结论为不通过 | 已关闭 | 不通过理由 | | 已排期 | 排期结论确定 | 开发中 | 排期结论与计划时间 | | 开发中 | 开发启动 | 已交付 | 开发与自检记录 | | 已交付 | 交付物提交需求方 | 验收中 | 交付说明 | | 验收中 | 需求方开始验收 | 已关闭、开发中（返工） | 验收结论与轮次 | | 已关闭 | 三项关闭条件齐备或按规则关闭 | — | 关闭记录与理由 | #### 6.5 与本项目业务的结合点 本规范在本项目上有两处需要特别说明的落点。 第一处是数据集建设需求与场景验证的衔接。本项目的数据集加工不是一次成型：场景验证发现某一场景的回答质量不达基线时，归因结论往往指向数据集的样本覆盖不足或分布失衡，这一结论会转为新的数据集建设需求回流到需求池。因此本规范把场景验证的数据要求明确列为第一类需求来源，并在需求单中设「使用方式」字段的「场景验证」取值，使这类回流需求可被单独统计。回流需求的占比与归因结论的分布一并分析，可以判断是加工口径问题还是源数据缺口问题。 第二处是可行性否定结论的高发。本项目的数据需求中，相当一部分会在可行性环节受阻，原因通常是源数据不存在或源系统接口未开通——招标方的数据采集与监控目前覆盖部分车间与部分设备，28 道备料工序中并非每道工序都有完整的过程数据。本规范 7.4.1 条把这类需求转入采集扩展清单与接口协调清单两张清单，而不是驳回。两张清单按月与招标方对接，清单上的条目是现场勘察与接口协调工作的输入，也是数据供给能力评估结论的实际落点。采集点位的布设与设备侧改造涉及招标方生产现场，须由招标方确认停机窗口与施工条件，这一责任边界在附录 C 的「前置条件」字段中逐条记录。 #### 6.6 评审与修订 本规范由数据治理办公室起草，九个业务域数据归口部门会签。附录 A 的需求单字段须经业务评审确认，重点是必填项的设置——必填项过多会使提出方放弃填写而改走私下沟通，必填项过少则评审无从判断。首版发布后的前两个月按实际使用情况回看必填项的填写质量，填写质量低的字段修订其填写要求或改为条件必填。 定期复核每半年一次，复核输入为月度运行指标与驳回原因构成。指标连续两个季度未改善的，复核时须给出是流程问题还是资源问题的判断，不以「加强管理」作为复核结论。 修订通知的同步范围包含平台的需求单表单配置、状态流转配置、月度指标统计口径与相关岗位的填写指引。需求单字段增减时，在途需求按原字段继续流转，新提交需求按新字段填写，统计口径中区分两者的生效区间。 ### 七、《数据设计开发规范》V1.0 样章 本节回应招标文件数据生存周期规划要求第（2）项数据设计与开发、第（5）项输出要求（b1313、b1314、b1320、b1321），并与采集环节的数据源登记、许可核验、入口脱敏与格式合规校验要求（b1396、b1534）衔接。 #### 7.1 文件标识与适用范围 表 A9-9　《数据设计开发规范》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 数据设计开发规范 | | 文件编号 | GHY26691-ST-00-0033-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 内部 | | 编制依据 | GB/T 8567—2006《计算机软件文档编制规范》；GB/T 36345—2018《信息技术 通用数据导入接口》；GB/T 24734—2009《技术产品文件 数字化产品定义数据通则》；GB/T 14689—2008《技术制图 图纸幅面和格式》；本项目数据模型分层架构、数据元标准与《数据安全分级标准》 | | 适用范围 | 适用于本项目数据采集接入、数据加工、数据模型设计与数据接口开发四类作业；适用于 9 个业务域的结构化业务数据、文档、图纸、时序数据、图像五类数据形态；适用于我方项目组开发人员与招标方参与开发配置的岗位 | | 不适用情形 | 智能工具链内部算法实现与模型训练代码的编写规范按技术方案相应章节执行，本规范规定其数据输入输出的接口与登记要求 | | 生效条件 | 经业务评审与数据治理委员会审议通过，由招标方正式发文后生效 | | 失效条件 | 被新版本替代或被明令废止 | | 归口部门 | 数据治理办公室 | | 复核周期 | 每半年一次；数据模型分层架构或数据元标准修订时即时复核 | | 配套表单 | 附录 A 至附录 G（见本节 7.4） | #### 7.2 章节结构 1　范围 2　规范性引用文件 3　术语和定义 3.1 采集任务 3.2 加工任务 3.3 水位线 3.4 幂等 3.5 血缘 3.6 契约 4　通用要求 4.1 设计先于开发 4.2 规范的落地入口 4.3 例外的申请与记录 5　数据采集规范 5.1 采集前置条件 5.2 五类数据形态的采集要点 5.3 频率与增量口径 5.4 入口校验与入口脱敏 5.5 时间基准对齐 5.6 采集范围扩展的推进方式 6　数据加工规范 6.1 分层落地 6.2 幂等与可重跑 6.3 命名与注释 6.4 血缘登记 6.5 加工任务的配置要素 6.6 补数作业的特别要求 7　数据模型设计规范 7.1 模型分层的引用关系 7.2 主键与唯一性 7.3 字段设计与数据元引用 7.4 枚举与码表引用 7.5 变更的向后兼容 8　接口开发规范 8.1 契约定义 8.2 版本管理 8.3 鉴权与调用方登记 8.4 限流与配额 8.5 幂等键 8.6 可观测性 9　评审检查点 9.1 五个检查点与检查项 9.2 不通过的处置 9.3 上线后复核与回退 10　留痕与交维 10.1 开发过程记录 10.2 交维清单 10.3 文档同步要求 附录 A　命名规则表（规范性） 附录 B　加工任务配置要素表（规范性） 附录 C　血缘登记字段表（规范性） 附录 D　接口契约模板（规范性） 附录 E　五类数据形态采集要点表（规范性） 附录 F　评审检查点检查表（规范性） 附录 G　交维清单模板（规范性） #### 7.3 关键条款 4.1.1　任何采集任务、加工任务与接口在开发前须有设计说明，设计说明经设计评审通过后方可进入开发。设计说明的最小内容为：输入对象与字段、输出对象与字段、处理逻辑、调度与依赖、涉及的数据级别与脱敏要求、异常处理方式。 4.3.1　确有理由不能满足本规范某项要求的，提出例外申请，写明理由、影响与过渡安排，由数据治理办公室批准并登记。例外不设默认有效期，须写明再评估时点；未写再评估时点的例外申请不予批准。 5.1.1　采集任务开发前须完成三项前置：数据源已在《数据源登记台账》中登记；许可凭证经核验有效；该源数据的分级标签已标记（b1534）。三项缺一不得开发采集任务。 5.2.1　五类数据形态的采集要点见附录 E。采集方式一律采用只读方式接入源系统，不在源系统侧执行写操作。图纸类数据的解析在内网就地进行，原始图纸文件不离开招标方内网。 5.3.1　结构化业务数据按更新时间戳做增量采集，水位线持久化保存；水位线的推进在批次成功落地后执行，落地失败不推进水位线。文档类按版本变更触发；图纸类按图号批次；时序数据按测点采样周期，秒级测点按时间窗口批量取数；图像类按作业批次关联工件标识采集。 5.4.1　入口校验在数据落地前执行，校验项包含空值、格式、值域、外键与密级标记五类，校验不通过的记录进入隔离区并生成待处理清单，不直接丢弃也不带错落地。入口脱敏对涉及个人信息与敏感地理信息的字段在落地前完成变换，脱敏执行情况随批次记录（b1396）。 5.5.1　纳入采集的数据源须使用统一时间基准。不具备条件的数据源，须记录其时钟偏差并在加工环节校正，偏差值与校正方式登记在采集任务配置中。时间基准不统一会使炉次与温度曲线、焊道与参数流的对齐错位，错位样本在数据集中构成污染而非噪声，因此本条为采集类任务的上线前置检查项。 5.6.1　采集范围的扩展按场景优先级分批推进，首期以试点炉型、试点产线与试点车间所需设备为准，扩展清单以现场勘察结论为准。采集点位的布设与设备侧改造涉及招标方生产现场，须由招标方确认停机窗口与施工条件，确认结论记录在《采集扩展清单》中。 6.1.1　加工任务按数据模型分层写入，层间依赖单向，不跨层直连。每个加工任务须声明其读取层与写入层；违反单向依赖的任务不予上线。 6.2.1　加工任务须满足幂等：同一任务对同一输入批次重复执行，结果一致。实现要求为两项：写入按业务主键与批次标识做覆盖而非追加；任务记录处理水位线并支持按指定水位线重跑。幂等性的实际价值在质量问题整改后的补数场合——不具备幂等性的任务，补数会产生重复记录，制造新的质量问题。 6.3.1　表名、字段名、任务名按附录 A 的命名规则命名。字段的中文名引用数据元标准名称，不自行另起名称。加工逻辑中的业务判断须有注释，注释内容为判断依据而非代码功能的复述，例如某字段取值被过滤的理由与依据文件。 6.4.1　加工任务上线时登记血缘，登记内容为输入输出对象与字段级映射关系，字段格式见附录 C。未登记血缘的任务不予上线。血缘的用途为质量问题溯源与标准变更影响评估两项，因此字段级映射中的加工方式必须写明，仅登记表级血缘不满足本条要求。 6.5.1　加工任务的配置要素按附录 B 填写，要素缺失的任务不予上线。其中质量规则绑定一项要求至少绑定一条阻断级规则——未绑定阻断级规则的任务，其输出的错误只能依靠下游发现，这与质量门控前移的取向相反。 6.6.1　补数作业须指定补数范围与依据，依据为质量问题单号、故障单号或变更通知号之一。补数前评估对下游的影响并通知下游责任方；补数后对受影响批次重跑质量规则并记录结果。补数作业与常规调度使用同一任务代码，不另写一次性脚本——一次性脚本的处理逻辑无法被评审、无法被重跑、也不进入血缘。 7.1.1　数据模型分层的层次定义、各层职责与允许的依赖方向在数据模型分层架构文件中给出，本规范不重复定义。本规范规定的是执行要求：每个加工任务声明读取层与写入层；同层之间的直接依赖须在设计评审中说明理由并记例外；应用层不直接读取贴源层。 7.2.1　每张表须定义主键，主键不使用可变业务含义字段。存在业务唯一性约束的，除主键外另定义唯一性约束并在质量规则库中配置相应的唯一性校验规则。 7.3.1　字段设计须引用数据元标准，引用内容包含数据元标识、类型、长度、精度与值域。数据元标准中尚无对应条目的，先提出数据元新增申请，申请通过后再开发；不先行创建字段后补标准。 7.4.1　枚举字段引用码表，不在表中直接存放中文描述。码表引用参考数据标准中的代码值域字典，码值新增走参考数据的变更流程。 7.4.2　码表变更的影响评估在变更评审中完成，评估内容为引用该码表的表与接口清单、历史数据中已存在的旧码值的处理方式、下游报表与数据集的影响。码值废止不删除历史记录中的旧值，以有效期标注区分。 7.5.1　模型变更遵循向后兼容原则：新增字段允许，字段含义变更与字段删除须评估下游影响并经变更评审。字段类型收窄、长度缩短、值域缩小视为不兼容变更，须通知下游并约定过渡期。 8.1.1　接口契约须定义请求与响应结构、字段引用的数据元标识、分页与排序方式、错误码表与错误信息格式。错误码表须区分业务错误与系统错误，调用方据此判断是否重试。 8.2.1　接口版本管理规则：新增字段向后兼容，不改变原字段语义；不兼容变更须发布新版本并公告过渡期，过渡期内新旧版本并行；旧版本下线前确认无调用方在用，确认依据为调用日志而非口头确认。 8.3.1　接口鉴权按调用方登记执行。L3 及以上级别数据的接口须登记调用方与用途，登记要求见《数据权限管理规范》5.3.1 条。未登记的调用请求一律拒绝并记录被拒绝的尝试。 8.4.1　限流与配额按调用方与数据级别设定。超出配额的请求返回明确的错误码，不作静默丢弃；配额调整走权限变更流程。 8.5.1　写类接口须支持幂等键，调用方重复提交相同幂等键的请求返回首次处理结果，不重复写入。 8.6.1　接口须上报调用量、时延、错误率与返回数据量四项指标至监控。四项指标是《数据运维管理制度》中接口异常告警的判定输入，未上报指标的接口不予上线。 8.6.2　接口的可观测要求落实为三项：指标上报至监控；错误日志记录请求标识，使调用方的问题可按标识定位；契约文档与实现一致性在测试评审中核对。接口变更后未更新契约文档的，视为测试评审未通过。 9.1.1　评审检查点设五个：设计评审、开发自检、测试评审、上线评审、上线后复核。各检查点的检查项见附录 F。 9.1.2　设计评审的参与方按对象类型确定：采集类任务由源系统归口部门参与；加工类任务由对应业务域数据归口部门参与；接口类由调用方参与。参与方缺席的评审不成立，缺席方的意见以书面形式补充后评审方可通过。 9.2.1　检查点不通过的处置依次为：设计评审不通过退回修改，确有理由的记例外并说明过渡安排；开发自检不通过不进入测试；测试评审不通过不进入上线评审；上线评审不通过不予上线；上线后复核不通过回退上线或限制使用范围。 9.3.1　新上线的加工任务在首个运行周期内出现质量规则大面积不通过或任务反复失败时，先回退到上一稳定版本并限制下游使用，再定位问题，不在生产环境上反复修补。下游已有数据集加工依赖该任务的，该批次数据集加工暂停，并在数据卡中记录延期原因。本条是数据开发环节的回退机制。 10.1.1　开发过程记录包含五项：设计说明及其评审记录；开发自检记录；测试记录与质量规则试跑结果；上线评审记录与交维清单；上线后复核结论。五项按任务标识归档，作为数据管理能力成熟度评估的过程证据。 10.2.1　任务与接口上线前提交交维清单，清单内容见附录 G。交维清单不齐备的不予上线——运维责任人未确认的任务，发生故障时无人响应。 10.3.1　文档同步要求为两条：任务或接口的实现变更后，设计说明、契约文档与交维清单在五个工作日内同步更新；血缘登记与质量规则绑定随版本更新。文档与实现不一致的对象在上线后复核中列为不通过项。 #### 7.4 附录内容 附录 A　命名规则表（规范性） | 对象类型 | 命名结构 | 示例 | 约束 | |---|---|---|---| | 贴源层表 | ods 下划线 源系统码 下划线 业务对象 | ods_mes_workorder | 源系统码引用系统目录 | | 明细层表 | dwd 下划线 业务域码 下划线 业务过程 | dwd_mfg_process_param | 业务域码取 9 个业务域缩写 | | 汇总层表 | dws 下划线 业务域码 下划线 统计主题 下划线 粒度 | dws_qc_defect_day | 粒度后缀取 day、month、batch 之一 | | 应用层表 | ads 下划线 应用场景 下划线 对象 | ads_dataset_sample_idx | 场景名使用稳定命名 | | 维度表 | dim 下划线 维度对象 | dim_part | 维度表不带业务域前缀 | | 加工任务 | 目标表名 下划线 调度周期码 | dwd_mfg_process_param_d | 周期码取 h、d、w、m 之一 | | 采集任务 | col 下划线 源系统码 下划线 对象 | col_pdm_drawing | 图纸类任务统一前缀 col | | 接口 | api 下划线 业务域码 下划线 资源 下划线 版本 | api_mfg_workorder_v1 | 版本号随不兼容变更递增 | | 字段 | 英文小写加下划线，中文名引用数据元 | heat_no（炉号） | 不使用拼音缩写 | 不使用拼音缩写这一条在实际项目中最常被违反，后果是字段含义只有写的人知道。本规范的落实方式是把字段名与数据元标识的对应关系作为开发自检与测试评审的检查项，未引用数据元标识的字段在评审中退回。 附录 B　加工任务配置要素表（规范性） | 要素 | 含义 | 必填 | 取值要求 | |---|---|---|---| | 任务标识 | 任务唯一标识 | 是 | 按附录 A 命名 | | 读取层与对象 | 输入所在层与对象清单 | 是 | 层间依赖须单向 | | 写入层与对象 | 输出所在层与对象 | 是 | 一个任务一个主输出对象 | | 调度周期 | 执行周期 | 是 | 小时／日／周／月／事件触发 | | 依赖任务 | 前置任务清单 | 是 | 不允许循环依赖 | | 水位线字段 | 增量判定字段 | 条件必填 | 增量任务必填 | | 幂等实现方式 | 覆盖写入的主键与批次标识 | 是 | 须写明主键字段 | | 重跑支持 | 是否支持按水位线重跑 | 是 | 须为「是」 | | 涉及最高级别 | 处理数据的最高级别 | 是 | 引用分级标签 | | 脱敏要求 | 是否含脱敏处理及规则编号 | 是 | 引用脱敏规则库 | | 关键任务标记 | 是否为关键任务 | 是 | 关键任务的告警级别为一级 | | 质量规则绑定 | 绑定的质量规则编号 | 是 | 至少绑定一条阻断级规则 | | 告警配置 | 失败、超时、量级异常的阈值 | 是 | 新对象可留空待基线积累 | | 运维责任人 | 一线与二线责任岗位 | 是 | 引用责任矩阵 | | 血缘登记状态 | 是否已登记 | 是 | 须为「已登记」 | 附录 C　血缘登记字段表（规范性） | 字段 | 含义 | 必填 | 取值要求 | |---|---|---|---| | 血缘记录标识 | 唯一标识 | 是 | 系统生成 | | 任务标识 | 产生该血缘的任务 | 是 | 引用任务目录 | | 输入对象 | 来源表或接口 | 是 | 引用数据资源目录 | | 输入字段 | 来源字段 | 是 | 逐字段登记 | | 输出对象 | 目标表 | 是 | 引用数据资源目录 | | 输出字段 | 目标字段 | 是 | 逐字段登记 | | 加工方式 | 字段级加工说明 | 是 | 直传／映射／计算／聚合／脱敏／拼接，计算类须写表达式要点 | | 过滤条件 | 影响该字段的过滤条件 | 条件必填 | 存在业务过滤时必填 | | 级别传递 | 输出字段的级别及其依据 | 是 | 继承最高级别或按脱敏降级结论 | | 登记时间与版本 | 登记时点与任务版本 | 是 | 任务版本变更须重新登记 | 附录 D　接口契约模板（规范性） 契约文档的章节为七节：接口标识与用途；请求地址、方法与鉴权方式；请求参数表（字段、类型、必填、取值域、数据元标识）；响应结构表（字段、类型、含义、数据元标识、级别与脱敏说明）；分页与排序约定；错误码表（错误码、类别、含义、调用方应采取的动作、是否可重试）；调用约束（频次上限、单次返回量上限、幂等键要求、超时与重试建议）。 附录 E　五类数据形态采集要点表（规范性） | 数据形态 | 本项目典型对象 | 采集方式 | 频率与增量口径 | 入口校验要求 | |---|---|---|---|---| | 结构化业务数据 | 物料、工单、报工、库存、检验记录、采购订单 | 只读接口或数据库只读视图 | 按更新时间戳增量，按日或按小时；水位线持久化 | 空值、格式、值域、外键 | | 文档类数据 | 制度、技术标准、工艺规程、合同 | 文档目录与正文只读导出 | 按版本变更触发 | 格式可解析性、版本有效性、密级标记 | | 图纸类数据 | 产品图纸、零部件图（含图纸交换格式文件） | 按图号或项目只读读取，解析在内网就地进行 | 按图号批次 | 图元完整性、图号与版本可识别、标题栏可定位 | | 时序数据 | 炉台温度、中频电源参数、焊接参数、在役装备测点 | 按测点订阅或周期取数 | 按测点采样周期，秒级测点按窗口批量 | 缺段、恒值、漂移检查；时间基准对齐 | | 图像数据 | 焊接部位图像、交检拍照 | 按工件或工单关联采集 | 按作业批次 | 分辨率、标定参数、与工件标识的关联完整性 | 附录 F　评审检查点检查表（规范性） | 检查点 | 检查项 | 不通过的处置 | |---|---|---| | 设计评审 | 字段引用数据元标准；枚举引用码表；安全级别与脱敏要求已标注；模型分层合规；异常处理方式明确 | 退回修改；确有理由的记例外并写过渡安排 | | 开发自检 | 幂等与重跑验证通过；命名合规；注释完整；敏感字段未落明文 | 不进入测试 | | 测试评审 | 质量规则已绑定并试跑；血缘登记完整；接口契约与实现一致；错误码可区分 | 不进入上线评审 | | 上线评审 | 调度配置、依赖配置、告警配置齐备；运维责任人已确认；交维清单齐备 | 不予上线 | | 上线后复核 | 首个运行周期的质量稽核结果；任务运行稳定性；指标上报正常 | 回退上线或限制使用范围 | 附录 G　交维清单模板（规范性） 字段包含：任务或接口标识、功能说明、输入输出对象、调度与依赖、涉及数据级别与脱敏规则、告警配置与阈值、常见故障与处置建议、补数方式与重跑命令要点、一线与二线运维责任岗位、上线日期、关联设计说明与契约文档编号、遗留问题与例外事项。 图 A9-6　五个评审检查点产生的记录与两处回退路径 设计评审 设计说明＋例外记录 开发自检 幂等与重跑验证记录 测试评审 规则试跑＋血缘登记 上线评审 交维清单＋告警配置 上线后复核 首周期稽核结果 退回修改（不进入下一检查点） 设计、自检、测试三处均按此处置 回退上线或限制使用范围 回退至上一稳定版本后再定位 回退的下游影响处置（写入数据卡与运维记录，不作静默处理） 依赖该任务的数据集加工暂停　→　数据卡记录延期原因　→　下游责任方接到变更通知 受影响批次按幂等方式重跑并复跑质量规则　→　故障单与问题单关联，闭环后方可恢复上线 图 A9-6　数据来源：招标文件第五章 3.2.6.1.1.2.8 第（2）项数据设计与开发要求（b1313、b1314）；检查项取本规范附录 F，回退规则取 9.3.1 条。 #### 7.5 与本项目业务的结合点 本规范有三处落点与矿山装备制造的数据形态直接相关。 图纸解析的就地处理要求。本项目的图纸类数据以产品图纸与零部件图为主，其中包含刮板输送机溜槽、链轮、减速器等零部件的图纸与配套工艺卡片。图纸类数据的采集要点规定「解析在内网就地进行」，原因有两条：一是图纸的分级结论为 L3，整机全套图纸聚合后为 L5，原始文件外发不符合分级管控矩阵的要求；二是图纸解析需要读取标题栏、图线、尺寸标注与公差标注，依据 GB/T 14689—2008、GB/T 4457.4—2002 与 GB/T 1800.1—2020 等标准判定图元语义，解析过程本身产生中间文件，中间文件留在内网可避免二次管控。 时间基准对齐的强制要求。本项目要对齐的时序数据来自热处理群控系统、现场采集与制造执行系统三类来源，分别记录炉次温度、焊接参数与工单报工时点。这三类数据的对齐结果直接决定制造过程数据集中「工序—参数—结果」三元组样本的质量。本规范把时间基准对齐列为采集任务上线前置检查项，不具备统一基准的数据源须登记时钟偏差并在加工环节校正，校正方式写入任务配置，使后续发现样本错位时能够回溯到校正参数。 命名与数据元引用的落实。备料工序涉及的炉号、炉次、坡口类型、焊接方法、材质牌号等字段，在不同源系统中的命名各不相同。本规范要求字段中文名引用数据元标准名称、英文名不使用拼音缩写，并把数据元引用作为设计评审与测试评审的检查项。这一要求与数据标准规划中的数据元标准互为前提：数据元标准尚无对应条目时先提出新增申请，不先建字段后补标准，否则标准永远落在实现之后。 #### 7.6 评审与修订 本规范由数据治理办公室起草，我方项目组开发侧、九个业务域数据归口部门与平台运维岗会签。附录 A 的命名规则与附录 E 的采集要点须在业务评审中逐项确认，前者与平台的元数据采集规则相关，后者与各源系统的实际接入条件相关。 定期复核每半年一次。数据模型分层架构或数据元标准修订时即时复核，复核范围为第 6 章与第 7 章；接口相关条款在数据服务标准修订时复核。例外清单每季度复查一次，再评估时点届满的例外须给出转为合规或延期的结论，延期须重新批准。 修订通知的同步范围包含平台的任务配置模板、血缘登记字段、接口契约模板、评审检查表与开发侧的培训材料。命名规则修订时不对已上线对象追溯改名，新增对象按新规则命名，并在命名规则表中标注各版本的生效区间——追溯改名会打断血缘与下游引用，代价高于命名不一致本身。 ### 八、《数据运维管理制度》V1.0 样章 本节回应招标文件数据生存周期规划要求第（3）项数据运维与第（5）项输出要求（b1315、b1316、b1317、b1320、b1321）。 #### 8.1 文件标识与适用范围 表 A9-10　《数据运维管理制度》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 数据运维管理制度 | | 文件编号 | GHY26691-ST-00-0034-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 内部 | | 编制依据 | GB/T 25000.51—2016《系统与软件工程 系统与软件质量要求和评价 第 51 部分》；GB/T 16680—2015《系统与软件工程 用户文档的管理者要求》；本项目《数据设计开发规范》《数据权限管理规范》；招标方现行信息系统运维管理规定【待填：现行规定名称与文号】 | | 适用范围 | 适用于采集任务、加工任务、数据服务接口、治理与加工平台本体、数据质量规则五类运维对象的日常监控、告警响应、故障处置与复盘；适用于我方项目组运维岗、招标方数据运维岗与平台运维岗 | | 不适用情形 | 招标方源业务系统自身的运维按其现行运维规定执行，本制度规定本项目在源系统故障时的定位、通知、协调与降级要求 | | 生效条件 | 经业务评审与数据治理委员会审议通过，由招标方正式发文后生效 | | 失效条件 | 被新版本替代或被明令废止 | | 归口部门 | 数据治理办公室 | | 复核周期 | 每半年一次；告警阈值按季度复核 | | 配套表单 | 附录 A 至附录 F（见本节 8.4） | #### 8.2 章节结构 1　范围 2　规范性引用文件 3　术语和定义 3.1 运维对象 3.2 一线处置与二线处置 3.3 告警 3.4 故障闭环 3.5 数据空洞 4　运维组织与责任 4.1 五类运维对象的责任矩阵 4.2 一线与二线的分工界面 4.3 与源系统归口部门的责任边界 4.4 值班安排与交接要求 5　日常监控 5.1 监控范围与监控项 5.2 监控看板与日报 5.3 基线的建立与维护 5.4 巡检要求 6　告警管理 6.1 六类告警的判定规则 6.2 告警级别与通知对象 6.3 响应时限 6.4 告警抑制与合并 6.5 误告警的处理 7　故障处置 7.1 故障分级 7.2 处置流程与三条定位分支 7.3 升级路径 7.4 降级与应急措施 7.5 关闭条件 8　补数与数据空洞 8.1 补数的触发与审批 8.2 补数作业的执行要求 8.3 数据空洞的识别与登记 8.4 对数据集加工的影响处置 9　复盘与改进 9.1 复盘的触发与时限 9.2 复盘报告的内容 9.3 改进项的跟踪 10　运行报表与考核 10.1 月度运行指标 10.2 季度运行分析 10.3 考核指标 附录 A　运维责任矩阵（规范性） 附录 B　告警规则登记表（规范性） 附录 C　故障单模板（规范性） 附录 D　值班交接单模板（规范性） 附录 E　补数申请与执行记录模板（规范性） 附录 F　运维月度报表模板（规范性） #### 8.3 关键条款 4.1.1　运维对象分五类：采集任务、加工任务、数据服务接口、治理与加工平台本体、数据质量规则。各类对象的日常监控、一线处置、二线处置、源头协调与业务确认责任见附录 A。 4.3.1　下列情形的处置责任在源系统归口部门，本项目运维方负责定位、通知与协调，并在数据服务侧按降级策略维持可用性：源系统自身故障；源系统未按约定提供数据；源系统数据内容错误；源系统接口变更未提前通知。本条是责任边界条款，列入本制度的原因是招标方的部分源系统由不同方维护，故障定位结论须有明确的责任归属，否则故障单无法关闭。 4.4.1　值班安排按工作日值班与非工作日轮值两类，一级告警在非工作日同样按时限响应。值班交接按附录 D 填写交接单，交接内容包含在途故障、临时措施、待观察项与次日关注点。未完成交接的在途故障不得视为已移交——交接单签认是移交成立的条件。 5.1.1　日常监控的监控项为五组：任务运行状态与时长；数据到达时间与批次记录数；接口调用量、时延、错误率与返回量；平台资源与服务状态；质量规则执行结果与不通过比例。监控项的采集依赖《数据设计开发规范》8.6.1 条要求的指标上报，未上报指标的对象不纳入监控，上线评审时据此把关。 5.2.1　监控看板按三类视图组织：按对象视图，看单个任务或接口的运行状况；按链路视图，看从采集到数据集加工的端到端状态；按交付视图，看在产数据集版本所依赖的任务是否全部正常。第三类视图是本项目的特有需要——交付节点临近时，需要知道的不是哪个任务失败，而是哪一版数据集受影响。 5.3.1　阈值类告警的基线按对象历史分布设定，按季度复核。新纳管对象在积累两个月运行数据后启用阈值类告警，基线不足期间以人工巡检替代，巡检结果记录在日报中。 5.4.1　巡检按日执行，巡检项为五项：昨日任务执行结果与失败清单；数据到达时点与延迟清单；接口错误率排名；资源使用与容量余量；在途故障与临时措施的有效性。巡检结果形成日报，日报中无异常项同样记录，不以「无异常」一句了事，须列出已检查项。 6.1.1　告警分六类，判定规则、级别、通知对象与响应时限见表 A9-11。 6.3.1　响应的含义是确认接报并开始处置，不等于恢复。响应时限与恢复时限分别统计：响应时限按告警推送至值班岗确认的间隔计；恢复时限按确认至现象消除的间隔计。两者分开统计的原因是两者的改进手段不同，前者靠值班安排，后者靠定位能力与预案。 6.4.1　同一对象在短时间内重复触发同类告警的，合并为一条告警并累计次数，不重复推送。上游故障引发的下游连锁告警按依赖关系抑制，仅推送根因对象的告警，被抑制的告警在故障单中一并登记——抑制不等于不记录，否则影响范围无法还原。 6.5.1　误告警由值班岗判定并登记，登记内容包含误告警原因与规则调整建议。同一规则在一个季度内误告警超过约定次数的，列入阈值复核重点；规则调整须经数据治理办公室批准，不由值班岗自行关闭规则。 7.1.1　故障按影响分三级。一级：数据集交付节点受影响；关键任务连续失败；数据服务不可用；质量规则阻断级大面积不通过。二级：非关键任务失败或延迟；接口错误率超阈值但服务可用；单对象数据量异常。三级：告警可自行恢复；单次任务失败重试即成功；日志与监控项缺失。 7.2.1　故障处置按五步执行：接报与登记、影响范围判定、原因定位、处置与恢复、补数与关闭。原因定位按三条分支并行推进：源头分支，核查源系统是否变更、是否可用、数据是否异常；通道分支，核查接口、网络、权限与凭据是否正常；加工分支，核查任务代码、依赖、配置与资源是否异常。三条分支并行而非串行，是因为三者的核查手段与责任方不同，串行会把定位时间叠加。 7.2.2　处置过程中启用的临时措施须登记并设定撤回条件。临时措施包含跳过校验、放宽阈值、临时提权、手工补数四类，其中临时提权按《数据权限管理规范》的紧急授权条款办理，期限不超过七十二小时。临时措施未撤回的故障不得关闭。 7.3.1　一级故障超过约定响应时限未取得进展的，升级至数据治理办公室；涉及源系统且协调两次未果的，升级至数据治理委员会。升级记录写入故障单，升级本身不中断处置。 7.4.1　降级措施按服务 SLA 级别预先约定：一级服务在故障期间启用上一可用批次的数据并标注数据时点；二级服务可暂停更新但保持查询可用；三级服务可暂停。启用降级须在服务目录与调用方通知中同步标注，恢复后撤回标注。 7.5.1　故障关闭须同时满足两个条件：故障现象消除；受影响的数据批次已补齐并通过质量规则复跑。仅恢复任务运行而不补数，会在数据中留下一段空洞，这段空洞在日后被数据集加工取用时无法察觉，因此本条不设例外。 8.1.1　补数作业须经审批，审批要素包含补数范围、依据单号、对下游的影响评估与执行窗口。补数依据为故障单号、质量问题单号或变更通知号之一，无依据的补数不予审批。 8.2.1　补数作业使用与常规调度相同的任务代码，按水位线重跑或按批次覆盖执行，不另写一次性脚本。补数完成后比对补数前后的记录数与关键指标，比对结果写入补数执行记录。 8.3.1　数据空洞指某一数据对象在某一时间区间内应有而缺失的记录。空洞的识别方式有两种：批次记录数与基线对比发现缺口；数据到达时间与采集周期对比发现缺批。识别到的空洞登记入空洞台账，登记内容包含对象、时间区间、缺失原因、是否可补、补齐时点。不可补的空洞须在相关数据集的数据卡中声明，不作隐去处理。 8.4.1　数据空洞影响在产数据集加工时，按三步处置：暂停受影响子集的加工；评估空洞对样本分布的影响；补齐后重跑或在数据卡中记录空洞区间与影响评估。空洞区间占样本时间跨度的比例超过约定阈值的，该批次不进入正式版本。 9.1.1　一级与二级故障在闭环后十个工作日内完成复盘。复盘报告内容为六项：故障经过与时间线；直接原因；管理与技术上的缺口；已采取的措施；待改进项与责任部门；是否需要修订相关规范条款。 9.2.2　复盘报告中的直接原因须写到可定位的程度：源系统接口字段变更、水位线配置错误、依赖任务未完成即触发、资源耗尽、代码逻辑缺陷等。写「系统异常」「偶发问题」的复盘不予通过——无法定位的问题须作为待查项列入改进清单并指定跟踪方。 9.3.1　改进项进入改进清单并按月跟踪，改进项的关闭须有验证证据。同类故障在三个月内重复发生两次以上的，视为前次改进未生效，由数据治理办公室组织重新分析。 10.1.1　月度运行指标为八项：任务成功率、任务按时完成率、告警总数与分类构成、告警平均响应时长、故障数与分级构成、故障平均处置时长、补数次数与补数数据量、数据空洞数与闭环情况。指标在月度例会上通报并进入运维月度报表（附录 F）。 10.2.1　季度运行分析的内容为四项：八项月度指标的季度趋势与异常月份归因；告警规则的误报与漏报统计及阈值调整建议；故障的类型分布与重复发生情形；运维工作量与自动化改进项。分析报告提交数据治理办公室。 10.3.1　运维考核指标为五项：一级告警按时响应率；故障按时处置率；故障关闭的两条件留痕完整率；补数后质量规则复跑通过率；值班交接单完整率。考核不以告警数量为指标——告警数量受规则覆盖面影响，覆盖面提高会使数量上升，以数量考核会抑制规则的完善。 #### 8.4 附表与附录 表 A9-11　六类告警的判定规则、级别与响应时限 | 告警类型 | 判定规则 | 级别 | 通知对象 | 响应时限 | |---|---|---|---|---| | 任务失败 | 任务执行返回失败，按配置重试后仍失败 | 关键任务为一级，其余为二级 | 一级推送运维岗与数据开发岗；二级推送运维岗 | 一级三十分钟内响应 | | 任务超时 | 执行时长超过基线约定倍数 | 二级 | 运维岗 | 两小时内响应 | | 接口异常 | 错误率或时延超阈值；连续调用失败 | 按接口 SLA 级别定 | 运维岗与调用方 | 按 SLA 级别定 | | 数据延迟 | 数据到达时间超过约定时限 | 影响数据集交付的为一级，其余为二级 | 运维岗、数据归口部门 | 一级一小时内响应 | | 数据量异常 | 批次记录数偏离基线超过阈值 | 二级 | 运维岗与数据质量管理员 | 四小时内响应 | | 质量规则大面积不通过 | 单任务阻断级规则不通过比例超阈值 | 一级 | 运维岗、数据质量管理员、业务归口部门 | 一小时内响应 | 数据量异常这一类告警在实践中捕获的问题比任务失败更隐蔽。任务成功执行但只取到平日十分之一的记录，多半是源系统接口变更或增量水位线错位，而任务状态显示成功，不设量级告警就发现不了。本类告警的阈值按对象历史分布设定并按季度复核。 附录 A　运维责任矩阵（规范性） | 运维对象 | 日常监控 | 一线处置 | 二线处置 | 源头协调 | 业务确认 | |---|---|---|---|---|---| | 采集任务 | 数据运维岗 | 数据运维岗 | 我方项目组数据开发 | 源系统归口部门 | 需求提交部门 | | 加工任务 | 数据运维岗 | 数据运维岗 | 我方项目组数据开发 | — | 数据归口部门 | | 数据服务接口 | 数据运维岗 | 数据运维岗 | 我方项目组平台支持 | — | 调用方部门 | | 治理与加工平台本体 | 平台运维岗 | 平台运维岗 | 我方项目组平台支持 | — | — | | 数据质量规则 | 数据质量管理员 | 数据质量管理员 | 我方项目组数据开发 | 源系统归口部门 | 业务归口部门 | 附录 B　告警规则登记表（规范性） | 字段 | 含义 | 必填 | 取值要求 | |---|---|---|---| | 规则编号 | 唯一标识 | 是 | GJ 加四位顺序号 | | 告警类型 | 六类之一 | 是 | 见表 A9-11 | | 适用对象 | 适用的运维对象 | 是 | 可按对象或对象组 | | 判定表达式 | 具体判定逻辑 | 是 | 写明比较字段、比较方式与阈值来源 | | 阈值与基线来源 | 阈值取值依据 | 是 | 固定值或基线分位 | | 告警级别 | 一级或二级 | 是 | — | | 通知对象与方式 | 推送对象与渠道 | 是 | 引用值班安排 | | 响应时限 | 要求的响应时间 | 是 | 与表 A9-11 一致 | | 抑制规则 | 合并与抑制条件 | 否 | 写明依赖对象 | | 启用状态 | 是否启用 | 是 | 新对象可为「待基线」 | | 复核时点 | 下次阈值复核时点 | 是 | 默认季度 | 附录 C　故障单模板（规范性） 字段包含：故障单号、接报时间与接报方式、报告来源（告警／人工发现／调用方反馈／源系统通知）、故障对象与级别、影响范围（受影响任务、接口、数据对象、数据集子集与下游部门）、临时措施与启用时间、定位过程（源头、通道、加工三分支的核查结论）、根因结论与责任归属、处置措施与完成时间、受影响批次清单、补数申请编号与补数完成时间、质量规则复跑结果、数据空洞登记编号、升级记录、关闭时间与关闭确认岗位、复盘报告编号。 附录 D　值班交接单模板（规范性） 字段包含：交接日期与班次、交班与接班岗位、在途故障清单及当前状态、已启用的临时措施与撤回条件、待观察对象与观察要点、当班新增告警统计、次日关注点、未完成事项与交接确认。 附录 E　补数申请与执行记录模板（规范性） 字段包含：补数申请编号、依据单号与依据类型、补数对象与时间区间、补数原因、预估影响记录数、对下游的影响评估与通知对象、执行窗口、执行方式（按水位线重跑／按批次覆盖）、执行人岗位、执行开始与结束时间、实际影响记录数、质量规则复跑结果、下游确认结论、归档编号。 附录 F　运维月度报表模板（规范性） 报表内容为五部分：运行概况（任务数、接口数、监控对象数的变化）；八项月度运行指标的本月值与近三月趋势；告警与故障的分类构成与典型案例；补数与数据空洞的台账摘要；改进项的进展与遗留问题。报表中的典型案例一栏不作简单罗列，须写明该案例对规范条款或告警规则的修订意义。 图 A9-7　告警至故障关闭的记录链与补数回路 告警触发 六类之一，带规则编号 接报与登记 生成故障单，定级 三分支并行定位 源头／通道／加工 处置与恢复 含降级与撤回标注 补数申请与执行 按水位线重跑 质量规则复跑 结果写入故障单 关闭确认 两条件缺一不关闭 复跑不通过：再补数 不可补齐的情形 登记数据空洞台账（对象、区间、原因、是否可补） 在相关数据集数据卡中声明空洞区间与影响评估 闭环之后 一级二级故障十个工作日内复盘，改进项按月跟踪 三个月内同类重复两次以上：视为改进未生效，重新分析 图 A9-7　数据来源：招标文件第五章 3.2.6.1.1.2.8 第（3）项数据运维要求（b1315 至 b1317）；关闭条件取本制度 7.5.1 条，空洞处置取 8.3.1 条。 #### 8.5 与本项目业务的结合点 本制度有两处落点与本项目的交付节奏直接相关。 第一处是数据延迟告警与数据集交付节点的挂钩。本项目的数据集按版本交付，每一版本的加工有确定的起止窗口。采集或加工环节的数据延迟若发生在窗口内，影响的不是某张报表而是该版本能否按期发布。因此本制度把「影响数据集交付的数据延迟」定为一级告警，响应时限一小时，并要求在故障单中登记受影响的数据集子集。这一安排使运维侧的优先级判断与交付节奏一致，而不是按任务重要性的静态标注排序。 第二处是数据空洞与样本分布的关系。本项目的时序类样本来自热处理炉次、焊接过程与在役装备测点，这类数据一旦缺段就不可追补——炉次已过、焊道已焊、工况已变。本制度 8.3.1 条要求不可补的空洞在数据卡中声明而不隐去，8.4.1 条要求空洞区间占样本时间跨度比例超过约定阈值时该批次不进入正式版本。这两条的实际作用是在数据集发布之前暴露缺口，而不是在场景验证阶段由模型表现反推出缺口。时序样本的缺段在质检的完备性维度上会被捕获，但捕获时已在加工后端，代价高于在运维环节登记。 #### 8.6 评审与修订 本制度由数据治理办公室起草，我方项目组运维与开发侧、招标方信息运维归口部门、九个业务域数据归口部门会签。附录 A 的责任矩阵须逐行确认到岗位，这一项是本制度能否执行的关键——矩阵中任一格空缺，对应情形发生时即无人响应。 定期复核每半年一次。告警阈值按季度复核，复核输入为误告警统计与漏报情况；阈值调整不构成本制度的版本变更，但须在附录 B 中留记录。源系统接入范围扩大或平台功能变更时即时复核第 5 章与第 6 章。 修订通知的同步范围包含平台的告警规则配置、值班安排、故障单与补数单表单配置、月度报表统计口径以及运维岗培训材料。告警类型增减时，历史告警统计按原分类保留，新分类从生效月起统计，报表中标注分类口径的生效区间，避免告警构成的趋势图出现无法解释的断点。 ### 九、《数据退役管理规范》V1.0 样章 本节回应招标文件数据生存周期规划要求第（4）项数据退役与第（5）项输出要求（b1318、b1319、b1320、b1321）。 #### 9.1 文件标识与适用范围 表 A9-12　《数据退役管理规范》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 数据退役管理规范 | | 文件编号 | GHY26691-ST-00-0035-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 内部 | | 编制依据 | GB/T 40685—2021《信息技术服务 数据资产 管理要求》；GB/T 41479—2022《信息安全技术 网络数据处理安全要求》数据销毁相关要求；本项目《数据安全分级标准》《数据资产管理办法》；招标方档案管理与保密制度【待填：现行制度名称与文号】 | | 适用范围 | 适用于本项目纳管数据对象、数据集版本、中间加工结果与备份副本的退役评估、归档与销毁；适用于 9 个业务域的数据对象与四类数据集的历史版本 | | 不适用情形 | 招标方纸质档案的归档与销毁按其档案与保密制度执行；本规范规定其电子副本的处置要求与两者的衔接方式 | | 生效条件 | 经业务评审与数据治理委员会审议通过，由招标方正式发文后生效 | | 失效条件 | 被新版本替代或被明令废止 | | 归口部门 | 数据治理办公室；销毁作业由安全管理岗监督 | | 复核周期 | 每年一次 | | 配套表单 | 附录 A 至附录 F（见本节 9.4） | #### 9.2 章节结构 1　范围 2　规范性引用文件 3　术语和定义 3.1 数据退役 3.2 归档 3.3 销毁 3.4 复活 3.5 副本 4　退役的触发 4.1 四种触发情形 4.2 触发的发起主体 4.3 到期提醒机制 5　资产评估 5.1 四个评估维度 5.2 评分标尺与权重 5.3 合规义务的否决权 5.4 复建成本的判定 5.5 评估结论的四种取值 6　审批 6.1 审批层级 6.2 审批要素 6.3 下游引用的确认 6.4 异议与暂缓 7　归档 7.1 归档的基本要求 7.2 归档台账 7.3 格式解析说明 7.4 复活流程 7.5 归档数据的再评估 8　销毁 8.1 销毁的基本要求 8.2 副本清单的逐项确认 8.3 销毁方式与级别对应 8.4 监督与销毁证明 8.5 销毁后的核验 9　记录同步 9.1 三处记录的同步要求 9.2 血缘与下游引用的处理 9.3 质量规则的停用 10　数据集版本的退役 10.1 数据集版本退役的特别情形 10.2 已对外提供版本的处置 10.3 数据卡与资产台账的更新 附录 A　退役评估记分表（规范性） 附录 B　退役申请与审批单模板（规范性） 附录 C　归档台账模板（规范性） 附录 D　销毁申请与副本清单模板（规范性） 附录 E　销毁证明模板（规范性） 附录 F　复活申请模板（规范性） #### 9.3 关键条款 4.1.1　数据退役的触发情形为四种：保留期限到期；业务下线导致数据不再产生且不再使用；系统替换后旧数据已完成迁移；资产评估判定为无保留价值。 4.2.1　退役的发起主体按触发情形确定：保留期限到期与闲置筛查由数据治理办公室发起；业务下线由业务域数据归口部门发起；系统替换由信息运维归口部门发起；数据集版本退役由数据治理办公室发起。发起方负责填写退役申请并组织评估。 4.3.1　保留期限到期的提醒由平台按对象的留存期限字段自动生成，提醒时点为到期前三个月。闲置判定按使用热度自动筛查，筛查结果每半年汇总一次形成待评估清单。待评估清单由数据治理办公室分发至对应业务域数据归口部门。 5.1.1　评估按四个维度执行：使用热度，取近一年的访问与引用次数；业务价值，判断是否仍为某项业务判断的依据；合规义务，判断法规、合同、审计是否要求保留；复建成本，判断销毁后若需要是否还能重新获得。 5.2.1　四个维度按附录 A 记分，记分结果用于形成评估建议，不作为唯一依据。记分之外须由业务域数据归口部门给出文字意见，意见与记分结论不一致时以文字意见为准并说明理由。 5.3.1　合规义务维度具有否决权。存在法规、合同或审计保留义务的数据不进入销毁路径，无论其使用热度多低。否决情形须写明依据的法规条款、合同条款号或审计要求编号。 5.4.1　复建成本按三档判定：可低成本复建（可从源系统重新获取）；可高成本复建（需重新采集、重新标注或重新加工）；不可复建（源头已不存在、现场工况已变、原始载体已销毁）。不可复建的数据倾向归档而非销毁。 5.5.1　评估结论取四值：继续保留；转归档；销毁；暂缓并再评估（写明暂缓理由与再评估时点）。 5.5.2　评估结论为暂缓并再评估的，再评估时点不得超过一年。暂缓理由消失后提前发起再评估。连续两次暂缓的对象，由数据治理办公室组织会商确定结论，不允许长期挂账——长期挂账的对象既占用存储，又不在任何一方的管理视野内。 6.1.1　审批层级按数据级别与结论类型设定：转归档结论由业务域数据归口部门审批；L1 至 L3 级数据的销毁由业务域数据归口部门审批并经安全管理岗复核；L4 级数据的销毁由业务域数据归口部门与信息安全归口部门会签；L5 级数据的销毁报数据治理委员会审定。数据集版本的销毁一律经数据治理办公室复核。 6.2.1　审批要素为八项：退役对象与范围、触发情形、安全级别、四维度评估记分与文字意见、下游引用确认结论、建议结论、处置方式与时限、异议记录。要素缺项的申请不予审批，其中下游引用确认结论与异议记录两项最常缺失。 6.3.1　审批前须确认下游引用情况。下游仍有引用的数据对象不得直接退役，须先完成下游改造或由下游责任方书面确认可接受数据缺失。确认结论作为审批单附件，无确认结论的申请不予审批。 6.4.1　任一业务域对退役申请提出异议的，结论改为暂缓并再评估。异议须写明理由；无理由的异议不成立，但须记录提出异议的部门与沟通结果。 7.1.1　归档的基本要求是「可检索、可复活」。可检索指归档后仍能按业务标识定位到数据；可复活指在需要时能够按既定流程恢复为可用状态。 7.2.1　归档台账按附录 C 维护，字段写入在归档执行完成后五个工作日内完成。台账中的存储位置与介质字段须与实际存放一致，介质更换或迁移时同步更新台账，并重新校验归档数据的可读性。 7.2.2　归档数据的可读性按年抽样校验，校验内容为能否按检索方式定位、能否按解析说明打开、关键字段能否正确识别。校验不通过的归档数据列为待处置项，处置方式为转换格式后重新归档或在台账中标注不可读并说明影响。 7.3.1　归档数据的格式解析说明为必填项。私有格式的归档数据须同时归档格式说明文件，或在归档前转为通用格式。本项目涉及的图纸交换格式文件、时序数据二进制包、标注结果文件均属须附解析说明的类型。这一要求决定了若干年后归档数据还能不能读——缺少解析说明的归档数据，在形式上是已归档，在事实上已不可用。 7.4.1　复活按申请执行，申请要素包含复活对象与范围、复活事由、使用期限、使用人员范围、涉及级别与脱敏要求。复活后的数据按原级别管控；原级别已不适用的，重新定级后管控。复活记录登记入归档台账。 7.5.1　归档数据每三年再评估一次，再评估的维度与首次评估一致。再评估结论可为继续归档、销毁或恢复为在线数据。 8.1.1　销毁的基本要求是「可证明、不可恢复」。可证明指销毁过程有监督并出具证明；不可恢复指采用的销毁方式使数据无法通过技术手段还原。 8.2.1　销毁范围须包含全部副本。销毁申请中逐项列出副本清单并逐项确认，清单覆盖主库、历史备份、离线介质、测试与开发环境副本、导出件与外部提供件。仅销毁主库而遗留备份不算完成销毁。副本清单的完整性由平台的存储位置登记与运维侧的备份记录共同核对。 8.3.1　销毁方式按级别选择：L1 与 L2 级可采用逻辑删除并覆写；L3 及以上须采用不可恢复的方式，由安全管理岗监督执行；L5 级数据的销毁在受控区内完成，执行与监督由不同岗位分别承担。 8.3.2　销毁作业的执行与监督由不同岗位分别承担，不得由同一岗位兼任。L5 级数据的销毁在受控区内完成，销毁过程留存影像或系统操作记录作为证据，证据与销毁证明一并归档。 8.4.1　销毁完成后出具销毁证明，证明内容包含销毁对象与范围、副本清单的逐项销毁确认、销毁方式、执行人岗位、监督人岗位、销毁时间与归档编号。销毁证明留存期限不短于项目期加质保期。 8.5.1　销毁后由安全管理岗按抽样方式核验不可恢复性，核验方式与抽样比例按级别设定。核验发现可恢复痕迹的，重新执行销毁并分析原因。 9.1.1　退役处置须同步更新三处记录：数据资源目录中该对象的状态；元数据与血缘中的下游引用关系；相关质量规则的启用状态。三处同步在处置完成后五个工作日内完成，同步结果由数据治理办公室核对。 9.2.1　血缘中的下游引用关系在退役处置后更新：失效引用标注失效时点而不删除血缘记录。保留失效血缘的理由是历史数据集的样本来源需要可追溯，删除血缘会使已发布数据集的来源说明断链。 9.3.1　退役对象相关的质量规则同步停用，停用记录保留。规则不停用会在后续稽核中持续产生对不存在对象的不通过结果，使质量指标失真。 10.1.1　数据集版本的退役有两种特别情形：被新版本替代且无使用方在用；因合规瑕疵被撤回。前者按常规流程评估与处置；后者按《数据合规管理制度》的瑕疵处置条款执行，不适用保留期限到期的提醒机制。 10.2.1　已对外提供的数据集版本退役时，按授权记录通知全部受众，通知内容包含退役原因、替代版本、已交付件的处置方式与处置时限。受众的处置结果回收登记，无法联系到的受众登记为未确认项并在资产台账中保留记录。 10.3.1　数据集版本退役后，其数据卡标记为已退役状态并保留全文，不删除；数据集资产台账中登记退役时点、退役原因与替代版本。数据卡保留的理由是历史版本的评测结论与场景验证结论仍被引用，删除数据卡会使这些结论失去依据。 10.3.2　数据集版本退役后，其评测结论与场景验证结论随数据卡保留。后续版本的对比分析引用历史版本结论时，须标注该版本已退役及其退役原因，避免引用方误以为该版本仍可取用。 #### 9.4 附表与附录 附录 A　退役评估记分表（规范性） | 维度 | 分档与取值 | 权重 | 评分说明 | |---|---|---|---| | 使用热度 | 近一年访问或引用零次取 0 分；一至十次取 1 分；十一至五十次取 2 分；五十次以上取 3 分 | 30% | 访问与引用取自访问日志与血缘下游记录 | | 业务价值 | 不再作为任何业务判断依据取 0 分；偶发参考取 1 分；常规参考取 2 分；关键依据取 3 分 | 30% | 由业务域数据归口部门判定并写明业务环节 | | 合规义务 | 无保留义务取 0 分；存在保留义务取 3 分并否决销毁 | 否决项 | 须写明依据条款 | | 复建成本 | 可低成本复建取 0 分；可高成本复建取 2 分；不可复建取 3 分 | 40% | 按 5.4.1 条三档判定 | 建议结论的形成规则：合规义务为否决项时结论不得为销毁；加权得分低于约定下限且复建成本为可低成本复建的，建议销毁；加权得分低于下限但复建成本为不可复建的，建议转归档；加权得分在下限以上的，建议继续保留。 附录 B　退役申请与审批单模板（规范性） 字段包含：申请编号、申请部门、退役对象与范围（对象标识、时间区间、数据量）、触发情形、安全级别、四个维度的记分与文字意见、建议结论、下游引用确认结论与确认方、异议记录、业务域归口意见、安全管理岗复核意见、信息安全归口会签意见、委员会审定意见、最终结论、处置方式（归档或销毁）、处置时限、关联归档台账或销毁申请编号。 附录 C　归档台账模板与样例行（规范性） | 台账编号 | 数据对象 | 归档范围与时间区间 | 数据量 | 存储位置与介质 | 数据格式 | 解析说明文件 | 检索方式 | 安全级别 | 复活流程与责任岗位 | 归档时间 | 下次评估时点 | |---|---|---|---|---|---|---|---|---|---|---|---| | GD-0005 | 已停产机型全套零部件图纸 | 该机型全部图号，自投产至停产 | 【待填】 | 【待填：归档存储位置】 | 图纸交换格式文件与影像文件 | 图幅与标题栏字段对照说明 | 按图号与机型检索 | L3（全套聚合时按 L5） | 按复活申请，由研发设计归口部门审批 | 【待填】 | 归档后三年 | | GD-0011 | 已退役热处理炉的炉次曲线 | 该炉台全部历史炉次 | 【待填】 | 【待填】 | 时序二进制包 | 测点编码表与采样周期说明 | 按炉台与时间区间检索 | L5（按炉型聚合） | 按复活申请，由生产制造归口部门审批并经安全管理岗复核 | 【待填】 | 归档后三年 | | GD-0018 | 指令微调数据集 V1.0 历史版本 | 该版本全量样本与数据卡 | 【待填】 | 【待填】 | 自描述封装包 | 封装结构与数据字典 | 按数据集标识与版本指纹检索 | L3 | 按复活申请，由数据治理办公室审批 | 【待填】 | 归档后三年 | 附录 D　销毁申请与副本清单模板（规范性） 销毁申请字段包含：申请编号、关联退役审批单号、销毁对象与范围、安全级别、销毁理由、销毁方式、计划执行时间与地点、执行岗位与监督岗位、下游引用确认结论、副本清单（见下）、审批意见栏。 副本清单字段包含：副本序号、副本类型（主库／历史备份／离线介质／测试环境／开发环境／导出件／外部提供件）、存储位置、数据量、责任岗位、是否在销毁范围内、销毁确认、确认人岗位与时间。外部提供件一栏须结合授权记录逐受众核对，不能确认已处置的登记为未确认项。 附录 E　销毁证明模板（规范性） 字段包含：证明编号、关联销毁申请编号、销毁对象与范围、安全级别、销毁方式与技术要点、副本清单逐项销毁确认汇总、执行人岗位与签认、监督人岗位与签认、销毁开始与结束时间、销毁地点、不可恢复性核验结论与核验方式、归档编号。 附录 F　复活申请模板（规范性） 字段包含：申请编号、关联归档台账编号、复活对象与范围、复活事由、使用方式、使用期限、使用人员范围、涉及级别与脱敏要求、是否需要重新定级、审批意见、复活执行记录（执行时间、恢复位置、校验结果）、使用期满后的处置方式与执行确认。 图 A9-8　退役评估、审批签批链与三处记录同步 触发 到期提醒／闲置筛查 业务下线／系统替换 四维度评估（附录 A） 热度 30％　价值 30％　复建 40％ 合规义务为否决项 下游引用确认 仍有引用须先改造 无确认结论不予审批 审批签批链 L3 复核　L4 会签 L5 报委员会审定 归档路径（可检索、可复活） 归档台账＋格式解析说明＋复活流程 三年一次再评估 销毁路径（可证明、不可恢复） 副本清单逐项确认＋监督＋销毁证明 销毁后抽样核验不可恢复性 不可复建或存在保留义务 → 归档 得分低且可低成本复建 → 销毁 处置完成后五个工作日内同步三处记录（由数据治理办公室核对） 一　数据资源目录中该对象的状态改为已归档或已销毁 二　元数据与血缘中的下游引用关系更新，失效引用标注失效时点 三　相关质量规则停用并保留停用记录，避免对不存在对象持续产生不通过结果 图 A9-8　数据来源：招标文件第五章 3.2.6.1.1.2.8 第（4）项数据退役要求（b1318、b1319）；评估维度与权重取本规范附录 A，记录同步取 9.1.1 条。 #### 9.5 与本项目业务的结合点 本规范在本项目上的落点有两处，两处都指向历史数据的保留取向。 第一处是历史图纸与工艺卡片的处置取向。本项目所用的 63 万张历史工艺样本中，相当一部分来自已停产机型。按使用热度判断，这些数据在业务系统中的访问次数很低，常规的资产清理逻辑会把它们列入销毁候选。但这类数据的复建成本是不可复建——原设计人员的判断、当时的工艺条件与试制记录都已无从追溯，而历史图纸与配套工艺卡片恰好构成天然成对的监督样本，是预训练与指令微调数据集中「图纸—工艺」对应关系的主要来源。本规范把复建成本的权重定为四成并把不可复建单列一档，就是为了让这类数据走归档而非销毁路径。 第二处是已对外提供数据集版本的退役。本项目的数据集会进入运营流通环节，版本被替代或因瑕疵撤回时，已交付给受众的副本须按授权记录逐一处置。本规范 8.2.1 条把外部提供件列入副本清单、10.2.1 条要求按授权记录通知全部受众并回收处置结果，是为了让「销毁完成」这一结论站得住。无法联系到的受众登记为未确认项并在资产台账中保留，不作已处置处理——这一笔记录在后续发生未授权扩散时是判断责任的依据。 #### 9.6 评审与修订 本规范由数据治理办公室起草，九个业务域数据归口部门、信息安全归口部门、档案归口部门与我方项目组会签。附录 A 的分档取值与加权下限须在业务评审中确认，这一项直接决定多少数据会被判为可销毁，确认时建议用首批待评估清单做一次试算，按试算结果调整分档。 定期复核每年一次，复核输入为上一年度的评估结论分布、异议情况与复活申请次数。复活申请次数偏高说明归档与销毁的判定偏严，须回看评估维度的取值；复活申请为零且归档量很大，说明归档的检索与复活流程未被知晓，须补充宣导。 修订通知的同步范围包含平台的到期提醒配置、闲置筛查规则、退役与销毁表单配置、归档台账字段以及档案归口部门的衔接约定。评估维度或权重修订时，在途申请按原规则办理，新发起的申请按新规则执行；已归档数据的下次再评估按新规则执行。 ### 十、《外部数据引入管理办法》V1.0 样章 本节回应招标文件数据应用流通规划要求第（2）项外部数据管理与第（5）项输出要求（b1325、b1326、b1330），并落实数据来源合法性与不可商用内容核查要求（b1869）。 #### 10.1 文件标识与适用范围 表 A9-13　《外部数据引入管理办法》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 外部数据引入管理办法 | | 文件编号 | GHY26691-ST-00-0036-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 内部 | | 编制依据 | GB/T 40685—2021《信息技术服务 数据资产 管理要求》；GB/T 36344—2018《信息技术 数据质量评价指标》；GB/T 45654—2025《网络安全技术 生成式人工智能服务安全基本要求》；本项目《数据合规管理制度》《数据安全分级标准》；招标方采购管理制度【待填：现行制度名称与文号】 | | 适用范围 | 适用于本项目从招标方以外来源引入的全部数据，包含采购引入、协议获取、公开获取与供应商随货提供四种取得方式；覆盖引入前的采购与评估、引入中的接入与核验、引入后的使用边界管理、到期与退出处置 | | 不适用情形 | 招标方内部各单位之间的数据共享按《数据开放共享管理规范》执行，不属本办法所称外部数据 | | 生效条件 | 经业务评审与数据治理委员会审议通过，由招标方正式发文后生效 | | 失效条件 | 被新版本替代或被明令废止 | | 归口部门 | 【待填：采购与供应链归口部门】；合规审查由法务与合规归口部门承担，技术核验由我方项目组承担 | | 复核周期 | 每半年一次 | | 配套表单 | 附录 A 至附录 E（见本节 10.4） | #### 10.2 章节结构 1　范围 2　规范性引用文件 3　术语和定义 3.1 外部数据 3.2 引入 3.3 许可范围 3.4 衍生品 3.5 退出 4　外部数据的范围与分类 4.1 四类外部数据 4.2 取得方式与管控强度的对应 4.3 引入必要性的判断 5　引入流程 5.1 四个阶段与阶段交付物 5.2 采购阶段 5.3 接入阶段 5.4 核验阶段 5.5 评估阶段 6　合法性核查 6.1 核查要素 6.2 许可条款的逐项判读 6.3 未约定情形的处理 6.4 核查结论的记录位置 7　使用边界与约束 7.1 六个约束维度 7.2 约束的记录位置 7.3 约束的技术落实 7.4 违反约束的处理 8　台账管理 8.1 台账的字段与维护责任 8.2 字段的写入时点 8.3 台账与数据卡的对应关系 9　到期与退出 9.1 到期提醒 9.2 到期处置的四种方式 9.3 退出的清除范围 9.4 衍生品的处置约定 10　合同条款要求 10.1 必谈条款清单 10.2 条款缺失的处理 附录 A　外部数据台账模板（规范性） 附录 B　合法性核查要素表（规范性） 附录 C　使用边界约束登记表（规范性） 附录 D　合同必谈条款清单（规范性） 附录 E　引入评估报告模板（规范性） #### 10.3 关键条款 4.1.1　本项目可能引入的外部数据分四类：国家与行业标准文本及其附带数据；市场行情与价格指数；公开的地质与煤炭行业统计数据；供应商提供的材料质保书与检测数据。四类数据的来源合法性要求与管控强度不同，按附录 B 分别核查。 4.2.1　取得方式与管控强度的对应为：采购与协议获取的数据按合同条款管控；公开获取的数据按获取时点的许可声明管控，并留存声明原文；供应商随货提供的数据在取得使用确认前仅用于内部质量追溯。三类的共同要求是来源可追溯、许可可查证。 4.3.1　引入必要性的判断在采购阶段完成，判断要点为三项：招标方内部是否已有同类数据；该数据服务于哪一类数据集或哪一个验证场景；不引入时的替代方案与影响。三项缺一不得进入采购环节。 5.1.1　引入按采购、接入、核验、评估四个阶段执行，各阶段的交付物为：采购阶段出具引入必要性说明与合同条款确认；接入阶段出具接入方式说明与首批样本；核验阶段出具合法性核查结论与质量核验结论；评估阶段出具引入评估报告。 5.2.1　采购阶段须把许可范围、许可期限、到期后衍生品处置、再分发条件、署名要求五项写入合同或协议。公开获取的数据无合同可依时，留存获取时点的许可声明原文与获取记录。 5.3.1　接入阶段的要求有三项：外部数据落入独立的接入区，不直接写入贴源层；接入时标注来源标识与批次标识，标识随数据流转至下游；接入前完成格式与编码的归一化，归一化规则登记在接入任务配置中。 5.3.2　外部数据的接入区与本项目加工区之间设放行检查。放行条件为三项：合法性核验结论为通过；质量核验结论为通过；台账中的核验阶段字段已完整写入。三项缺一不予放行，未放行的批次保留在接入区并登记原因。 5.4.1　核验阶段分合法性核验与质量核验两部分。合法性核验按第 6 章执行，由法务与合规归口部门出具结论。质量核验按完整性、准确性、一致性、及时性、有效性与唯一性六个维度抽样检查，抽样方案与判定门限引用《数据质量校验规则库》对应规则，结论为不通过的批次不进入加工环节。 5.4.2　质量核验的抽样方案按批次数据量确定，抽样与判定依据 GB/T 2828.1—2012 的计数抽样检验程序。核验结论为不通过的批次按两种方式处理：供方可更正的，退回更正后重新核验；不可更正的，该批次不予接收并在台账中记录，作为续约评估的依据。 5.5.1　评估阶段出具引入评估报告（附录 E），报告内容包含实际获得的数据内容与合同约定的差异、质量核验结论、可用性判断、后续批次的接收建议与价格合理性意见。评估报告是续约与否的依据。 6.1.1　合法性核查的要素为八项：权属主体、取得方式、许可范围（内部使用、衍生加工、模型训练、商业使用、对外提供逐项）、许可期限、再分发条件、署名要求、内容安全、是否含个人信息。核查结论逐项记录，不作整体性的「合法」结论。 6.1.2　核查结论的有效期与许可期限一致。许可期限内供方变更许可条款的，重新核查并更新台账；供方主体发生变更（合并、注销、权属转移）的，重新确认许可的承继关系，确认前暂停新增批次接入。 6.2.1　许可条款的判读遵循一条规则：条款未明确授予的权利视为未授予。本项目的产出是用于大模型训练并进入流通的数据集，许可范围是否覆盖「用于模型训练」与「衍生品商业使用」两项须单独判读，不以「允许使用」笼统带过。 6.3.1　许可条款未约定衍生品能否用于模型训练或对外提供时，按《数据合规管理制度》的疑则从严原则处理：列为待澄清项，由采购或业务归口部门向供方书面确认；确认未取得前该数据不进入训练数据集，可用于内部分析与口径参考。 6.4.1　核查结论记录在外部数据台账中，并在使用该数据的数据集的数据卡中声明所含外部数据的来源与许可范围。两处记录不一致时以台账为准。外部数据一旦混入数据集而其许可范围不覆盖训练与商业使用，整份数据集的合法性都会受牵连，因此本条不设简化通道。 7.1.1　使用边界按六个维度约束：存储、加工、共享、署名与引用、期限、退出。各维度的约束内容与记录位置见附录 C。 7.2.1　外部数据在数据集中的占比按版本记录，记录粒度到数据集子集。占比的用途有两项：发布前核对该占比下的流通方式是否在许可范围内；发生许可争议时判断影响范围。占比超过约定比例的子集，其对外流通须单独审查。 7.3.1　约束的技术落实方式为三项：接入区与加工区之间设置放行检查，未通过合法性核验的批次不予放行；不允许进入训练数据集的外部数据在元数据中标注禁用标记，加工任务读取时校验该标记；按来源标识统计外部数据在各数据集中的占比，占比随版本记录。 7.4.1　违反使用边界的情形按《数据安全管理办法》的安全事件流程处理，同时评估对已发布数据集的影响，必要时按《数据合规管理制度》的瑕疵处置条款执行。 8.1.1　外部数据台账由采购与供应链归口部门维护主数据部分，我方项目组维护接入与核验部分，数据治理办公室维护关联数据集与占比部分。三方各自对其字段的准确性负责，台账的整体完整性由数据治理办公室按月核对。核对发现字段缺失的，按 8.2.1 条的写入时点判断责任方。 8.2.1　台账字段的写入时点分四处：采购阶段写入来源与合同约定字段；接入阶段写入接入方式与批次字段；核验阶段写入核查结论与质量结论字段；使用阶段写入关联数据集与占比字段。字段写入时点固定，便于判断某一字段缺失是流程未走到还是执行遗漏。 8.3.1　台账与数据卡的对应关系为一对多：一条台账记录可被多个数据集版本引用，每个引用在数据卡中声明。台账记录变更时，按引用关系通知相关数据集的责任方，必要时更新数据卡；数据卡已发布的，以修订记录方式补充说明。 9.1.1　许可到期提醒由平台按台账的许可期限字段生成，提醒时点为到期前三个月。提醒对象为采购归口部门与数据治理办公室。 9.2.1　到期处置取四种方式之一：续约；停止接收新批次但按约定继续使用已获数据；停止使用并下架相关数据集版本；按约定清除。采用哪一种取决于合同中到期后衍生品处置条款的约定。 9.3.1　退出时的清除范围按合同约定执行，包含原始件、接入区副本、备份、衍生中间结果与已交付的衍生品。清除执行按《数据退役管理规范》的销毁要求办理，出具清除确认并提供给供方。衍生品无法清除的（已对外流通的数据集版本），按约定方式处置并书面说明。 9.4.1　衍生品的处置约定须在引入时谈定。未事先约定时，到期将面对两难——继续使用可能越权，停止使用则已交付的数据集要召回。因此本办法把「许可到期后衍生品的处置方式」列为合同必谈条款（附录 D），并要求约定结果同时写入台账与数据卡。 10.1.1　必谈条款的确认情况在采购阶段形成条款确认表，逐项标注已约定、未约定或供方拒绝。条款确认表作为引入审批的附件，未附条款确认表的引入申请不予审批。 10.2.1　供方不接受必谈条款中任一项的，由采购归口部门与法务会商后决定是否引入；决定引入的，在台账中标注该项未约定并记录对应的使用限制，该数据的使用范围按未授予处理。 图 A9-9　外部数据四阶段引入流程与台账字段的写入时点 一　采购 必要性说明＋条款确认 二　接入 独立接入区＋来源标识 三　核验 合法性＋质量六维抽样 四　评估 引入评估报告＋续约建议 外部数据台账（附录 A）——字段按阶段写入，缺字段即可判断流程停在何处 来源与合同约定　｜　接入方式与批次　｜　核查结论与质量结论　｜　关联数据集与占比 放行检查（接入区至加工区） 未过合法性核验不予放行 禁用标记由加工任务校验 数据卡声明 所含外部数据来源与许可范围 与台账不一致时以台账为准 到期与退出 到期前三个月提醒 四种处置按合同条款择一 许可条款未明确授予的权利视为未授予；未约定事项列为待澄清项，确认前不进入训练数据集。 数据来源：招标文件第五章 3.2.6.1.1.2.9 第（2）项（b1325、b1326）与项目安全合规建设要求（b1869）。 图 A9-9　外部数据四阶段引入流程与台账字段的写入时点。数据来源：招标文件第五章 3.2.6.1.1.2.9 第（2）项外部数据管理要求（b1325、b1326）与项目安全合规建设要求（b1869）。 #### 10.4 附录内容 附录 A　外部数据台账模板与样例行（规范性） | 字段 | 写入阶段 | 必填 | 填写要求 | |---|---|---|---| | 台账编号 | 采购 | 是 | WB 加四位顺序号 | | 数据名称 | 采购 | 是 | 按供方提供的正式名称 | | 数据类别 | 采购 | 是 | 四类之一 | | 权属主体 | 采购 | 是 | 供方或原始权属方 | | 取得方式 | 采购 | 是 | 采购／协议／公开获取／随货提供 | | 合同或协议编号 | 采购 | 条件必填 | 公开获取时填获取记录编号 | | 许可范围 | 采购 | 是 | 五项权利逐项标注允许／不允许／未约定 | | 许可期限 | 采购 | 是 | 起止日期 | | 再分发条件 | 采购 | 是 | 允许／需供方同意／不允许／未约定 | | 署名要求 | 采购 | 是 | 要求及引用格式 | | 到期衍生品处置 | 采购 | 是 | 合同约定的处置方式 | | 接入方式 | 接入 | 是 | 接口／文件／介质 | | 接入区位置与批次标识 | 接入 | 是 | 批次标识随数据流转 | | 归一化规则 | 接入 | 是 | 引用接入任务配置 | | 合法性核查结论 | 核验 | 是 | 八要素逐项结论 | | 可商用性结论 | 核验 | 是 | 可商用／不可商用／存疑 | | 禁用标记 | 核验 | 是 | 是否禁止进入训练数据集 | | 质量核验结论 | 核验 | 是 | 六维度结论与抽样方案编号 | | 安全级别 | 核验 | 是 | 引用分级标准 | | 关联数据集与版本 | 使用 | 是 | 使用该数据的数据集清单 | | 在数据集中的占比 | 使用 | 是 | 按版本记录 | | 到期提醒状态 | 使用 | 是 | 未到期／已提醒／已处置 | | 处置结论与时间 | 退出 | 条件必填 | 到期或退出时填写 | 样例行（示意填写粒度）：WB-0004｜煤炭行业产能与产量统计年度数据｜公开的地质与煤炭行业统计数据｜【待填：发布机构】｜公开获取｜获取记录 QD-0021｜内部使用允许、衍生加工允许、模型训练未约定、商业使用未约定、对外提供不允许｜【待填：起止日期】｜不允许｜要求署名并注明发布机构与年份｜到期后衍生品处置未约定｜文件｜接入区 EXT-02，批次 20270315｜字段名与计量单位归一化规则 GN-0007｜权属明确、取得方式合规、内容安全通过、不含个人信息｜存疑｜是（禁止进入训练数据集）｜六维度抽样通过，抽样方案 CY-0012｜L1｜暂无｜—｜已提醒｜待供方书面确认模型训练许可 附录 B　合法性核查要素表（规范性） | 外部数据类别 | 核查重点 | 常见风险 | 本项目的处理取向 | |---|---|---|---| | 标准文本及其附带数据 | 著作权状态；正文全文与事实性内容的区分 | 整段原文纳入语料超出许可范围 | 以术语、字段定义、取值域等事实性内容为引用对象，不整段纳入语料，并在数据卡声明引用方式 | | 市场行情与价格指数 | 再分发条件；衍生品使用约定 | 数据服务协议禁止二次分发 | 用于内部分析与库存控制场景的口径参考，衍生指标是否可随数据集流通须按条款逐项确认 | | 地质与煤炭行业统计数据 | 发布方的使用声明；署名要求 | 署名缺失构成违约 | 在数据卡与成果文档中按要求署名，署名格式登记在台账 | | 供应商材料质保书与检测数据 | 供方是否授权用于模型训练；是否含供方商业秘密 | 未经授权将供方检测数据纳入可流通数据集 | 引入时签署数据使用确认，未取得确认的仅用于内部质量追溯 | 附录 C　使用边界约束登记表（规范性） | 约束维度 | 约束内容 | 记录位置 | |---|---|---| | 存储 | 存储位置与期限；是否允许留存原始件；备份范围 | 外部数据台账 | | 加工 | 是否允许衍生加工；衍生品权属；是否允许进入训练数据集 | 台账与数据卡 | | 共享 | 可共享的对象范围；是否允许对外提供；二次提供是否需供方同意 | 台账与开放授权记录 | | 署名与引用 | 是否要求署名；引用格式 | 数据卡与成果文档 | | 期限 | 许可有效期；到期处置方式 | 台账，到期前触发提醒 | | 退出 | 终止引入时的清除范围，含衍生品处置约定 | 台账与退役处置单 | 附录 D　合同必谈条款清单（规范性） 必谈条款为八项：数据内容与交付形态的明确描述；许可范围逐项列明（含是否允许用于模型训练与商业使用）；许可期限与续约方式；到期后衍生品的处置方式；再分发与二次提供的条件；署名与引用要求；数据质量的约定与不达标的处理；供方对数据来源合法性的承诺与违约责任。八项中第四项与第八项最易被忽略，而这两项在发生争议时决定我方的处置空间。 附录 E　引入评估报告模板（规范性） 报告章节为六节：引入背景与必要性回顾；实际获得的数据内容与合同约定的比对；质量核验结论（六维度实测结果与抽样方案）；合法性核查结论与待澄清项；可用性判断（服务于哪些数据集与验证场景、实际贡献）；续约建议与价格合理性意见。 #### 10.5 与本项目业务的结合点 本办法在本项目上的落点集中在标准文本的处理方式上，这是本项目外部数据中占比最大且风险最隐蔽的一类。 本项目的数据集建设需要大量引用矿山装备制造相关的国家标准与行业标准：图纸解析依据技术制图与机械制图系列标准，焊接相关样本依据焊接术语、焊缝符号表示法与无损检测系列标准，材料性能数据依据拉伸试验与硬度试验方法标准，链条类样本依据矿用高强度圆环链标准。这些标准的术语、字段定义、取值域与判定等级是标注标签体系与字段校验规则的来源，必须引用；但标准正文受著作权保护，整段原文写入预训练语料的许可依据并不充分。本办法附录 B 给出的处理取向是以事实性内容为引用对象、不整段纳入语料，并在数据卡中声明引用方式。这一取向对数据集的影响须说明清楚：预训练子集中与标准相关的语料量会低于「全文纳入」的方案，相应的补偿办法是以标准为依据生成规则性样本与问答样本，样本的事实依据可追溯至标准条款编号，这部分工作属数据加工环节，其方法在技术方案相应章节论述。 供应商材料质保书与检测数据是第二处需要特别处理的类别。刮板输送机关键零部件的材质牌号、力学性能与热处理状态数据，相当一部分来自供应商随货提供的质保书与第三方检测报告。这类数据在质量域数据集中价值很高，但其权属属于供应商与检测机构。本办法要求引入时签署数据使用确认，未取得确认的仅用于内部质量追溯而不进入可流通数据集——这一区分在引入阶段做比在数据集发布前做代价低得多。 #### 10.6 评审与修订 本办法由采购与供应链归口部门起草，法务与合规归口部门、信息安全归口部门、研发设计与质量管理业务域归口部门、我方项目组会签。附录 D 的必谈条款清单须经法务确认，这一项将直接写入后续采购合同的条款模板。 定期复核每半年一次，复核输入为台账中的待澄清项数量、到期处置情况与质量核验不通过的批次比例。待澄清项长期挂账说明供方确认推进不力，须在复核时明确推进责任与时限。 修订通知的同步范围包含采购合同条款模板、平台的接入区放行检查规则、禁用标记校验逻辑、数据卡的外部数据声明分区与到期提醒配置。核查要素增减时，已引入数据按新要素补充核查，补充核查在三个月内完成；未完成补充核查的外部数据暂停新增批次接入，已进入数据集的部分不追溯撤回，但在下一版本发布前完成核查结论的更新。 ### 十一、《数据开放共享管理规范》V1.0 样章 本节回应招标文件数据应用流通规划要求第（3）项数据开放、第（4）项数据服务与第（5）项输出要求（b1327、b1328、b1329、b1330）。按技术方案数据治理段的安排，数据服务标准与服务目录作为本规范的附件交付，相关内容见本节附录 E。 #### 11.1 文件标识与适用范围 表 A9-14　《数据开放共享管理规范》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 数据开放共享管理规范 | | 文件编号 | GHY26691-ST-00-0037-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 内部 | | 编制依据 | GB/T 40685—2021《信息技术服务 数据资产 管理要求》；GB/T 36345—2018《信息技术 通用数据导入接口》；GB/T 41479—2022《信息安全技术 网络数据处理安全要求》；本项目《数据安全分级标准》《数据权限管理规范》《数据合规管理制度》 | | 适用范围 | 适用于三层开放对象的数据申请、审批、授权、使用监测与回收：招标方内部跨部门共享；面向招标方关联单位的共享；面向外部使用方的数据集流通。适用对象包含数据对象、数据服务与数据集版本三类 | | 不适用情形 | 本项目内部加工环节之间的数据流转按《数据设计开发规范》执行，不属本规范所称开放共享；数据集挂牌展示与交易的业务形态在技术方案数据集运营平台一节论述，本规范规定其管理流程 | | 生效条件 | 经业务评审与数据治理委员会审议通过，由招标方正式发文后生效 | | 失效条件 | 被新版本替代或被明令废止 | | 归口部门 | 数据治理办公室；对外流通事项由【待填：数据资产运营归口部门】承担 | | 复核周期 | 每半年一次 | | 配套表单 | 附录 A 至附录 F（见本节 11.4） | #### 11.2 章节结构 1　范围 2　规范性引用文件 3　术语和定义 3.1 开放共享 3.2 授权凭据 3.3 受众 3.4 二次提供 3.5 回收 4　开放对象与分层 4.1 三层开放对象 4.2 分层与管控强度的对应 4.3 可开放范围的界定 5　开放目录 5.1 目录的内容与来源 5.2 目录的登记与下架 5.3 目录与数据资源目录的关系 6　申请 6.1 申请要素 6.2 申请渠道与受理 6.3 不予受理的情形 7　审批 7.1 审批层级 7.2 审批要素 7.3 审批时限 7.4 对外流通的附加审批 8　授权 8.1 授权凭据的三项绑定要素 8.2 脱敏策略的绑定 8.3 水印策略的绑定 8.4 凭据的签发与交付 8.5 二次提供的约定 9　使用监测 9.1 监测项 9.2 异常判定 9.3 计量数据的三个用途 10　回收 10.1 五种触发情形 10.2 回收的执行 10.3 已导出数据的处置 10.4 回收记录与复核 11　争议与违约 11.1 争议处理 11.2 违约情形与处理 附录 A　开放目录登记表（规范性） 附录 B　数据开放申请单模板（规范性） 附录 C　授权凭据字段表（规范性） 附录 D　回收记录模板（规范性） 附录 E　数据服务标准与服务目录（规范性附件） 附录 F　使用监测报表模板（规范性） #### 11.3 关键条款 4.1.1　开放对象分三层，管控强度依次提高：第一层为招标方内部跨部门共享；第二层为面向招标方关联单位的共享；第三层为面向外部使用方的数据集流通。 4.2.1　三层的管控差异体现在四处：审批层级；可开放的最高数据级别；是否允许二次提供；是否要求签署使用协议。第三层须签署使用协议并明确二次提供的条件，第一层与第二层按授权凭据的范围限定执行。 4.3.1　可开放范围按两条规则界定：数据级别在该层允许的上限之内；该数据所含外部数据的许可范围覆盖本次开放方式。两条规则同时满足方可登记入开放目录。 5.1.1　开放目录登记可申请的数据对象、数据服务与数据集版本，登记内容见附录 A。目录与数据资源目录互相引用：使用方可从数据对象找到可用服务，也可从服务找到其数据来源。 5.1.2　开放目录的内容来源为三处：数据资源目录中标注为可开放的条目；服务目录中已登记的数据服务；数据集资产台账中已发布且允许流通的版本。三处的条目进入开放目录前按 4.3.1 条核对可开放范围，核对结论记录在目录条目中。 5.2.1　目录条目的下架情形为四种：数据对象退役；数据集版本被替代或撤回；级别调整后超出该层开放上限；所含外部数据许可到期。下架时在目录中保留历史记录并标注下架原因，不直接删除条目。 5.3.1　目录与数据资源目录的关系是互相引用而非内容复制：开放目录登记可开放性与开放条件，数据内容的字段说明、血缘与质量状态引用数据资源目录与质检结论。两处内容不一致时以数据资源目录为准，并更正开放目录的引用。 6.1.1　申请要素为十项，缺项不予受理：申请主体与联系通道、申请层级、申请对象、字段或子集范围、使用用途、使用方式、使用期限、使用人员或系统范围、是否需要导出、是否需要二次提供。使用用途须写明具体业务动作与产出，「研究使用」一类表述不予受理。 6.2.1　申请渠道统一走平台提交，不受理线下口头申请。受理时限为两个工作日，受理内容为要素齐备性与申请对象是否在目录内，不在受理环节判断必要性。第三层申请的受理另需确认申请主体的资格材料。 6.3.1　下列情形不予受理：申请对象不在开放目录内；申请层级与主体不符；用途涉及不在许可范围内的使用方式；申请主体在违约记录中且未完成整改。 7.1.1　审批层级按申请层级与涉及的最高数据级别共同确定：第一层按《数据权限管理规范》的审批层级执行；第二层在前项基础上经数据治理办公室复核；第三层在前项基础上报数据资产运营归口部门审批，涉及 L4 级数据的报数据治理委员会审定，L5 级数据原则上不对外流通。 7.2.1　审批要素为七项：申请要素的齐备性与真实性；申请对象的可开放层级与本次层级是否相符；用途是否在数据的可用用途范围内；拟授权范围是否为用途所必需；脱敏与水印策略是否已确定；使用期限是否与用途相称；是否存在在途的同受众授权可以合并。第四项与第七项是审批的实质内容，前者防范范围过宽，后者避免同一受众持有多张范围重叠的凭据。 7.3.1　审批时限按层级设定：第一层三个工作日；第二层五个工作日；第三层十个工作日，涉及委员会审定的按会议周期顺延并告知申请方预计时点。超期未办理的在数据治理办公室月度例会上通报。 7.4.1　对外流通的附加审批要素为四项：使用协议条款的确认；数据卡中可用用途与禁止用途的声明与本次用途的一致性；外部数据许可范围对本次流通方式的覆盖情况；合规审查结论。四项齐备方可授权。 8.1.1　授权凭据须与三项要素一并绑定，缺一则后续无法管控：数据范围（对象与子集）、字段范围、时间范围。不签发无范围限定的凭据。 8.2.1　脱敏策略按受众与级别绑定在凭据上。同一数据对象对不同受众返回不同的脱敏结果，脱敏规则编号记录在凭据中，便于事后判断受众实际看到了什么。 8.3.1　水印策略按级别绑定。L3 及以上级别的导出件带水印，水印可反查到授权凭据。数据集类交付的隐式水印按批次嵌入，批次标识与凭据编号对应。 8.4.1　凭据的交付方式按受众类型确定：系统类受众以接口凭据形式交付；人员类受众以账号授权形式交付；数据集交付以下载授权与封装包形式交付。三种方式均记录交付时点与接收确认。 8.4.2　凭据交付时同步提供三项说明：数据的质量状态声明、脱敏处理对数据可用性的影响说明、禁止用途清单。第二项说明是本项目的特有要求——脱敏会损失信息，受众须知道拿到的数据在哪些分析上不适用，否则会得出错误结论并归因于数据质量。 8.5.1　二次提供须在授权时明确。允许二次提供的，须约定二次受众的范围、二次提供的记录义务与我方的知悉方式；未约定即视为不允许。涉及外部数据的，二次提供还须符合该外部数据的再分发条件。 9.1.1　使用监测的监测项为五项：调用或下载次数与时点；访问的数据范围与返回量；访问的来源地址与通道；超范围访问的尝试；凭据的使用频次与分布。监测记录与访问日志合并保存。 9.2.1　异常判定按三类：范围异常，实际访问范围超出凭据授权范围；频次异常，使用频次显著偏离申请时声明的使用方式；时点异常，在非约定时段或凭据失效后发起访问。命中任一类生成告警并进入回收评估。 9.2.2　异常判定命中后的处置分三步：生成告警并通知受众对接人；核实是配置问题、使用方理解偏差还是实质越权；按核实结论决定是提示纠正、收紧凭据范围还是进入回收。核实结论与处置记录与凭据编号关联。 9.3.1　计量数据有三个用途：按受众统计使用情况，作为数据资产价值评估的输入；识别异常调用，作为安全审计的输入；度量服务实际负载，作为容量规划的输入。三个用途共用同一套计量记录，不另行采集。 10.1.1　回收的触发情形为五种：授权到期；申请用途变更或终止；监测发现越权访问；发生违规事件；申请人岗位变动或主体资格变化。 10.2.1　回收执行后凭据立即失效。接口类凭据作废并拒绝后续调用；账号类授权撤回并记录；下载类授权关闭并在目录中标注该受众的授权已回收。回收执行时点与失效确认一并记录。 10.2.2　回收执行后向受众发送回收通知，通知内容包含回收原因、失效时点、已交付数据的处置要求与处置回执时限。回执逾期未收到的，列为未确认项并按季度跟踪，跟踪三次仍无回执的记入受众的违约记录。 10.3.1　已导出或已下载的数据按约定方式处置。处置方式在授权时即约定，内容为删除并出具删除确认、继续使用至约定时点后删除、或按协议保留但不得二次提供三种之一。处置结果回收登记，无法确认的登记为未确认项并在资产台账中保留。 10.4.1　回收记录与原申请单关联，便于复核同一受众的历史授权情况。每半年复核一次回收记录，复核内容为未确认项的跟踪情况与同一受众的重复授权情形。 11.1.1　争议处理的路径为三级：对接人协商；数据治理办公室协调；按使用协议约定的争议解决方式处理。争议期间，涉及数据安全风险的凭据先行暂停，暂停不构成对争议结论的预判，这一点在使用协议中写明。 11.2.1　违约情形列举四类：超出授权范围访问或使用；未经约定二次提供；未按约定处置已交付数据；伪造或转借授权凭据。违约情形按使用协议约定处理，并记录在受众的违约记录中；记录在案且未完成整改的主体，后续申请不予受理。 图 A9-10　授权凭据、脱敏与水印策略、回收记录的绑定关系 开放申请（附录 B） 十项要素齐备方受理 对象须在开放目录内 分层审批 层级＋级别共同定审批线 对外流通加四项附加审批 授权凭据（附录 C）——三项绑定要素缺一不签发 数据范围　｜　字段范围　｜　时间范围 附加绑定：脱敏规则编号（按受众与级别）　｜　水印策略（L3 起） 凭据交付与接收确认 接口／账号／下载三种方式 使用监测 范围／频次／时点三类异常 计量记录 同一套记录，三个用途 计量数据的三个用途（不另行采集） 资产价值评估输入　｜　安全审计输入　｜　容量规划输入 按受众、按对象、按时段三个维度汇总 回收（五种触发：到期／用途变更／越权／违规／主体变化） 凭据立即失效　→　已导出数据按约定处置　→　处置结果回收登记 无法确认的登记为未确认项，在资产台账中保留 回收记录与原申请单关联，每半年复核未确认项与同一受众的重复授权；水印可由导出件反查至凭据编号。 图 A9-10　数据来源：招标文件第五章 3.2.6.1.1.2.9 第（3）项数据开放要求（b1327、b1328）与第（4）项数据服务要求（b1329）；三项绑定要素取本规范 8.1.1 条，回收触发取 10.1.1 条。 #### 11.4 附录内容 附录 A　开放目录登记表（规范性） | 字段 | 必填 | 填写要求 | |---|---|---| | 目录条目编号 | 是 | KF 加四位顺序号 | | 条目类型 | 是 | 数据对象／数据服务／数据集版本 | | 名称 | 是 | 引用数据资源目录或数据集台账名称 | | 内容说明 | 是 | 包含的数据范围与字段概要 | | 所属业务域 | 是 | 9 个业务域 | | 安全级别 | 是 | 引用分级标签 | | 可开放层级 | 是 | 第一层／第二层／第三层，可多选 | | 脱敏策略 | 是 | 按层级分别写明脱敏规则编号 | | 是否允许导出 | 是 | 按层级分别标注 | | 是否允许二次提供 | 是 | 按层级分别标注 | | 所含外部数据与许可范围 | 条件必填 | 含外部数据时必填 | | 质量状态声明 | 是 | 引用最近一次质检或评测结论 | | 服务标识 | 条件必填 | 条目类型为数据服务时必填 | | 数据来源说明 | 是 | 指向数据资源目录条目 | | 责任部门与联系通道 | 是 | 引用组织目录 | | 上架时间与版本 | 是 | — | | 下架时间与原因 | 条件必填 | 下架时填写，条目保留 | 附录 B　数据开放申请单模板（规范性） 字段包含：申请单号、申请主体与联系通道、申请层级、目录条目编号、申请对象与子集范围、字段范围、使用用途（具体业务动作与产出）、使用方式（在线查询／批量取数／数据集训练／场景验证）、使用期限、使用人员或系统范围、是否需要导出、是否需要二次提供及二次受众范围、涉及的最高数据级别、所含外部数据的许可确认、审批意见栏（分层级）、使用协议签署情况、授权凭据编号、已导出数据的约定处置方式。 附录 C　授权凭据字段表（规范性） | 字段 | 含义 | 必填 | 取值要求 | |---|---|---|---| | 凭据编号 | 凭据唯一标识 | 是 | PJ 加年份加四位顺序号 | | 关联申请单号 | 对应申请 | 是 | — | | 受众标识 | 受众主体 | 是 | 内部部门、关联单位或外部使用方 | | 受众类型 | 受众形态 | 是 | 人员／系统／机构 | | 开放层级 | 本次开放所属层级 | 是 | 第一层／第二层／第三层 | | 数据范围 | 授权的对象与子集 | 是 | 不接受空值或「全部」 | | 字段范围 | 授权的字段清单 | 是 | 逐字段列出 | | 时间范围 | 数据的时间区间与凭据有效期 | 是 | 两项分别填写 | | 安全级别 | 涉及的最高级别 | 是 | 引用分级标签 | | 脱敏规则编号 | 绑定的脱敏规则 | 条件必填 | L3 及以上必填 | | 水印策略 | 绑定的水印方式 | 条件必填 | L3 及以上必填 | | 允许的操作 | 查询／导出／下载／调用 | 是 | 逐项标注 | | 频次与配额上限 | 使用上限 | 条件必填 | 系统类受众必填 | | 是否允许二次提供 | 二次提供约定 | 是 | 未约定即为不允许 | | 交付方式与交付时间 | 凭据交付记录 | 是 | 含接收确认 | | 失效条件 | 到期与提前失效情形 | 是 | 引用回收触发情形 | | 状态 | 凭据状态 | 是 | 生效／已回收／已到期／已作废 | 附录 D　回收记录模板（规范性） 字段包含：回收记录编号、关联凭据编号与申请单号、受众标识、回收触发情形、回收决定部门与时间、凭据失效执行时间与确认方式、已导出数据的处置方式与处置确认、未确认项说明、受众通知时间与通知方式、是否进入违约记录、复核结论与复核时点。 附录 E　数据服务标准与服务目录（规范性附件） 本附件按技术方案数据治理段的安排，作为本规范的附件交付，内容为三部分。 第一部分，服务形态与适用场合。 | 形态 | 适用场合 | 技术要点 | 适用级别 | |---|---|---|---| | 接口服务 | 应用系统在线查询，单次返回量小 | 契约化、鉴权、限流、幂等、元信息随返 | L1 至 L4，L4 返脱敏结果 | | 文件服务 | 批量取数、数据集交付 | 批次标识、校验值、清单文件、水印 | L1 至 L5，L4 与 L5 逐事项审批 | | 视图服务 | 分析与报表直连 | 只读、行列级权限、动态脱敏 | L1 至 L3 | | 订阅服务 | 变更驱动的下游同步 | 变更事件格式、顺序保证、重放能力 | L1 至 L3 | 第二部分，服务目录的登记要素。每一项数据服务登记：服务标识与名称；提供的数据对象与字段；调用方式与契约文档编号；更新频率与延迟；质量状态声明；安全级别与脱敏策略；服务等级协议级别；责任部门与联系通道；版本与变更记录。 第三部分，服务等级协议的分级原则。按三级设定：一级服务供数据集加工与关键场景使用，可用性与时延要求最高，故障按一级响应；二级服务供常规业务查询使用；三级服务供分析探索使用，允许在资源紧张时降级。各级的具体指标值与系统非功能指标相关，在技术方案非功能性一节给出，本附件规定分级原则与登记要求。 附录 F　使用监测报表模板（规范性） 报表内容为四部分：按受众的使用量排名与趋势；按数据对象与数据集版本的被申请次数与实际使用量；异常事件清单（三类异常的发生与处置）；凭据状态统计（生效、到期、已回收数量与到期临期提醒情况）。报表按月出具，季度汇总时增加一节「授权与实际使用的偏差分析」，用于发现申请范围远大于实际使用范围的情形——这类情形说明申请环节的范围界定过宽，应在后续审批中收紧。 #### 11.5 与本项目业务的结合点 本规范在本项目上的落点集中在第三层，即数据集对外流通。 本项目交付的四类数据集是可流通的数据资产，数据集运营服务管理平台含数据集权限管理、数据集下载、登记注册、确权、挂牌展示与全流程审计等功能模块（b0804r04）。这些功能的管理依据就是本规范：平台实现的是授权凭据的签发与校验、脱敏与水印的执行、使用计量与审计留痕，而凭据绑定哪三项要素、脱敏按什么规则、回收在什么情形下触发，由本规范规定。两者的边界在本规范适用范围中写明，避免验收时把管理规范与平台功能混为一事。 隐式水印与回收的配合是第三层管控的关键。一份数据集被授权给多个使用方后，若出现未授权扩散，判断来源的依据是隐式水印与凭据编号的对应关系。本规范 8.3.1 条要求水印批次标识与凭据编号对应，10.3.1 条要求已下载数据的处置结果回收登记、无法确认的登记为未确认项——未确认项的存在本身是风险信息，在后续发生扩散时是判断责任范围的起点。 第一层的内部跨部门共享则有另一个落点。招标方当前的跨部门数据获取多以人工导出与传递方式进行，口径与范围不留记录。本规范把第一层也纳入授权凭据管理，目的不是增加审批环节，而是让跨部门的数据流动留下范围与用途的记录。配套安排是把常用的跨部门数据需求固化为视图服务或接口服务登记入开放目录，使使用方按目录申请而不是逐次找人导出；目录化之后，审批可按凭据模板快速办理，审批时限不会成为业务阻碍。 #### 11.6 评审与修订 本规范由数据治理办公室起草，数据资产运营归口部门、法务与合规归口部门、信息安全归口部门、九个业务域数据归口部门与我方项目组会签。附录 E 的服务形态适用级别须与《数据权限管理规范》附录 B 的分级管控矩阵对齐，两处的接口与文件服务取值在评审中逐格核对。 定期复核每半年一次，复核输入为使用监测报表的季度偏差分析、回收记录中的未确认项与违约记录。偏差分析显示申请范围显著大于实际使用范围的，复核时调整审批中对范围界定的要求。 修订通知的同步范围包含平台的授权凭据配置、脱敏与水印策略映射、开放目录字段、使用协议模板与监测报表口径。凭据字段增减时，在途凭据按原字段继续有效至到期，新签发凭据按新字段执行；涉及管控强度提高的修订，在途凭据在三个月内重新核定，核定期间维持原授权范围但不受理同受众的范围扩大申请。 ### 十二、交付节点、验收口径与与技术方案各段的对照 本节给出十份文档的交付节点与验收口径，并列出本附件与技术方案各段的口径对照关系，便于评标时逐项核对，也便于实施期按节点交付。 #### 12.1 交付节点 交付节点按技术方案数据治理段确定的三阶段安排。制度与标准的基础件须在数据汇聚与首批数据集加工开始前发布，否则加工过程无规范可依；运营类规范与办法在首批数据服务与对外流通启动前发布。 表 A9-15　十份文档的交付节点与前置条件 | 清单序号 | 文件名称 | 交付阶段 | 前置条件 | 单元 id | |---|---|---|---|---| | 28 | 数据合规管理制度 | 规划期第一阶段 | 现状评估的制度差距清单完成 | b1333r29 | | 29 | 数据安全管理办法 | 规划期第一阶段 | 治理组织架构已发文设立 | b1333r30 | | 30 | 数据安全分级标准 | 规划期第一阶段 | 9 个业务域的数据主题划分完成 | b1333r31 | | 31 | 数据权限管理规范 | 规划期第一阶段 | 分级标准定稿；岗位与角色对应关系确认 | b1333r32 | | 32 | 数据需求管理规范 | 规划期第一阶段 | 数据资源目录首版可检索 | b1333r33 | | 33 | 数据设计开发规范 | 规划期第一阶段 | 数据模型分层架构与数据元标准首批定稿 | b1333r34 | | 34 | 数据运维管理制度 | 规划期第二阶段 | 首批任务与接口上线，监控指标可采集 | b1333r35 | | 35 | 数据退役管理规范 | 规划期第二阶段 | 数据资产台账运行；留存期限字段已登记 | b1333r36 | | 36 | 外部数据引入管理办法 | 规划期第二阶段 | 首批外部数据引入需求明确 | b1333r37 | | 37 | 数据开放共享管理规范 | 规划期第二阶段 | 数据集运营服务管理平台授权与审计功能可用 | b1333r38 | 第一阶段六份文档中，《数据安全分级标准》与《数据权限管理规范》的发布顺序不可调换，也不宜同期分别评审——分级标准定义级别，权限规范按级别取值，分开评审会出现两边各自修改而失去对应关系的情形。本附件的安排是两份文档与《数据安全管理办法》三份一并提交评审，评审意见统一处理。 #### 12.2 验收口径 表 A9-16　十份文档的验收口径 | 文件名称 | 验收口径 | |---|---| | 数据合规管理制度 | 经招标方评审通过并发布；合规义务清单覆盖四层依据且逐条有责任部门与证据形式；与现行保密制度无冲突条款；数据源登记表与数据卡的合规字段已按本制度设为必填 | | 数据安全管理办法 | 经招标方评审通过并发布；日志要素按附表 3-1 在平台落地；审计分析规则已配置并产生告警记录；安全事件分级与响应时限已落入值班安排 | | 数据安全分级标准 | 经招标方评审通过并发布；纳管数据元的分级标签登记完整；L4 与 L5 定级有审批记录；附录 A 实例清单经九个业务域逐行确认；标记落地四处的一致性校验可运行 | | 数据权限管理规范 | 经招标方评审通过并发布；分级管控矩阵已转为平台策略且逐格对应；季度复核有记录；权限台账、审批单与访问日志三者可关联 | | 数据需求管理规范 | 经招标方评审通过并发布；需求池运行并有完整流程记录；月度运行指标可出具；采集扩展与接口协调两张清单在按月推进 | | 数据设计开发规范 | 经招标方评审通过并发布；新上线任务按五个检查点评审且例外有记录；血缘登记达字段级；接口契约与实现一致 | | 数据运维管理制度 | 经招标方评审通过并发布；告警配置覆盖已上线任务与接口；一级故障有复盘报告；故障关闭的两个条件在故障单中逐项留痕 | | 数据退役管理规范 | 经招标方评审通过并发布；首批到期闲置资产完成一轮评估；归档台账含格式解析说明；销毁有副本清单与销毁证明 | | 外部数据引入管理办法 | 经招标方评审通过并发布；已引入外部数据的台账与授权凭证齐备；待澄清项有推进记录；禁用标记在加工任务中可校验 | | 数据开放共享管理规范 | 经招标方评审通过并发布；授权凭据均带三项范围限定；回收有记录；使用监测报表按月出具 | 验收口径中「经招标方评审通过并发布」是共同要求，其余各项为该文档特有的可核查项。可核查项的设计取向是看记录而不是看文档本身——文档写得完整但无执行记录，说明制度未生效，这一点在数据管理能力成熟度评估中同样是判定依据。 #### 12.3 与技术方案各段的口径对照 表 A9-17　本附件与技术方案各段的口径对照 | 本附件内容 | 技术方案对应段落 | 对照关系 | |---|---|---| | L1 至 L5 分级定义与实例 | 数据治理（二）数据安全规划 | 同一套口径。本附件给出判定规则、字段定义与实例清单，技术方案给出分级工作的方法论述 | | 分级管控矩阵 | 数据治理（二）数据安全规划 | 同一套取值。两处如有差异以本附件附录 B 为准并同步更正 | | 日志要素 | 数据治理（二）数据安全规划；技术方案安全方案 | 本附件给出字段级定义与必填性，安全方案给出技术实现 | | 脱敏与水印 | 技术方案安全方案 | 本附件规定管理要求与分级对应，技术实现与强度在安全方案论述 | | 国密算法、等级保护测评、密码应用评估 | 技术方案安全方案 | 不在本附件规定，本附件仅在条款中引用其结论作为修订触发条件 | | 需求单与评审四角度 | 数据治理（二）数据生存周期规划 | 本附件给出字段表与状态定义，技术方案给出流程设计理由 | | 采集、加工、接口规范 | 数据治理（二）数据生存周期规划；技术方案数据加工主线 | 本附件给出命名规则、配置要素与检查表，加工主线给出环节划分与门控设置 | | 告警规则与故障闭环 | 数据治理（二）数据生存周期规划；技术方案非功能性 | 本附件给出判定规则与时限，非功能性给出系统指标 | | 退役评估与归档销毁 | 数据治理（二）数据生存周期规划；数据治理（一）数据资产 | 本附件给出记分表与表单，资产段给出台账与价值评估办法 | | 外部数据台账与许可核查 | 数据治理（二）数据应用流通规划 | 本附件给出字段写入时点与核查要素表 | | 授权凭据与回收 | 数据治理（二）数据应用流通规划；技术方案数据集运营平台 | 本附件规定管理流程，运营平台一节论述功能模块与业务形态 | | 数据服务标准与服务目录 | 数据治理（二）数据应用流通规划；技术方案非功能性 | 本附件以附录 E 形式交付，分级指标值在非功能性一节 | | 文档编号与五段式编码 | 附录佐证卷标准规范与模板一节 | 沿用同一编号规则，本附件不另行定义 | | 版本五件套与数据卡 | 附录佐证卷标准规范与模板一节 | 本附件多处引用数据卡的安全与合规分区，字段定义以该节为准 | | 治理文档总清单 37 份 | 数据治理（二）数据治理规划成果交付 | 本附件覆盖第 28 至 37 项，其余由附录佐证卷其他附件分别出具 | ### 十三、本稿待补材料清单 本附件的结构与条款已按正式口径写出，下列材料须由招标方提供或在实施启动阶段共同确认后填入。清单中的编号对应正文中的【待填】标记。 表 A9-18　待补材料清单 | 序号 | 待补内容 | 出现位置 | 需提供方 | 用途 | |---|---|---|---|---| | 1 | 招标方现行保密与信息安全制度的名称与文号 | 表 A9-3、表 A9-5、表 A9-12 编制依据 | 招标方保密与信息安全归口部门 | 作为编制依据层级的第三层，并用于差距分析 | | 2 | 招标方现行信息系统运维管理规定的名称与文号 | 表 A9-10 编制依据 | 招标方信息运维归口部门 | 衔接本项目运维制度与招标方既有规定 | | 3 | 招标方采购管理制度的名称与文号 | 表 A9-13 编制依据 | 招标方采购归口部门 | 外部数据采购流程的衔接 | | 4 | 法务与合规、信息安全、采购与供应链、数据资产运营、档案五类归口部门的正式名称 | 十份文档的归口部门栏 | 招标方 | 确定各文档的归口与审批主体 | | 5 | 九个业务域数据归口部门的正式名称与对口岗位 | 附表 2-2、附录 A 角色目录、附录 A 运维责任矩阵 | 招标方 | 责任矩阵与会签范围逐行落实 | | 6 | 招标方岗位编码体系 | 附录 C 受控区名单、附录 E 权限台账 | 招标方人力资源归口部门 | 名单与台账的岗位标识取值 | | 7 | 招标方现行密级设置与核心商密认定程序 | 附录 D 与现行密级的对应关系 | 招标方保密归口部门 | 本标准五级与现行密级的对应确认 | | 8 | 重要数据报备的主管部门意见与报备口径 | 第七条、附表 2-2 报备情况栏 | 招标方 | 重要数据目录与报备程序的落实 | | 9 | 各源系统的日志能力现状说明 | 第十一条、3.5 节 | 招标方各源系统归口部门与运维方 | 确定审计日志的可采集范围与缺口清单 | | 10 | 归档存储位置、介质与档案管理衔接要求 | 附录 C 归档台账 | 招标方档案归口部门 | 归档台账的存储位置与介质字段 | | 11 | 日志、销毁证明与流程记录的留存期限要求 | 第十五条、8.4.1 条、10.2.1 条 | 招标方法务与档案归口部门 | 确定不低于法规要求的具体期限 | | 12 | 退役评估的加权下限取值 | 附录 A 退役评估记分表 | 招标方 | 建议以首批待评估清单试算后确认 | | 13 | 受控区的物理位置、终端数量与准入条件 | 第十条、附录 C | 招标方 | L4 与 L5 级数据加工的环境落实 | | 14 | 首批外部数据的供方与合同条款 | 附录 A 外部数据台账样例行 | 招标方采购归口部门 | 台账的来源与许可字段填写 | | 15 | 关联单位范围与对外使用方的资格条件 | 4.1.1 条三层开放对象 | 招标方 | 第二层与第三层开放的主体界定 | | 16 | 数据服务等级协议的具体指标值 | 附录 E 第三部分 | 与技术方案非功能性一节统一 | 服务目录的 SLA 字段取值 | 清单中第 4、5、6 三项是量最大也最影响执行的一类。十份文档的条款中凡出现责任主体的地方，最终都要落到招标方的正式部门名称与岗位编码上；这一项在实施启动阶段的组织架构发文完成后一次性补齐，补齐后对十份文档统一出 V1.1 版本，不逐份单独修订。