## 附录九　数据安全与生存周期类治理文档样章（治理文档清单第 28 至 37 项） ### 一、本附件的定位与使用方式 本节说明本附件回应招标文件的哪一条要求、样章写到什么粒度、以及十份文档之间的关系。 #### 1.1 本附件回应的要求 招标文件要求至少交付不少于 25 份数据治理规划文档，并以清单列明 37 份文档的名称、形态与数量（b1332）。清单第 28 至 37 项为数据安全类四份与数据生存周期、应用流通类六份，分别是《数据合规管理制度》（b1333r29）、《数据安全管理办法》（b1333r30）、《数据安全分级标准》（b1333r31）、《数据权限管理规范》（b1333r32）、《数据需求管理规范》（b1333r33）、《数据设计开发规范》（b1333r34）、《数据运维管理制度》（b1333r35）、《数据退役管理规范》（b1333r36）、《外部数据引入管理办法》（b1333r37）、《数据开放共享管理规范》（b1333r38）。这十份文档的编制要求分别来自数据安全规划要求第（4）项（b1308、b1309）、数据生存周期规划要求第（5）项（b1320、b1321）与数据应用流通规划要求第（5）项（b1330）。 十份文档是项目实施期的交付物，其正式版本须建立在现状评估结论与招标方现行保密、信息安全制度的确认之上，经招标方评审通过后按企业文件发布程序发布。投标阶段我方提交的是本附件所载的样章——每份文档的标识、适用范围、章节结构、关键条款的实际内容、附表与台账模板、与矿山装备制造业务的结合点以及评审修订机制。项目实施期将按本样章的结构与粒度交付文档全文。样章中出现的条款序号、字段名、取值域与判定规则均为正式口径；标注「样例」的台账行为示意填写，用于说明填写粒度，实际记录以项目期实际业务为准。 #### 1.2 样章的体例与读法 每份样章按六段组织，读法如下。 第一段「文件标识与适用范围」给出文件编号、版本号、密级、归口部门、生效条件与失效条件。其中生效条件一栏写明该文档须经哪一级评审、由谁发布才生效，这一栏决定了文档在项目验收时能不能算作已交付。 第二段「章节结构」给出章节目录，写到三级。制度与办法类按「总则—组织与职责—主体条款—监督与考核—附则」的体例编排，标准与规范类按「范围—规范性引用文件—术语—主体要求—附录」的体例编排，后者的体例依据为 GB/T 1.1—2020《标准化工作导则 第 1 部分：标准化文件的结构和起草规则》。 第三段「关键条款」给出条款的实际文字，不作提要式转述。条款写法遵守一条硬性要求：每一条须写明责任主体、动作、时点与留痕，「应加强某项管理」一类无主体、无动作、无法核查的条款不进入文档。这条要求与技术方案数据治理段提出的文档编制口径一致。 第四段「附表与模板」给出该文档的附录内容：字段定义表给出字段名、含义、数据类型、必填性、取值域与校验规则；台账与清单类给出表头和若干条样例行。样例行的数值取自对本项目数据对象的合理设定，用于说明该字段在真实业务中长什么样。 第五段「与本项目业务的结合点」写明该文档在矿山装备制造业务上的具体落点，落到 28 道备料工序、63 万张历史工艺样本、刮板输送机零部件、图纸与工艺卡片、热处理与焊接参数这些实际对象上。通用的数据治理条款不足以支撑本项目的数据加工生产作业，这一段是文档能否被执行的关键。 第六段「评审与修订」写明该文档由谁评审、多长一轮复核、修订后如何通知下游。十份文档共用一套评审与修订机制，见本节 1.5；各份文档在复核周期与修订触发条件上的差异在各自样章中列明。 需要填入招标方真实名称、编号、岗位设置与人员信息之处，一律以【待填：…】标出，不预填拟值。本附件末节汇总待补材料清单。 #### 1.3 文件编号、版本与密级口径 十份文档沿用附录佐证卷标准规范与模板一节确定的五段式编号：GHY26691-类别码-域码-序号-版本号。数据治理各域的文档取类别码 GV，域码即治理域号，数据安全与生存周期域为 07，十份文档因此同属 GV-07 号段。序号在本域内按本节清单的出场顺序连续分配，从 `0001` 起，不编码招标文件交付清单的行号——清单一经增补或某一行下挂多份文件，由行号推导出的编号就不再成立；与清单的对应关系写在「对应条目」一列。编号同时作为电子文件名、纸质文档书脊标识与文档台账主键。 表 A9-1　十份文档的编号、密级与归口口径 | 清单序号 | 文件名称 | 文件编号 | 首版版本号 | 建议密级 | 归口部门 | 单元 id | |---|---|---|---|---|---|---| | 28 | 数据合规管理制度 | GHY26691-GV-07-0001 | V1.0 | 内部 | 【待填：法务与合规归口部门】 | b1333r29 | | 29 | 数据安全管理办法 | GHY26691-GV-07-0002 | V1.0 | 内部 | 【待填：信息安全归口部门】 | b1333r30 | | 30 | 数据安全分级标准 | GHY26691-GV-07-0003 | V1.0 | 内部 | 【待填：信息安全归口部门】 | b1333r31 | | 31 | 数据权限管理规范 | GHY26691-GV-07-0004 | V1.0 | 内部 | 【待填：信息安全归口部门】 | b1333r32 | | 32 | 数据需求管理规范 | GHY26691-GV-07-0005 | V1.0 | 内部 | 数据治理办公室 | b1333r33 | | 33 | 数据设计开发规范 | GHY26691-GV-07-0006 | V1.0 | 内部 | 数据治理办公室 | b1333r34 | | 34 | 数据运维管理制度 | GHY26691-GV-07-0007 | V1.0 | 内部 | 数据治理办公室 | b1333r35 | | 35 | 数据退役管理规范 | GHY26691-GV-07-0008 | V1.0 | 内部 | 数据治理办公室 | b1333r36 | | 36 | 外部数据引入管理办法 | GHY26691-GV-07-0009 | V1.0 | 内部 | 【待填：采购与供应链归口部门】 | b1333r37 | | 37 | 数据开放共享管理规范 | GHY26691-GV-07-0010 | V1.0 | 内部 | 数据治理办公室 | b1333r38 | 版本号规则为两段式：主版本号在条款实质变更时递增，次版本号在表述修正、附表更新或引用文件版本更新时递增。评审基线与验收基线固化后的修订另起版本号，基线版本不被覆盖。文档自身的密级按其内容判定：含分级实例与管控策略的《数据安全分级标准》《数据权限管理规范》两份，其附录部分的密级高于正文，分册管理，附录的发放范围单独审批。 #### 1.4 十份文档之间的引用关系与生效顺序 十份文档不是十份并列的文件。《数据合规管理制度》与《数据安全管理办法》是公司级制度，规定做什么、谁负责、走什么权限；《数据安全分级标准》是域级标准，它产出的 L1 至 L5 分级标签被其余八份文档引用；《数据权限管理规范》把分级标签转为可下发的管控策略；生存周期四份与应用流通两份是作业级规范，在各自环节上引用分级标签与管控策略。引用关系决定了生效顺序：分级标准未发布，权限规范中的管控矩阵没有取值来源；权限规范未发布，开放共享的授权凭据无从签发。 图 A9-1　十份文档的层级、引用关系与生效顺序 公司级 域级标准 作业级 流通级 第 28 项　数据合规管理制度 合规底线、重要与敏感数据识别 第 29 项　数据安全管理办法 职责、防护、审计、事件响应 合规要求 第 30 项　数据安全分级标准 L1 至 L5 判定依据、实例、裁决规则 第 31 项　数据权限管理规范 权限模型、分级管控矩阵、复核回收 分级标签 数据级别、脱敏要求与管控策略（下发至各作业环节） 第 32 项 数据需求管理规范 第 33 项 数据设计开发规范 第 34 项 数据运维管理制度 第 35 项 数据退役管理规范 需求单 → 设计与开发记录 → 运行与告警记录 → 退役处置单（生存周期顺序） 第 36 项　外部数据引入管理办法 采购、接入、核验、评估与台账 第 37 项　数据开放共享管理规范 申请、审批、授权、监测与回收 许可范围与可用边界 授权凭据与回收指令 受众 与级别 图 A9-1　数据来源：招标文件第五章 3.2.6.1.1.2.7 第（4）项（b1308、b1309）、3.2.6.1.1.2.8 第（5）项（b1320、b1321）、3.2.6.1.1.2.9 第（5）项（b1330）；层级划分沿用技术方案数据治理段的三层制度体系口径。 图中的流通级两份文档向上指回作业级与域级，表示的是约束方向而非时序：外部数据的许可范围约束设计开发环节能不能把该数据写入训练数据集，开放共享的受众与级别反过来要求分级标准给出更细的裁决结论。责任边界有一条须在此说明：十份文档规定的是管理要求与作业规则，国密算法应用、等级保护 2.0 测评与商用密码应用安全性评估的技术实施（b1880）在技术方案安全方案一节论述，本附件不重复规定技术实现。 #### 1.5 三道评审、复核周期与修订通知的统一机制 十份文档共用一套评审与修订机制。评审分三道：我方项目组内部评审核对体例、条款可执行性与文档间一致性；招标方业务评审由各业务域数据归口部门核对条款与本域实际业务流程有无冲突；招标方管理层评审确认责任分工与考核要求。三道评审均通过后由招标方按企业文件发布程序发布，发布后的文档即为项目实施依据。评审意见逐条进入修订记录，意见未采纳的写明理由，不作无记录处理。 表 A9-2　评审、复核与修订通知机制 | 环节 | 承办 | 参与方 | 周期或触发 | 产出记录 | 不通过的处置 | |---|---|---|---|---|---| | 起草 | 我方项目组 | 对口业务域工作组会签 | 按交付节点 | 草案与会签意见单 | 退回修改 | | 征求意见 | 数据治理办公室 | 相关职能部门，不少于五个工作日 | 草案完成后 | 意见汇总表与采纳情况 | 逾期未回视为无异议并书面记录 | | 内部评审 | 我方项目组 | 项目组质量管理岗 | 征求意见后 | 内部评审记录 | 不进入招标方评审 | | 业务评审 | 数据治理办公室 | 九个业务域数据归口部门 | 内部评审通过后 | 业务评审意见单 | 条款与业务流程冲突的逐条修订后复评 | | 管理层评审 | 数据治理委员会 | 委员会成员 | 业务评审通过后 | 委员会决议 | 退回办公室重新组织 | | 发布 | 招标方 | 按企业文件发布程序 | 决议通过后 | 发文记录、制度库登记 | 未入库的文件不作为执行依据 | | 定期复核 | 数据治理办公室 | 归口部门与我方项目组 | 制度类每年一次，标准与规范类每半年一次 | 复核结论（继续有效／需修订／建议废止） | 需修订的列入修订计划并明确时限 | | 临时修订 | 归口部门 | 相关部门会签 | 见下文触发条件 | 修订说明与新版本 | — | | 下游通知 | 数据治理办公室 | 全部引用方 | 发布后三个工作日内 | 通知记录与引用关系表更新 | 未通知导致下游执行偏差的记入部门考核 | 临时修订的触发条件列六类：引用的法律法规或国家标准发布新版本或被替代；招标方组织机构、岗位设置或归口部门调整；数据分级结论发生变化影响管控策略；源系统或平台功能变更导致原流程无法执行；审计、评测或等级保护测评提出整改要求；同一类问题在三个月内重复出现两次以上，说明原条款存在缺口。 修订后的下游通知按引用关系表执行。引用关系表登记每份文档被哪些文档、哪些表单、哪些平台配置项引用，修订时按表逐项核对。需要同步调整平台配置的，修订通知中写明配置项与生效时点；需要重新培训的，写明培训对象与完成时限。一份文档修订而引用方未同步，是制度体系失效最常见的原因，因此通知与同步核对本身留记录，复核时抽查核对记录。 每份文档的末页附修订记录表，表的字段为正式口径，项目期按此填写。 表 A9-2a　文档修订记录表（模板，附于每份文档末页） | 版本号 | 修订日期 | 修订类型 | 修订条款 | 修订内容摘要 | 修订触发 | 起草 | 会签部门 | 批准 | 下游通知完成日 | |---|---|---|---|---|---|---|---|---|---| | V1.0 | 【待填】 | 首版发布 | — | 首版 | 项目交付节点 | 归口部门 | 相关部门 | 数据治理委员会 | 【待填】 | | V1.1 | 【待填】 | 表述修正 | 全文 | 补齐部门名称与岗位编码 | 组织架构发文完成 | 归口部门 | — | 数据治理办公室 | 【待填】 | | V2.0 | 【待填】 | 条款实质变更 | 【待填：条款号】 | 【待填】 | 【待填：六类触发之一】 | 归口部门 | 相关部门 | 数据治理委员会 | 【待填】 | 修订类型取三值：首版发布、表述修正（次版本号递增）、条款实质变更（主版本号递增）。修订条款一栏须写到条款号，写「全文」仅限表述性的统一修正。下游通知完成日为空的修订视为未生效——通知未完成时，引用方仍按旧版本执行，两边的执行依据就会不一致。 #### 1.6 十份文档共用的术语与定义 十份文档的第一章或第 3 章均设术语节。为避免同一术语在十份文档中出现不同表述，术语集中定义于此，各份文档引用而不重复定义。术语前后统一是制度体系可维护的前提——同一事物在不同文件里换三个说法，执行时就会被当作三件事。 表 A9-2b　十份文档共用术语表 | 术语 | 定义 | 首次出现的文档 | |---|---|---| | 数据元 | 可独立标识的最小数据单元，具有名称、定义、类型、格式与值域 | 数据安全分级标准 | | 数据主题 | 业务域下按业务对象归并的数据集合，是数据分类的最小粒度 | 数据安全分级标准 | | 聚合敏感度 | 多条或多类数据汇集后反映出的、单条数据不具备的规律、窗口或全貌所对应的敏感程度 | 数据安全分级标准 | | 衍生数据 | 由已有数据经加工、计算、合成或标注产生的数据 | 数据安全分级标准 | | 分级标签 | 记录某一对象分级结论及其依据、审批与状态的结构化记录 | 数据安全分级标准 | | 重要数据 | 泄露或滥用后可能影响行业运行、生产安全或重大经济利益的数据 | 数据合规管理制度 | | 敏感数据 | 涉及个人信息、敏感地理信息、重要行业数据或企业秘密数据的数据 | 数据合规管理制度 | | 许可范围 | 数据的权属方授予的使用权利范围，含内部使用、衍生加工、模型训练、商业使用与对外提供各项 | 数据合规管理制度 | | 去标识化 | 通过技术处理使数据无法直接识别特定自然人，且处理不可逆 | 数据合规管理制度 | | 脱敏 | 按既定规则对数据取值作变换，分静态与动态两种 | 数据安全管理办法 | | 静态脱敏 | 在数据落地时完成变换，产物不可逆 | 数据安全管理办法 | | 动态脱敏 | 在返回结果时按访问者权限实时变换，底层数据不变 | 数据安全管理办法 | | 固有权限 | 岗位履职必需、随岗位设置授予、无需逐事项申请的权限 | 数据权限管理规范 | | 申请权限 | 固有权限之外、须声明用途与期限并经审批的权限 | 数据权限管理规范 | | 属性约束 | 在角色之上按数据级别、业务域、项目范围、时间范围与访问环境作出的动态限定 | 数据权限管理规范 | | 访问名单 | L4 及以上数据、受控区与对外受众的可访问主体清单，作为角色权限之外的第二道校验 | 数据权限管理规范 | | 受控区 | 人员、终端与外设范围单独限定的内网加工区域，用于 L4 与 L5 级数据的加工 | 数据安全管理办法 | | 需求池 | 四类数据需求统一进入的待处理集合 | 数据需求管理规范 | | 受理 | 对需求单作要素齐备性检查并登记入需求池的动作，不含必要性判断 | 数据需求管理规范 | | 水位线 | 增量采集或加工中记录处理进度的标记值，用于断点续作与按位重跑 | 数据设计开发规范 | | 幂等 | 同一任务对同一输入批次重复执行，结果一致 | 数据设计开发规范 | | 血缘 | 数据对象与字段在加工链路上的来源与流向关系 | 数据设计开发规范 | | 契约 | 接口的请求与响应结构、字段引用、错误码与调用约束的书面约定 | 数据设计开发规范 | | 阻断级规则 | 不通过即停止当前环节、不允许数据进入下一环节的质量规则 | 数据设计开发规范 | | 数据空洞 | 某一数据对象在某一时间区间内应有而缺失的记录 | 数据运维管理制度 | | 一线处置与二线处置 | 一线为按既定预案执行的处置，二线为需要变更逻辑或配置的处置 | 数据运维管理制度 | | 故障闭环 | 故障现象消除且受影响数据批次已补齐并通过质量规则复跑 | 数据运维管理制度 | | 归档 | 将不再在线使用但须保留的数据转入可检索、可复活的保存状态 | 数据退役管理规范 | | 复活 | 将归档数据按申请恢复为可用状态 | 数据退役管理规范 | | 销毁 | 采用使数据不可通过技术手段还原的方式予以清除 | 数据退役管理规范 | | 副本 | 主数据之外的全部拷贝，含历史备份、离线介质、测试与开发环境数据、导出件与外部提供件 | 数据退役管理规范 | | 外部数据 | 从招标方以外来源引入的数据，含采购、协议获取、公开获取与随货提供四种取得方式 | 外部数据引入管理办法 | | 衍生品 | 以外部数据为输入加工产生的数据、数据集或指标 | 外部数据引入管理办法 | | 授权凭据 | 与数据范围、字段范围、时间范围三项绑定的开放共享授权记录 | 数据开放共享管理规范 | | 受众 | 获得开放共享授权的主体，分人员、系统与机构三类 | 数据开放共享管理规范 | | 二次提供 | 受众将获得的数据再提供给第三方 | 数据开放共享管理规范 | | 回收 | 使已签发的授权凭据失效并处置已交付数据的动作 | 数据开放共享管理规范 | | 关联敏感组合 | 单独均为低级别、组合后可识别出高级别信息的两个或多个数据对象 | 数据安全分级标准 | 术语表随十份文档一并评审，新增术语由提出文档的归口部门申请、数据治理办公室确认后补入，不在单份文档内自行定义。术语的英文对照与数据集说明文档中的用词保持一致，口径以业务术语标准为准。 ### 二、《数据合规管理制度》V1.0 样章 本节回应招标文件数据安全规划要求第（1）项数据合规管理与第（4）项输出要求（b1301、b1308），并落实项目安全合规建设要求中关于核查不可用于商业用途的建设内容、承诺数据集来源合法性的条款（b1869、b1870）。 #### 2.1 文件标识与适用范围 表 A9-3　《数据合规管理制度》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 数据合规管理制度 | | 文件编号 | GHY26691-GV-07-0001-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 内部 | | 编制依据 | 《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《生成式人工智能服务管理暂行办法》《关键信息基础设施安全保护条例》（b1896 至 b1900）；GB/T 43697—2024《数据安全技术 数据分类分级规则》；GB/T 35273—2020《信息安全技术 个人信息安全规范》；GB/T 45654—2025《网络安全技术 生成式人工智能服务安全基本要求》；煤机装备行业技术数据与设备参数保密管理相关行业指引（b1908）；招标方现行保密与信息安全制度【待填：现行制度名称与文号】 | | 适用范围 | 适用于本项目范围内全部数据处理活动，覆盖人力资源、研发设计、生产制造、仓储物流、财务管理、设备管理、采购管理、营销管理、质量管理共 9 个业务域（b1336）的数据汇聚、加工、标注、质检、验证、服务、流通与退役各环节；适用于参与上述活动的招标方各部门、各分厂岗位与我方项目组成员；适用于本项目引入的外部数据与向外提供的数据集 | | 不适用情形 | 不涉及数据处理的纯文档流转、不含任何业务数据的测试桩数据 | | 生效条件 | 经数据治理办公室组织业务评审、数据治理委员会审议通过，由招标方按企业文件发布程序正式发文后生效 | | 失效条件 | 被新版本替代；被招标方明令废止；所依据的法律法规整体失效且无替代规定 | | 归口部门 | 【待填：法务与合规归口部门】；数据治理办公室承担日常协调 | | 复核周期 | 每年一次；法律法规或国家标准更新时即时复核 | | 配套表单 | 附表 2-1 至附表 2-5（见本节 2.4） | #### 2.2 章节结构 第一章　总则 1.1 目的与适用范围 1.2 编制依据与依据层级 1.3 基本原则 1.4 术语与定义 第二章　合规管理职责 2.1 数据治理委员会职责 2.2 合规归口部门职责 2.3 业务域数据归口部门职责 2.4 安全管理岗职责 2.5 我方项目组的接口职责与责任边界 第三章　合规义务识别与清单管理 3.1 合规义务的识别方法 3.2 合规义务清单的编制与更新 3.3 与招标方现行制度的差距分析 3.4 差距整改的推进与验收 第四章　重要数据与敏感数据管理 4.1 重要数据的判定标准 4.2 敏感数据的四类范围 4.3 识别作业与双重确认 4.4 目录登记与报备 4.5 处理活动的附加要求 第五章　数据来源合法性管理 5.1 数据源登记与许可核验 5.2 不可用于商业用途内容的核查 5.3 自有数据、委托数据与外部数据的区分 5.4 合法性结论的记录与声明 第六章　个人信息与敏感地理信息保护 6.1 处理的合法性基础 6.2 最小必要与去标识化要求 6.3 敏感地理信息的特别要求 6.4 个人信息主体权利响应 第七章　数据集流通的合规要求 7.1 数据集发布前的合规审查 7.2 数据卡中的合规声明事项 7.3 流通范围与二次提供的约束 7.4 合规瑕疵的处置与召回 第八章　合规审查与评估 8.1 事前审查的触发情形 8.2 事中抽查 8.3 年度合规评估 8.4 评估结论的应用 第九章　违规情形与处理 9.1 违规情形列举 9.2 处理方式与层级 9.3 责任追溯与整改 第十章　附则 10.1 生效与修订 10.2 解释权 10.3 与既有文件冲突时的适用顺序 10.4 附表 #### 2.3 关键条款 以下为制度正文中实质条款的实际文字，节选第一章至第十章的核心条文，条款序号为正式序号。 第一条　为规范本项目数据处理活动的合规管理，明确合规义务、责任与核查方式，防范数据来源不合法、个人信息与敏感信息处理不当、数据集流通越权等风险，依据数据安全法、个人信息保护法、网络安全法及相关规定，结合招标方现行保密与信息安全制度，制定本制度。 第二条　本制度所称合规，指数据处理活动同时满足四层依据的要求：国家法律法规、人工智能与数据领域行业专项规范、煤炭装备行业专属补充依据、招标方内部数据管理制度（b1894）。四层依据发生冲突时，按前述顺序确定适用优先级；行业规范与内部制度严于法律法规的，从严执行。 第三条　合规管理遵循三条原则。其一，先合规后加工：数据源未完成登记与许可核验的，不进入加工环节。其二，证据随行：每一项合规判断须有可追溯的记录，判断结论与记录一并随数据集版本留存。其三，疑则从严：数据来源、许可范围或可商用性存疑且无法在排期内澄清的，该批数据暂不进入训练数据集，并登记为待澄清项。 第四条　数据治理委员会审议本制度及其修订，裁决合规争议，确认重要数据候选范围。合规归口部门负责合规义务清单的编制与年度合规评估，出具合规审查意见。业务域数据归口部门负责本域数据的来源说明、许可凭证提供与敏感信息确认。安全管理岗负责分级标记的核验、脱敏执行情况检查与审计日志抽查。我方项目组负责合规义务的技术落实、核查工具与记录模板的提供、核查过程的执行与结果汇总；我方不代行招标方对重要数据范围、对外提供事项的确认职责。 第五条　合规义务识别按三步执行：由合规归口部门与我方项目组共同逐条摘取四层依据中与本项目数据处理活动相关的条款，形成合规义务条目；每一条目落到具体的处理环节、责任部门与落实方式；每一条目指定可核查的证据形式。识别结论形成《合规义务识别清单》（附表 2-1），经合规归口部门确认后发布，每半年复查一次，法律法规更新时即时增补。 第六条　合规义务清单与招标方现行制度的差距，按「现行制度已覆盖」「现行制度部分覆盖」「现行制度未覆盖」三类标注。部分覆盖与未覆盖的条目形成差距清单，由合规归口部门按季度推进整改；整改方式优先修订现行制度，不另起一套与现行制度并行的体系。 第七条　重要数据按「泄露或滥用后是否可能影响行业运行、生产安全或重大经济利益」判定。本项目的重要数据候选范围包括：矿用刮板输送机的关键结构参数与选型校核方法、关键工艺参数窗口、重大项目的产能与交付能力数据、矿方工作面地质条件参数。候选范围由我方项目组梳理提出，经业务域数据归口部门确认、数据治理委员会审定后，纳入重要数据目录；需履行报备程序的，由合规归口部门按主管部门要求办理，报备口径以主管部门意见为准。 第八条　敏感数据覆盖四类：个人信息、敏感地理信息、重要行业数据、企业秘密数据（b1870）。识别采用机器预判与人工确认两步。机器预判按字段名敏感词表与取值格式特征（身份证号、手机号、银行账号、经纬度坐标、矿井与工作面标识）执行，预判以高召回为取向，宁可多报由人工剔除；人工确认由业务域数据归口部门出具意见。预判漏报的处理方式是：发现漏报后将该字段特征补入敏感词表，并对同源历史批次重新扫描。 第九条　敏感数据识别结论登记入《重要数据与敏感数据识别台账》（附表 2-2），台账字段包含判定依据、确认部门、确认时点与处理要求。台账与数据资源目录、数据安全分级标准的分级标签三者保持一致，发现不一致的以台账为准并同步更正另两处，更正留记录。 第十条　数据源纳入本项目前须完成登记与许可核验，登记内容包含来源系统或载体、权属主体、取得方式、许可范围、许可期限、是否允许用于模型训练、是否允许商业使用、是否允许对外提供。许可核验由我方项目组提出核验要点，业务域数据归口部门提供凭证，合规归口部门出具结论。无法提供凭证且权属不明的数据源不予接入（b1534）。 第十一条　不可用于商业用途的建设内容核查，按四个来向逐项执行（b1869）。第一，外部引入的标准文本、行业统计数据与第三方检测数据，核查其许可条款中有无禁止商业使用、禁止再分发或禁止用于模型训练的限制。第二，开源语料与开源模型，核查其许可协议类别及其对衍生物的约束。第三，公开网络来源的图文资料，核查其著作权状态与使用授权。第四，第三方工具与组件，核查其许可是否覆盖本项目的商业交付场景。核查结论逐项记录在《数据来源合法性与可商用性核查表》（附表 2-3），结论为「不可商用」或「存疑」的内容不进入数据集，已进入的按本制度第二十四条处置。 第十二条　涉及个人信息的数据处理，其合法性基础由业务域数据归口部门在数据源登记时声明。本项目的个人信息主要来自人力资源域的人员信息与营销域的客户联系人信息；凡用于数据集加工的，一律先行去标识化或脱敏，加工环境中不保留可直接识别个人身份的字段。去标识化的方法选择与效果评估依据 GB/T 37964—2019 与 GB/T 42460—2023 执行，评估结论记入批次质检记录。 第十三条　矿井位置、工作面地质条件参数等敏感地理信息，按数据安全分级标准定为 L4 级。此类数据进入加工链路前须完成代号替换或区间化处理，原始值与代号的映射表单独存放、单独授权，映射表的访问须逐事项审批。数据集中保留的地理相关字段不得具备精确定位能力，脱敏后的区间宽度由数据加工侧与场景验证侧共同确认，确认结论记入数据卡。 第十四条　数据集正式发布前须通过合规审查，审查项包含：数据源登记与许可核验齐备；不可商用内容核查结论为通过；个人信息与敏感地理信息的去标识化已执行且效果评估通过；涉政、色情、暴恐、涉密与未脱敏隐私信息的高风险缺陷筛查结论为无（b1885）；外部数据的许可范围覆盖本数据集的使用与流通方式。审查未通过的数据集不进入发布流程。 第十五条　数据卡中须声明的合规事项包含五项：数据来源构成与权属说明、所含外部数据的来源与许可范围、个人信息与敏感信息的处理方式、可用用途与禁止用途、流通范围与二次提供条件。声明内容与《数据来源合法性与可商用性核查表》一致，不一致时以核查表为准并更正数据卡。 第十六条　合规审查在三种情形下事前触发：新数据源首次接入；数据集新版本发布；数据集对外提供或流通范围变更。事中抽查按季度执行，抽查对象为已接入数据源的许可凭证有效性与已发布数据集的合规声明准确性，抽查比例按数据级别设定，L4 与 L5 级数据相关项的抽查比例高于 L3 级。 第十七条　年度合规评估由合规归口部门组织，评估内容包含合规义务清单的落实情况、差距整改进度、事前审查与事中抽查发现的问题及其闭环情况、外部监管要求的变化。评估结论分「符合」「基本符合，存在待整改项」「存在重大合规风险」三档；第三档须在十个工作日内提出处置方案并报数据治理委员会。 第十八条　违规情形列举五类：绕过登记与核验流程接入数据源；未经授权将数据或数据集对外提供；未按要求执行去标识化或脱敏即进入加工环节；将结论为不可商用或存疑的内容写入数据集；伪造或事后补填合规核查记录。前述情形按招标方相关管理规定处理，涉及我方项目组成员的，由我方按项目内部管理制度处理并向招标方书面说明处置结果。 第十九条　合规瑕疵的处置分三级。瑕疵限于单个样本或少量样本且可定位的，剔除该样本、重算版本指纹、出具新版本并在修订记录中说明。瑕疵涉及某一数据源的整批数据的，该源的全部样本退出当前版本，评估对已发布版本的影响并决定是否召回。瑕疵涉及许可范围判断错误并已对外提供的，立即停止提供、通知受众、按约定方式处置已交付件，并在数据集资产台账中登记该事件。 第二十条　本制度自招标方发文之日起生效。本制度由【待填：法务与合规归口部门】负责解释。招标方既有的信息化与保密管理文件与本制度不一致的，就数据处理活动的合规事项以本制度为准，并由数据治理办公室在半年内提出既有文件的修订建议。 第二十一条　个人信息的处理遵循最小必要：仅处理实现用途所必需的字段，不因「可能有用」而保留。处理前由业务域数据归口部门确认用途与字段范围的匹配性，确认记录随数据源登记表留存。个人信息的保存期限按用途设定，用途终止后按《数据退役管理规范》处置。 第二十二条　个人信息主体提出查阅、更正、删除或撤回同意请求的，由人力资源或营销管理归口部门按招标方相应制度受理。请求涉及已进入数据集的样本时，处理方式分两种：样本可定位的，剔除该样本并按《数据合规管理制度》第十九条重出版本；样本已去标识且不可逆、无法定位到特定个人的，按去标识化后不属个人信息处理，并将判定依据与评估报告编号记录在受理结论中。 第二十三条　涉政、色情、暴恐、涉密与未脱敏隐私信息属高风险缺陷，招标文件对此类缺陷的要求为清零（b1885）。本制度的执行口径是：数据集发布前完成筛查，筛查采用规则与模型双通道，筛查工具版本与规则版本记录在批次筛查记录中；筛查结论为存在高风险缺陷的批次不进入发布流程，缺陷样本剔除后重新筛查，检出数趋向为零方可放行。首轮筛查的检出率作为基线，后续批次的检出率与基线对比，检出率不降反升的，回看采集与合成环节的来源控制。筛查方法的局限须一并说明：规则通道受词表覆盖面限制，模型通道存在判别边界，因此本制度配套两项安排——抽样人工复核，以及发布后发现漏检时按第十九条的瑕疵处置条款撤回并重出版本。 第二十四条　已进入数据集的内容被判定为不可商用或存疑时，按三步处置：定位含该内容的全部版本与子集；剔除后重算版本指纹并重出版本；评估已对外提供版本的影响，按本制度第十九条决定是否召回。处置过程登记入合规事件登记表，并在数据卡修订记录中说明。 第二十五条　事中抽查的抽取方式为分层抽样：按数据级别分层，按业务域分配样本量，层内随机抽取。抽查结论分符合、存在形式缺陷、存在实质缺陷三档。形式缺陷指记录要素不全但判断结论成立；实质缺陷指结论本身不成立，实质缺陷按安全事件流程处理。 第二十六条　合规审查的留痕要求为三项：审查意见单与审查对象绑定，数据集类审查对象须填写版本指纹；审查依据的许可凭证与筛查记录作为附件；未通过项的整改完成后出具复审结论，复审结论与初审意见单关联。无复审结论的整改视为未闭环。 第二十七条　年度合规评估的输入为五项：合规义务识别清单及其复查记录；差距整改台账；事前审查与事中抽查的汇总；合规事件登记表；外部监管要求的变化梳理。评估报告提交数据治理委员会，并作为下一年度合规工作安排的依据。 第二十八条　本制度的执行情况纳入部门数据管理考核。考核取向为三条：核查记录完整的不因发现问题而扣分；记录缺失或事后补填的从重；主动报告合规风险并推动整改的予以加分。这一取向的用意是让风险在发生前被说出来。 #### 2.4 附表与模板 附表 2-1　合规义务识别清单（模板） | 字段 | 含义 | 类型 | 必填 | 取值域或填写要求 | |---|---|---|---|---| | 条目编号 | 本清单内唯一编号 | 文本 | 是 | HG-顺序号四位 | | 依据层级 | 来源依据所属层级 | 枚举 | 是 | 法律法规／行业专项规范／行业补充依据／内部制度 | | 依据名称与条款 | 依据文件名称及具体条款号 | 文本 | 是 | 写到条款号，不写「相关规定」 | | 义务内容 | 本项目须履行的具体义务 | 文本 | 是 | 须含动作与对象 | | 落点环节 | 义务落在哪个处理环节 | 枚举 | 是 | 登记／采集／加工／标注／质检／验证／发布／流通／退役 | | 责任部门 | 履行该义务的部门 | 文本 | 是 | 引用招标方部门名称 | | 落实方式 | 通过什么安排落实 | 文本 | 是 | 指向具体流程、表单或平台配置项 | | 证据形式 | 可核查的证据 | 文本 | 是 | 指向具体记录名称 | | 覆盖判定 | 与现行制度的差距 | 枚举 | 是 | 已覆盖／部分覆盖／未覆盖 | | 整改要求 | 差距的整改安排 | 文本 | 条件必填 | 覆盖判定非「已覆盖」时必填 | | 复查时点 | 下次复查的时点 | 日期 | 是 | 默认为半年后 | 样例行：HG-0012｜法律法规｜个人信息保护法第十三条｜处理个人信息须具备法定合法性基础，并在数据源登记时声明｜登记｜人力资源域数据归口部门｜数据源登记表增设「个人信息合法性基础」字段，未填不予提交｜数据源登记表存档件｜部分覆盖｜现行《员工信息管理规定》未涵盖用于模型训练的情形，提请修订｜【待填：复查时点】 样例行：HG-0031｜行业专项规范｜高质量数据集质量评测规范（TC609-5-2025-04）说明文档维度｜数据集须随附说明文档并声明来源与许可｜发布｜数据治理办公室｜数据卡「来源与许可」分区设为必填，缺失则发布流程不予放行｜数据卡存档件与发布审批单｜已覆盖｜—｜【待填：复查时点】 附表 2-2　重要数据与敏感数据识别台账（模板与样例行） | 台账编号 | 数据对象 | 所属业务域 | 类别 | 判定依据 | 分级 | 确认部门 | 确认时点 | 处理要求 | 报备情况 | |---|---|---|---|---|---|---|---|---|---| | ZD-0003 | 刮板输送机选型校核公式与修订参数 | 研发设计 | 重要行业数据、企业秘密数据 | 关系产品核心性能与行业技术优势 | L5 | 【待填：研发设计归口部门】 | 【待填】 | 加工环境与人员单独限定，不进入对外流通数据集 | 列入重要数据候选，待主管部门意见 | | ZD-0007 | 矿方工作面地质条件参数 | 营销管理 | 敏感地理信息、重要行业数据 | 涉及矿方生产安全信息与地理信息安全 | L4 | 【待填：营销管理归口部门】 | 【待填】 | 区间化处理，映射表单独存放并逐事项审批 | 列入重要数据候选，待主管部门意见 | | ZD-0015 | 热处理炉次温度曲线（按炉型聚合） | 生产制造 | 企业秘密数据 | 单炉次为 L2，按炉型全量聚合后反映关键工艺参数窗口 | L5（聚合后升级） | 【待填：生产制造归口部门】 | 【待填】 | 聚合数据集单独定级并在数据卡声明流通范围 | 不报备 | | ZD-0022 | 在职人员身份与薪酬信息 | 人力资源 | 个人信息 | 含可直接识别个人身份的字段 | L4 | 【待填：人力资源归口部门】 | 【待填】 | 去标识化后方可进入加工环境，加工产物不保留标识字段 | 不报备 | 附表 2-3　数据来源合法性与可商用性核查表（模板） | 核查项 | 核查要点 | 证据要求 | 结论取值 | |---|---|---|---| | 权属 | 数据的权属主体是否明确 | 权属说明或合同条款截取 | 明确／不明确 | | 取得方式 | 自有生产、委托加工、采购引入或公开获取 | 来源说明、采购合同、下载记录 | 四选一 | | 许可范围 | 是否允许内部使用、衍生加工、模型训练、商业使用、对外提供 | 许可协议或合同条款原文 | 逐项标注允许／不允许／未约定 | | 许可期限 | 起止日期与到期处置约定 | 协议条款 | 日期区间 | | 可商用性 | 有无禁止商业用途的限制 | 协议条款原文 | 可商用／不可商用／存疑 | | 再分发 | 衍生品能否对外提供及其条件 | 协议条款原文 | 允许／需供方同意／不允许／未约定 | | 署名要求 | 是否要求署名及引用格式 | 协议条款原文 | 要求／不要求 | | 内容安全 | 有无涉政、色情、暴恐、涉密内容 | 筛查记录与筛查工具版本 | 通过／不通过 | | 个人信息 | 是否含个人信息及处理方式 | 去标识化执行记录与效果评估 | 不含／已处理／未处理 | | 综合结论 | 可否进入本项目数据集 | 以上各项的汇总判断 | 通过／不通过／待澄清 | 「未约定」是本表最需要注意的取值。许可协议未明确约定衍生品能否用于模型训练或对外提供时，按本制度第三条「疑则从严」处理，列为待澄清项并由采购或业务归口部门向供方书面确认，确认结果补入本表。 附表 2-4　合规审查意见单（模板） 字段包含：意见单编号、审查对象（数据源或数据集版本）、审查触发情形、审查项逐项结论、未通过项及其原因、整改要求与时限、审查人岗位、审查日期、复审结论、归档编号。审查对象为数据集版本时，须填写版本指纹，使意见单与确定的数据集对象绑定。 附表 2-5　合规事件登记表（模板） 字段包含：事件编号、发现时间、发现方式（事前审查／事中抽查／年度评估／外部反馈／内部举报）、事件描述、涉及数据对象与版本、影响范围评估、处置措施、是否召回、通知对象与通知时间、闭环时间、责任追溯结论、后续改进措施。本表按年归档，年度合规评估时作为输入。 #### 2.5 合规义务识别清单（首批条目） 本节是附表 2-1 的实际填写结果首批，按依据层级排列。清单在实施启动阶段定版并每半年复查，法律法规更新时即时增补。 表 A9-3a　合规义务识别清单（首批，节选） | 条目 | 依据层级 | 依据与条款 | 本项目须履行的义务 | 落点环节 | 责任部门 | 落实方式 | 证据形式 | |---|---|---|---|---|---|---|---| | HG-0001 | 法律法规 | 数据安全法关于数据分类分级保护的要求 | 建立数据分类分级制度并对重要数据实行目录管理 | 登记、全环节 | 信息安全归口部门 | 发布《数据安全分级标准》，建立重要数据目录 | 分级标准发文件、重要数据目录 | | HG-0002 | 法律法规 | 数据安全法关于重要数据处理者履行安全管理责任的要求 | 明确数据安全负责人与管理机构，开展风险评估 | 全环节 | 信息安全归口部门 | 治理组织架构发文设立；年度合规评估与风险评估 | 组织架构发文、评估报告 | | HG-0003 | 法律法规 | 个人信息保护法关于处理合法性基础的要求 | 处理个人信息须具备法定合法性基础并在源登记时声明 | 登记 | 人力资源、营销管理归口部门 | 数据源登记表增设合法性基础字段，未填不予提交 | 数据源登记表存档件 | | HG-0004 | 法律法规 | 个人信息保护法关于最小必要的要求 | 仅处理用途所必需的个人信息字段 | 登记、采集 | 业务域数据归口部门 | 字段范围与用途匹配性确认；入口脱敏 | 用途确认记录、脱敏执行记录 | | HG-0005 | 法律法规 | 个人信息保护法关于个人权利响应的要求 | 受理查阅、更正、删除与撤回同意请求 | 全环节 | 人力资源、营销管理归口部门 | 按招标方制度受理；涉及数据集样本的按瑕疵处置 | 受理结论、样本处置记录 | | HG-0006 | 法律法规 | 网络安全法关于网络安全等级保护的要求 | 平台按等级保护要求建设并测评 | 平台建设 | 信息安全归口部门 | 等级保护 2.0 测评（b1880） | 测评报告或证书 | | HG-0007 | 法律法规 | 生成式人工智能服务管理暂行办法关于训练数据来源合法性的要求 | 训练语料来源合法，不含侵权内容 | 登记、加工、发布 | 法务与合规归口部门 | 数据源许可核验；不可商用内容核查 | 核查表、许可凭证 | | HG-0008 | 法律法规 | 生成式人工智能服务管理暂行办法关于内容安全的要求 | 语料不含违法不良信息 | 加工、发布 | 我方项目组、质量管理 | 规则与模型双通道筛查，抽样人工复核 | 批次筛查记录、复核记录 | | HG-0009 | 法律法规 | 关键信息基础设施安全保护条例相关要求 | 如涉及关键信息基础设施，按其要求履行相应义务 | 平台建设 | 信息安全归口部门 | 由招标方确认是否涉及并确定适用范围 | 【待填：招标方认定结论】 | | HG-0010 | 法律法规 | 数据本地化与离线管控的落地要求（b1901） | 隐私脱敏、版权溯源、涉密筛查、内容安全检测、本地离线管控流程匹配法律要求 | 采集、加工、发布 | 我方项目组、信息安全归口部门 | 图纸解析就地进行；受控区加工；筛查留痕 | 环境分区记录、筛查记录 | | HG-0011 | 行业专项规范 | 高质量数据集质量评测规范说明文档维度 | 数据集须随附说明文档并声明来源与许可 | 发布 | 数据治理办公室 | 数据卡来源与许可分区设为必填 | 数据卡存档件、发布审批单 | | HG-0012 | 行业专项规范 | 高质量数据集质量评测规范数据质量维度 | 高风险缺陷检出数趋向为零，中低风险缺陷按整改要求闭环（b1885） | 质检、发布 | 质量管理、我方项目组 | 发布前门控；缺陷剔除后重新筛查；整改台账 | 质检报告、整改台账 | | HG-0013 | 行业补充依据 | 煤机装备行业技术数据与设备参数保密管理相关指引（b1908） | 关键结构参数与工艺参数按行业保密要求管理 | 全环节 | 研发设计、生产制造归口部门 | 分级标准中定为 L5；受控区加工 | 分级台账、受控区记录 | | HG-0014 | 行业补充依据 | 煤矿智能化建设指南相关要求 | 井下场景数据的采集与使用符合安全生产相关要求 | 采集 | 设备管理归口部门 | 在役装备数据采集经矿方同意；现场标识代号化 | 矿方同意文件、脱敏记录 | | HG-0015 | 内部制度 | 招标方现行保密制度【待填：名称与文号】 | 数据密级标识与本标准级别对应管理 | 全环节 | 保密归口部门 | 附录 D 对应关系表逐行确认 | 对应关系确认记录 | | HG-0016 | 内部制度 | 招标方现行信息安全制度【待填：名称与文号】 | 账号、口令、终端与网络要求按现行制度执行 | 平台使用 | 信息安全归口部门 | 本项目不另立一套，差距项提修订建议 | 差距清单与修订建议 | | HG-0017 | 合同约定 | 外部数据供方协议条款 | 按许可范围使用外部数据，到期按约定处置 | 引入、加工、流通、退出 | 采购与供应链归口部门 | 外部数据台账逐项登记；到期提醒 | 台账、处置确认 | | HG-0018 | 合同约定 | 客户合同中的保密条款 | 客户现场数据的使用范围按合同约定 | 采集、流通 | 营销管理归口部门 | 使用范围登记；代号化处理 | 合同条款摘录、脱敏记录 | 清单中第 9、15、16 三条的依据内容须由招标方确认后填实，其余各条的义务内容已可执行。清单的用法是在每一次合规审查中按落点环节检索对应条目，逐条核对证据是否齐备，而不是作为一份备查文件搁置。 #### 2.6 合规管理各项要求的验证口径 表 A9-3b　合规管理的验证口径 | 要求条款 | 要求内容 | 判定方法 | 不合格时的处置 | 复核周期 | |---|---|---|---|---| | 第三条 | 先合规后加工 | 抽取加工批次，核对其数据源的登记与许可核验记录是否在批次开工前完成 | 该批次产物退出当前版本，源补办核验后重做 | 月 | | 第五条 | 合规义务清单齐备且逐条有证据形式 | 核查清单条目的证据形式填写率与实际证据的可取用性 | 证据形式空缺的补填；证据取不到的列入差距清单 | 半年 | | 第六条 | 差距整改按季推进 | 核对差距清单的整改进度与计划 | 连续两季无进展的提交数据治理委员会 | 季度 | | 第七条 | 重要数据候选范围经确认 | 核查候选范围的业务域确认与委员会审定记录 | 未确认的按候选范围从严管控，不得对外提供 | 半年 | | 第八条 | 敏感数据识别两步齐备 | 核查机器预判记录与人工确认意见的配对率 | 缺人工确认的对象按预判结论从严管控 | 月 | | 第十条 | 数据源登记与许可核验完整 | 统计已接入源的登记完整率与凭证有效率 | 凭证过期或缺失的源暂停新增批次接入 | 月 | | 第十一条 | 不可商用内容四来向核查 | 抽取外部引入与开源来源，核对四个来向的核查记录 | 结论为不可商用或存疑的内容剔除并重出版本 | 按批次 | | 第十二条 | 个人信息去标识化执行 | 核查去标识化执行记录与效果评估报告 | 未执行的批次不得进入加工环境 | 按批次 | | 第十三条 | 地理信息处理尺度经双方确认 | 核查区间宽度的确认记录与数据卡记载 | 未确认的样本暂不进入正式版本 | 按数据集版本 | | 第十四条 | 发布前合规审查五项齐备 | 核查发布审批单中的五项结论 | 任一项未通过不予发布 | 按数据集版本 | | 第十五条 | 数据卡合规声明与核查表一致 | 两处逐项比对 | 不一致的以核查表为准更正数据卡 | 按数据集版本 | | 第十六条 | 事中抽查按期执行且比例达标 | 核查抽查记录与抽查比例统计 | 未按期执行的在月度例会通报 | 季度 | | 第十七条 | 年度合规评估出具结论 | 核查评估报告与委员会审议记录 | 未出具的列为重大待整改项 | 年 | | 第十九条 | 瑕疵处置分级执行 | 核查合规事件登记表中处置方式与瑕疵级别的匹配 | 处置不足的重新处置并评估召回必要性 | 按事件 | #### 2.7 异常与边界情形的处理 许可凭证缺失但数据已在用。招标方部分存量数据的来源凭证已不可查，典型情形是早年从外部获取的标准汇编与行业资料。处理方式分两步：先判断该数据是否为数据集加工所必需，非必需的直接退出纳管范围；必需的由业务域归口部门出具来源说明并由法务评估风险等级，风险可接受的限定为内部使用、不进入对外流通数据集，风险不可接受的退出纳管范围。两种结论均登记在数据源登记台账，不以「历史原因」一句带过。 开源语料与开源模型许可的判读。本项目可能使用开源语料作为通用能力补充，也可能使用开源基座模型。许可判读的要点是衍生物约束：部分开源许可要求衍生物以相同许可发布，这与数据集的商业流通存在冲突。处理方式是在引入前由法务出具许可类别判读意见，判读结论为存在衍生物约束的，该语料不进入对外流通的数据集，仅用于内部实验；基座模型的许可登记在模型版本记录中，不因模型可用而默认其产出可商用。 数据集已发布后发现许可判断错误。此情形按本制度第十九条第三级处置：立即停止提供、通知受众、按约定方式处置已交付件、在资产台账中登记事件。此外须做两件事：回看同一供方其他数据的许可判读是否存在同类错误；回看核查表中该项的判读依据，若因核查要点缺失导致，补入核查要点并对已核查数据重做该项核查。 脱敏与可用性的冲突无法调和。地理条件参数区间化后若选型类样本失去工况区分度，而缩窄区间又达不到去标识效果，此时不以降低脱敏强度来保可用性。处理方式是改变样本构造方式：以工况类别标签替代连续参数值，类别划分由业务域确认，使样本保留区分能力而不携带定位能力。此类处理的结论记入数据卡的脱敏说明。 个人信息请求指向已去标识样本。个人提出删除请求而相关样本已完成不可逆去标识、无法定位到特定个人时，按去标识化后不属个人信息处理，并将判定依据与效果评估报告编号写入受理结论。判定不以我方意见为准，由招标方个人信息处理的责任部门出具结论，我方提供技术判定材料。 合规要求与业务效率的冲突。典型情形是 L5 级样本的受控区加工使加工周期延长，影响数据集交付节点。处理方式是在加工计划阶段就按级别排期，而不在交付节点临近时申请放宽管控。确有必要调整的，按本制度第三条「疑则从严」的反向情形处理：提出替代控制措施并经信息安全归口部门批准，批准记录与替代措施一并登记，期限届满自动失效。 #### 2.8 数据集发布前合规审查检查表 本节是第十四条的操作化。检查表随每一个数据集版本出具一份，与发布审批单一并归档；任一项结论为不通过，该版本不进入发布流程。 表 A9-3c　数据集发布前合规审查检查表（模板） | 检查项 | 检查内容 | 证据 | 判定 | 不通过的处置 | |---|---|---|---|---| | 1 数据源登记 | 本版本涉及的全部数据源均已登记且登记信息与实际一致 | 数据源登记台账截取 | 通过／不通过 | 补办登记后重新审查 | | 2 许可凭证有效 | 各源的许可凭证在本版本加工期间处于有效期内 | 凭证扫描件与有效期核对表 | 通过／不通过 | 过期源的样本退出本版本 | | 3 模型训练许可 | 各源的许可明确覆盖用于模型训练 | 许可条款原文摘录 | 通过／存疑／不通过 | 存疑与不通过的源退出本版本 | | 4 商业使用许可 | 各源的许可覆盖衍生品商业使用 | 许可条款原文摘录 | 通过／存疑／不通过 | 同上 | | 5 不可商用内容核查 | 四个来向的核查均已完成且结论为通过 | 核查表 | 通过／不通过 | 剔除后重算指纹并重新审查 | | 6 外部成分清单 | 本版本所含外部数据已逐项列出且占比已记录 | 外部数据台账与占比记录 | 通过／不通过 | 补齐清单 | | 7 个人信息处理 | 涉及个人信息的样本已完成去标识化且效果评估通过 | 执行记录与评估报告 | 通过／不通过／不涉及 | 未处理的退出本版本 | | 8 敏感地理信息处理 | 矿井与工作面参数已代号化并区间化，区间宽度已确认 | 脱敏记录与确认结论 | 通过／不通过／不涉及 | 同上 | | 9 高风险内容筛查 | 涉政、色情、暴恐、涉密与未脱敏隐私信息的检出数趋向为零 | 批次筛查记录与工具版本 | 通过／不通过 | 剔除后重新筛查 | | 10 抽样人工复核 | 按比例抽样人工复核筛查结果 | 复核记录 | 通过／不通过 | 复核发现漏检的扩大筛查范围 | | 11 分级与流通范围 | 本版本已独立定级，流通范围声明与级别匹配 | 分级审批单与数据卡 | 通过／不通过 | 补做定级或修正声明 | | 12 聚合升级判定 | 是否命中聚合升级情形已判定并留痕 | 判定记录 | 通过／不通过 | 未判定的补做，必要时受控区重做 | | 13 数据卡合规声明 | 五项声明齐备且与核查表一致 | 数据卡 | 通过／不通过 | 以核查表为准更正 | | 14 署名与引用 | 要求署名的外部来源已按格式署名 | 数据卡与成果文档 | 通过／不通过／不涉及 | 补充署名 | | 15 禁止用途 | 禁止用途清单已明确并写入数据卡 | 数据卡 | 通过／不通过 | 补充清单 | | 16 数据空洞声明 | 存在不可补齐空洞的已在数据卡中声明区间与影响 | 空洞台账与数据卡 | 通过／不通过／不涉及 | 补充声明 | | 17 前次瑕疵闭环 | 上一版本的合规瑕疵整改已闭环 | 合规事件登记表 | 通过／不通过／不涉及 | 未闭环的不发布新版本 | 检查表的第 3 项与第 4 项允许「存疑」取值，其余项只有通过与不通过两档。保留存疑档的原因是许可条款的「未约定」情形在外部数据中占比很高，一律判为不通过会使大量可用数据被排除；处理方式是该源的样本退出当前版本，待澄清后在后续版本纳入，而不是阻塞整个版本的发布。 #### 2.9 与本项目业务的结合点 本制度在本项目上的落点集中在三处，都是矿山装备制造数据的具体特征带来的。 第一处是聚合后敏感度升级。本项目要加工的 63 万张历史工艺样本，单张图纸或单份工艺卡片按分级标准多为 L3；但某一产品线全部 28 道备料工序的工艺卡片聚合在一起，其技术秘密含量接近 L5。本制度第九条要求台账与分级标签保持一致，并把聚合后的定级结论作为数据集级别而非成分最大值，正是为此。实际操作中，制造过程数据集的预训练子集因包含跨工序的工艺卡片全集，其定级须单独审批，不沿用成分数据元的级别。 第二处是地质条件参数的处理尺度。刮板输送机的选型校核依赖工作面的煤层厚度、倾角、顶底板条件等参数，这些参数既是选型类样本的关键特征，又属于矿方的生产安全信息。本制度第十三条要求区间化处理并由加工侧与场景验证侧共同确认区间宽度，原因是区间过宽会使选型类样本失去工况区分度，区间过窄则达不到去标识效果。确认结论写入数据卡，使后续场景验证的结论可以回溯到当时的脱敏尺度。 第三处是外部引入内容的可商用性。本项目可能引入的标准文本、行业统计数据与供应商检测数据中，标准文本的著作权限制最容易被忽略——国家标准与行业标准的正文受著作权保护，其全文或大段原文若直接写入预训练语料，许可范围未必覆盖商业性数据集的流通。本制度第十一条把标准文本列为核查的第一来向，处置方式是以术语、字段定义、取值域等事实性内容为引用对象，不整段纳入语料，并在数据卡中声明引用方式。 #### 2.10 评审与修订 本制度由合规归口部门起草，法务、信息安全、九个业务域数据归口部门会签，征求意见期不少于五个工作日，经数据治理办公室审核、数据治理委员会审议通过后由招标方发文发布。首版发布节点安排在数据汇聚与首批数据集加工开始之前——制度未发布则数据源登记无依据，这一顺序不可调换。 定期复核每年一次，由合规归口部门组织，核查合规义务清单的时效性、现行制度差距的整改进度、本制度条款在过去一年有无执行记录与执行障碍。法律法规或行业规范发布新版本时即时复核，复核范围限于受影响的条款。 修订通知按引用关系表执行。本制度被《数据安全分级标准》《外部数据引入管理办法》《数据开放共享管理规范》三份文档引用，同时被数据源登记表、数据卡合规声明分区与数据集发布审批流程引用。修订涉及核查项增减时，通知中写明平台配置项的调整内容与生效时点，并对已登记数据源按新核查项补充核查；补充核查在三个月内完成，未完成的数据源暂停新增批次接入。 ### 三、《数据安全管理办法》V1.0 样章 本节回应招标文件数据安全规划要求第（2）项数据安全防护、第（3）项数据安全审计与第（4）项输出要求（b1304 至 b1309），并落实平台须具备全流程审计和日志记录、严格的权限校验与访问名单控制的要求（b1871）。 #### 3.1 文件标识与适用范围 表 A9-4　《数据安全管理办法》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 数据安全管理办法 | | 文件编号 | GHY26691-GV-07-0002-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 内部 | | 编制依据 | GB/T 37988—2019《信息安全技术 数据安全能力成熟度模型》；GB/T 22239—2019《信息安全技术 网络安全等级保护基本要求》；GB/T 41479—2022《信息安全技术 网络数据处理安全要求》；GB/T 39786—2021《信息安全技术 信息系统密码应用基本要求》；GB/T 34960.5—2018《信息技术服务 治理 第 5 部分：数据治理规范》；本项目《数据合规管理制度》 | | 适用范围 | 适用于本项目数据集加工生产平台、数据集运营服务管理平台及其承载的全部数据的安全管理；适用于 9 个业务域数据在采集、加工、标注、质检、验证、服务、流通、退役各环节的安全防护与审计；适用于招标方相关岗位与我方项目组成员 | | 不适用情形 | 招标方生产控制网络内部的工控安全管理按招标方现行工控安全制度执行，本办法仅规定其数据对外提供侧的安全要求 | | 生效条件 | 经业务评审与数据治理委员会审议通过，由招标方正式发文后生效 | | 失效条件 | 被新版本替代或被明令废止 | | 归口部门 | 【待填：信息安全归口部门】 | | 复核周期 | 每年一次；等级保护测评或商用密码应用安全性评估提出整改要求时即时复核 | | 配套文件 | 《数据安全分级标准》《数据权限管理规范》；技术实现见技术方案安全方案一节 | | 配套表单 | 附表 3-1 至附表 3-6（见本节 3.4） | #### 3.2 章节结构 第一章　总则 1.1 目的与适用范围 1.2 编制依据 1.3 安全管理的四项基本要求 1.4 术语与定义 第二章　组织与职责 2.1 数据治理委员会的安全决策职责 2.2 信息安全归口部门职责 2.3 安全管理岗职责 2.4 业务域数据归口部门职责 2.5 数据运维岗与平台运维岗职责 2.6 我方项目组的接口职责与责任边界 第三章　分类分级管理 3.1 分级标准的引用关系 3.2 分级标记的落地要求 3.3 分级结论的复评 3.4 数据集的独立定级 第四章　安全防护要求 4.1 权限管控的管理要求 4.2 敏感数据脱敏的管理要求 4.3 数据水印的管理要求 4.4 访问审批的管理要求 4.5 加工环境的分区要求 4.6 导入导出的管控要求 4.7 存储与传输的保护要求 第五章　数据安全审计 5.1 日志的覆盖范围 5.2 日志要素 5.3 审计分析模型 5.4 追溯能力与核验方式 5.5 日志的保护与留存 第六章　安全事件响应 6.1 事件分级 6.2 报告与响应时限 6.3 处置流程与升级路径 6.4 复盘与改进 第七章　监督与考核 7.1 日常检查 7.2 专项检查 7.3 考核指标与结果应用 第八章　附则 8.1 生效与修订 8.2 解释权 8.3 附表 #### 3.3 关键条款 第一条　为规范本项目数据的安全管理，明确职责、防护要求、审计要求与事件响应要求，依据数据安全能力成熟度模型、网络安全等级保护基本要求及相关规定，结合本项目数据集加工生产与运营流通的业务特点，制定本办法。 第二条　数据安全管理遵循四项基本要求。按级施策：安全措施的强度与数据级别对应，不对全部数据采用同一强度。授权前置：数据的访问、加工、导出、对外提供均以授权为前提，无授权不操作。留痕可查：对数据的操作须留下可追溯的记录，记录的完整性本身是安全能力的一部分。边界清晰：加工环境、运营环境与招标方生产环境之间的数据流向按既定通道流转。 第三条　信息安全归口部门统筹本办法的执行，组织年度安全检查，裁决安全措施与业务效率的冲突。安全管理岗承担六项日常职责：分级标记完整性核验、权限申请的安全性复核、脱敏执行情况检查、审计日志抽查与异常事件初判、安全事件的受理与跟踪、销毁作业的现场监督。业务域数据归口部门对本域数据的级别、使用范围与授权申请的业务合理性负责。我方项目组负责安全措施在平台与工具链上的实现、安全配置的交付与变更、审计规则的配置与调优，并向安全管理岗提供检查所需的数据与报表；重要数据范围确认、对外提供审批、违规处理等属招标方职权的事项由招标方决定。 第四条　本办法引用《数据安全分级标准》的 L1 至 L5 五级分级结论，不另行定义级别。纳管的每一个数据元须有分级标签，每一个数据集版本须有独立定级结论。未完成分级标记的数据对象，按其所属数据主题的最高级别临时管控，并在三十日内完成正式标记。 第五条　数据集的级别不等于其成分数据元级别的最大值。数据集按聚合后的实际敏感度单独定级，定级结论记录在数据卡中，定级依据与审批记录随数据集版本留存。级别发生变化的数据集，其已签发的授权凭据在十个工作日内按新级别重新核定，核定结果通知受众。 第六条　权限管控按角色与属性结合的模型执行。角色定义岗位的基本权限集合；属性在角色之上做动态约束，约束维度包含数据级别、业务域、项目范围、时间范围与访问环境。权限授予遵循最小必要原则：权限申请须声明用途与期限，无期限的长期权限仅限岗位固有权限；L4 与 L5 级数据的权限逐事项审批，不随角色自动获得；权限按季度复核，连续一个季度未使用的非固有权限进入待回收清单。权限模型的具体定义、申请流程与管控矩阵见《数据权限管理规范》。 第七条　脱敏按用途分静态与动态两种。静态脱敏用于数据集加工与对外提供场合，在数据落地时完成变换，产物不可逆；动态脱敏用于查询展示场合，在返回结果时按访问者权限实时变换，底层数据不变。L4 与 L5 级数据进入数据集加工环境前须完成静态脱敏或去标识化；脱敏规则的选择、信息损失特征与可用性评估结论记入批次质检记录与数据卡。 第八条　L3 及以上级别数据的导出件须带水印。文档与报表导出件加可见水印，标注使用者标识、时间与用途；数据集与批量导出的结构化数据加隐式水印，用于外泄时判断来源批次。水印与导出审批记录关联，可由水印反查到审批单。水印的嵌入方式与强度在技术方案安全方案一节规定。 第九条　访问审批的要素须完整，缺项不予受理：申请人与所属部门、用途、数据范围、字段范围、涉及的最高级别、期限、使用环境、是否允许导出、是否允许二次提供。审批层级按级别设定，与《数据权限管理规范》的分级管控矩阵一致。审批记录与后续访问日志关联，使授权与实际操作可以对上。 第十条　数据加工环境按级别分区。L3 级及以下数据在内网加工区处理；L4 与 L5 级数据在内网受控区处理，受控区的人员范围、终端范围与外设使用单独限定，不具备导出通道的操作在受控区内完成。跨区数据流转按既定通道执行，流转记录包含源区、目标区、数据对象、级别、批次标识与审批单号。 第十一条　审计日志的覆盖范围包含三部分：数据集加工生产平台与数据集运营服务管理平台自身的操作；经统一数据服务通道对源系统数据的访问；权限与配置的变更操作。源系统内部的直接操作日志由源系统自身记录，本项目通过接口采集其可获取部分并在审计分析中合并；源系统日志能力不足的，在诊断报告中列为缺口并提出改造建议，本项目不替源系统补建其内部审计能力。 第十二条　日志要素按附表 3-1 记录，要素缺失的日志视为不完整日志，不完整日志的比例按月统计并纳入考核。查询类操作记录查询条件，修改类操作记录变更前后值；变更前后值的存储是否脱敏按数据级别判定，L4 与 L5 级数据的变更值在日志中以脱敏形式存储，原值在受控查询下可按审批调取。 第十三条　审计分析按三类模型运行：阈值类，判定单位时间内查询量、导出量、失败次数是否超出基线；行为模式类，判定是否存在非常规时段访问、非常规来源访问、首次访问高级别数据、权限变更后立即大量访问；关联类，判定审批范围与实际访问范围是否相符、同一数据是否被多账号集中访问。命中事件生成审计告警，按级别推送至安全管理岗与业务域数据归口部门，告警的受理与处置结论回写至事件记录。 第十四条　追溯能力按抽样核验。每季度从日志中抽取一定数量的 L3 及以上级别数据访问记录，逐条核验能否还原「谁、何时、通过什么通道、对哪些记录、做了什么、依据哪张审批单」。首次核验结果作为基线，抽样可追溯率的目标是逐步接近全部；未能还原的记录逐条分析原因并形成日志完善清单。核验结果未达期段目标时的处置是补齐日志字段与关联凭据，并对相应级别的数据暂时收紧授权方式至逐事项审批，这是本指标的回退安排。 第十五条　日志写入后不可修改。日志删除须经安全管理岗与信息安全归口部门双人审批并留下删除记录。日志存储与业务数据存储分离；运维人员对日志存储的权限与对业务数据的权限分离，同一账号不同时具备两者的写权限。日志留存期限按级别与法规要求设定，不低于相关规定的最低期限，到期前评估是否继续留存。 第十六条　安全事件按影响程度分三级，分级标准与响应时限见附表 3-3。任何岗位发现安全事件或疑似安全事件，应在发现后一小时内报告安全管理岗，不得自行处置后再行报告。事件处置的首要动作是止损与证据保全：先切断越权访问路径或暂停相关服务，再固定日志与现场证据，之后分析原因。 第十七条　一级事件由信息安全归口部门负责人组织处置，处置过程中按小时报告进展；二级事件由安全管理岗组织处置；三级事件由发现方按既定处置方式处理并登记。涉及个人信息泄露或重要数据外泄的事件，由招标方按法律法规要求履行通知与报告义务，我方项目组提供技术分析与证据材料。 第十八条　一级与二级事件在闭环后十个工作日内完成复盘，复盘报告写明事件经过、直接原因、管理与技术上的缺口、已采取的措施、待改进项与责任部门。复盘结论中涉及条款缺口的，作为本办法或相关规范的修订触发条件。 第十九条　日常检查由安全管理岗按月执行，检查项见附表 3-4。专项检查在三种情形下组织：等级保护测评或商用密码应用安全性评估前；重大数据集版本对外发布前；发生一级安全事件后。年度安全检查由信息安全归口部门组织，覆盖本办法全部条款的执行情况。 第二十条　安全考核指标见附表 3-5，考核结果纳入部门与岗位绩效。考核不以事件数量为单一指标——主动发现并上报事件的部门不因上报而扣分，隐瞒不报或延迟上报的从重处理，这一安排的目的是让问题被看见。 第二十一条　本办法自招标方发文之日起生效，由【待填：信息安全归口部门】负责解释。本办法与《数据合规管理制度》就同一事项规定不一致时，以更严格的规定为准。 第二十二条　数据导入须经登记，登记内容包含来源、用途、涉及级别、导入方式与责任岗位。导入文件的完整性以摘要值核对，摘要算法采用国家密码管理部门认可的杂凑算法。未登记的导入操作由平台拒绝并记录。 第二十三条　数据导出按分级管控矩阵执行。L3 及以上级别的导出须生成导出清单，清单内容包含导出对象、字段范围、记录数、导出时间、审批单号与接收方。导出清单与导出件一并留存，留存期限与日志一致。批量导出达到量级阈值的触发告警，由安全管理岗判别。 第二十四条　数据存储按级别设置保护措施，存储介质的报废与更换按《数据退役管理规范》的销毁要求处置。数据传输按通道类型选择保护方式，跨区与对外传输采用加密通道。具体的密码算法选用、密钥管理与密码产品配置在技术方案安全方案一节规定，并以商用密码应用安全性评估结论为准（b1880）。 第二十五条　加工环境中不保留超出加工所需的数据副本。加工过程产生的中间结果按任务配置设定保留期限，期限届满自动清理；需要延长保留的，申请并说明理由。中间结果的级别继承其输入的最高级别，不因是中间结果而降低管控。 第二十六条　标注作业环境单独设置，标注人员仅可访问指派批次内的样本，不可检索批次之外的数据，不可导出样本原件。标注结果的提交与回退均留痕。标注人员的权限按《数据权限管理规范》的时间范围约束设定，批次结束权限失效。 第二十七条　平台账号的口令与凭据管理、终端安全要求、网络分区与边界防护要求按招标方现行信息安全制度与技术方案安全方案执行，本办法不重复规定。本办法与招标方现行制度就同一事项规定不一致时，以更严格的规定为准，并由信息安全归口部门在三个月内提出两套文件的衔接意见。 第二十八条　年度安全检查的结论分三档：符合要求；存在待整改项；存在重大风险。存在重大风险的，由信息安全归口部门在十个工作日内提出处置方案，期间对相关级别的数据收紧授权方式。年度检查结论与考核结果一并提交数据治理委员会。 第二十九条　我方项目组成员的安全管理按三项执行：入场前签署保密承诺并完成安全培训；账号按岗位最小必要开立，离场时当日回收并出具回收确认；受控区作业按名单与审批执行。涉及人员变动的，由我方书面通知招标方并同步调整名单。 图 A9-2　安全事件的分级、响应路径与记录产出 发现来源 审计告警／人工发现 安全管理岗受理 一小时内登记并初判 事件报告 分级判定 一级／二级／三级 一级　归口部门负责人组织，按小时报告 二级　安全管理岗组织处置 三级　发现方处置并登记 止损与证据保全 先断路径，后固证据 原因分析与处置 权限、配置、流程三查 闭环与复盘 一级二级十日内复盘 产出记录（随事件编号绑定，归档后进入年度安全检查输入） 安全事件登记表（附表 3-6）　｜　证据清单与日志快照　｜　处置记录与时限留痕 权限回收与凭据失效记录　｜　受众通知记录　｜　复盘报告与条款修订建议 图 A9-2　数据来源：招标文件第五章 3.2.6.1.1.2.7 第（3）项数据安全审计要求（b1306、b1307）与项目安全合规建设要求（b1871）；事件分级与时限取本办法第十六条、第十七条。 #### 3.4 附表与模板 附表 3-1　操作日志要素字段表（模板） | 字段 | 含义 | 类型 | 必填 | 取值域或校验规则 | |---|---|---|---|---| | 日志标识 | 日志记录唯一标识 | 文本 | 是 | 全局唯一，不可重复 | | 操作主体账号 | 发起操作的账号标识 | 文本 | 是 | 须存在于账号目录 | | 所属组织 | 账号所属部门 | 文本 | 是 | 引用组织目录 | | 所属角色 | 操作时生效的角色 | 文本 | 是 | 引用角色目录，多角色时记录生效角色 | | 关联自然人标识 | 服务账号的实际责任人标识 | 文本 | 条件必填 | 服务账号必填 | | 发起时间 | 操作发起时间 | 时间戳 | 是 | 统一时间基准，毫秒精度 | | 完成时间 | 操作完成时间 | 时间戳 | 是 | 不早于发起时间 | | 操作类型 | 操作的动作类别 | 枚举 | 是 | 查询／新增／修改／删除／导出／接口调用／授权变更／配置变更 | | 对象系统 | 被操作的系统或平台 | 文本 | 是 | 引用系统目录 | | 对象标识 | 被操作的数据对象 | 文本 | 是 | 表、接口、数据集版本等 | | 字段范围 | 涉及的字段清单 | 文本 | 条件必填 | 查询与导出必填 | | 记录范围 | 影响的记录条件或条数 | 文本 | 是 | 批量操作须填影响记录数 | | 数据级别 | 涉及的最高数据级别 | 枚举 | 是 | L1 至 L5 | | 变更前值 | 修改类操作的原值 | 文本 | 条件必填 | 修改、删除必填；L4 与 L5 脱敏存储 | | 变更后值 | 修改类操作的新值 | 文本 | 条件必填 | 修改、新增必填；L4 与 L5 脱敏存储 | | 查询条件 | 查询类操作的条件表达式 | 文本 | 条件必填 | 查询必填 | | 来源地址 | 发起操作的网络地址 | 文本 | 是 | 记录原始地址，不做归并 | | 终端标识 | 终端或设备标识 | 文本 | 是 | 受控区操作须可定位到终端 | | 访问通道 | 操作经由的通道 | 枚举 | 是 | 平台界面／接口／文件通道／专线 | | 执行结果 | 操作的结果 | 枚举 | 是 | 成功／失败／被拒绝 | | 失败原因 | 失败或被拒绝的原因 | 文本 | 条件必填 | 结果非成功时必填 | | 审批单号 | 关联的审批单 | 文本 | 条件必填 | L4 与 L5 级操作必填 | | 任务标识 | 关联的加工任务或作业 | 文本 | 条件必填 | 加工类操作必填 | | 会话标识 | 关联会话 | 文本 | 是 | 用于同一会话内操作串联 | 被拒绝的访问尝试同样记录，这是识别试探性越权的主要依据；只记成功操作的日志，发现不了反复尝试访问高级别数据的行为。 附表 3-2　审计分析规则登记表（模板与样例行） | 规则编号 | 规则类型 | 判定逻辑 | 阈值来源 | 告警级别 | 推送对象 | 复核周期 | |---|---|---|---|---|---|---| | AD-0001 | 阈值类 | 单账号单日 L3 及以上数据查询条数超过基线倍数 | 该账号近三个月分布的上分位 | 二级 | 安全管理岗 | 季度 | | AD-0004 | 阈值类 | 单次导出记录数超过该对象的导出量阈值 | 按对象设定 | 一级 | 安全管理岗、业务域数据归口部门 | 季度 | | AD-0009 | 行为模式类 | 非工作时段访问 L4 及以上数据且无在途审批单 | 不设阈值，命中即告警 | 一级 | 安全管理岗 | 半年 | | AD-0012 | 行为模式类 | 权限变更后两小时内对新增范围发起批量查询 | 不设阈值 | 二级 | 安全管理岗 | 半年 | | AD-0017 | 关联类 | 实际访问字段范围超出审批单授权字段范围 | 不设阈值 | 一级 | 安全管理岗、信息安全归口部门 | 季度 | | AD-0021 | 关联类 | 同一数据集版本在短期内被三个以上账号集中下载 | 按数据集级别设定 | 二级 | 安全管理岗、数据治理办公室 | 季度 | 新纳管对象在积累两个月运行基线后启用阈值类规则；基线不足期间按行为模式类与关联类规则监控。 附表 3-3　安全事件分级与响应时限（模板） | 级别 | 判定情形 | 报告时限 | 响应时限 | 处置组织者 | 闭环要求 | |---|---|---|---|---|---| | 一级 | L4 或 L5 级数据外泄或疑似外泄；重要数据越权对外提供；审计日志被篡改或大面积缺失；数据集已对外发布后发现合规瑕疵 | 发现后一小时内 | 两小时内启动处置 | 信息安全归口部门负责人 | 止损完成并出具复盘报告，整改项明确责任与时限 | | 二级 | L3 级数据越权访问；权限配置错误导致超范围可见；导出件无水印流出；脱敏未执行即进入加工环境 | 发现后一小时内 | 当日内启动处置 | 安全管理岗 | 原因定位、配置纠正、影响范围核查完成 | | 三级 | 单次失败的越权尝试；日志字段缺失；审批单要素填写不全 | 当日登记 | 三个工作日内处理 | 发现方 | 登记并完成纠正 | 附表 3-4　月度安全检查表（模板） 检查项包含十二项：分级标记完整率；新增账号与角色的授权合规性；L4 与 L5 级权限的审批单齐备性；季度权限复核的执行情况；脱敏规则的实际执行比对；导出件水印抽样核查；审批范围与访问日志一致性抽查；日志完整率与缺失字段统计；审计告警的受理与闭环情况；受控区人员与终端清单的时效性；外部数据台账的许可有效期临期提醒处理情况；安全事件登记与闭环情况。每项填写检查结论、发现问题、整改要求与整改时限。 附表 3-5　安全考核指标表（模板） | 指标 | 计算口径 | 考核对象 | 周期 | 目标取向 | |---|---|---|---|---| | 分级标记完整率 | 已标记数据元数÷纳管数据元数 | 业务域数据归口部门 | 月 | 逐步接近全部，首月结果为基线 | | 审批要素完整率 | 要素齐备的审批单数÷审批单总数 | 申请部门 | 月 | 逐步接近全部 | | 日志完整率 | 要素齐备的日志条数÷日志总条数 | 我方项目组、平台运维岗 | 月 | 逐步接近全部 | | 抽样可追溯率 | 可完整还原的记录数÷抽样记录数 | 我方项目组 | 季 | 逐步接近全部，首次核验为基线 | | 权限复核完成率 | 已复核权限项数÷应复核权限项数 | 业务域数据归口部门 | 季 | 按期完成 | | 待回收权限清理时效 | 进入清单至回收完成的天数 | 业务域数据归口部门 | 季 | 不超过约定天数 | | 事件按时报告率 | 按时限报告的事件数÷事件总数 | 全部岗位 | 季 | 逐步接近全部 | | 一级事件复盘按时率 | 按期出具复盘报告数÷一级事件数 | 信息安全归口部门 | 半年 | 按期完成 | 附表 3-6　安全事件登记表（模板） 字段包含：事件编号、发现时间、发现方式、报告人岗位、事件级别、涉及数据对象与级别、涉及数据集版本与版本指纹、影响范围（账号数、记录数、是否已对外）、止损措施与完成时间、证据清单、原因分析结论（权限配置／流程执行／技术缺陷／人为违规四分类）、处置措施、权限回收与凭据失效记录、受众通知记录、闭环时间、复盘报告编号、条款修订建议。 #### 3.5 安全防护与审计要求的验证口径 本节把第四章与第五章的要求逐项给出判定方法、不合格处置与复核周期。等级保护测评与商用密码应用安全性评估（b1880）的取证可直接引用本表的记录。 表 A9-4a　安全防护与审计的验证口径 | 要求条款 | 要求内容 | 判定方法 | 不合格时的处置 | 复核周期 | |---|---|---|---|---| | 第四条 | 分级标记完整 | 统计纳管数据元的标记完整率 | 未标记对象按所属主题最高级别临时管控，三十日内完成标记 | 月 | | 第五条 | 数据集独立定级 | 抽取在产数据集版本，核查定级结论与审批记录 | 无定级结论的版本不予发布 | 按版本 | | 第六条 | 最小必要与期限管理 | 统计无期限非固有权限的数量 | 逐项整改为限期权限或并入固有权限 | 季度 | | 第七条 | L4、L5 进加工环境前完成脱敏 | 抽取加工批次，核对脱敏执行记录与效果评估 | 未脱敏批次撤出加工环境，重做入口处理 | 按批次 | | 第八条 | L3 及以上导出件带水印 | 抽取导出记录，核验导出件水印可读且可反查审批单 | 无水印导出件登记为安全事件，核查导出通道配置 | 月 | | 第九条 | 审批要素九项齐备 | 统计审批单要素齐备率 | 要素缺失不予授权；已授权的补齐或回收 | 月 | | 第十条 | 加工环境按级别分区 | 核对 L4、L5 加工任务的执行环境记录与受控区名单 | 在普通区完成的 L4、L5 加工批次在受控区重做 | 月 | | 第十一条 | 日志覆盖三部分 | 以平台三类操作各做验证性动作，核对日志是否生成 | 未生成的核查采集配置并限期修复 | 季度 | | 第十二条 | 日志要素齐备 | 统计日志完整率与缺失字段分布 | 完整率低于基线的限期补齐；缺失字段列入完善清单 | 月 | | 第十三条 | 审计分析规则运行 | 核查三类规则的命中与推送记录 | 规则未运行的核查配置；误报集中的进入阈值复核 | 月 | | 第十四条 | 抽样可追溯率达期段目标 | 按季抽样逐条还原六要素 | 未达目标的补齐日志字段与关联凭据，并对相应级别收紧授权方式至逐事项审批 | 季度 | | 第十五条 | 日志防篡改与职责分离 | 核验日志存储的写权限配置；核对运维账号的双权限情形 | 存在同一账号兼具两类写权限的，立即拆分 | 季度 | | 第十六条 | 事件报告时限 | 统计事件发现至报告的时长分布 | 超时的分析原因；隐瞒不报的从重处理 | 季度 | | 第十七条 | 事件处置层级正确 | 核对事件级别与实际组织者 | 层级不符的重新组织处置并复盘 | 按事件 | | 第十八条 | 一级二级事件按期复盘 | 核查复盘报告的出具时点与内容完整性 | 未出具的列为重大待整改项 | 半年 | | 第十九条 | 日常与专项检查执行 | 核查月度检查表与专项检查记录 | 未执行的在月度例会通报 | 月 | | 第二十二条 | 导入登记完整 | 抽取导入记录，核对登记要素与摘要核对结果 | 未登记导入的判定为违规操作并追溯来源 | 月 | | 第二十三条 | 导出清单齐备 | 抽取 L3 及以上导出记录，核对清单与审批单 | 清单缺失的补齐；无法补齐的登记为安全事件 | 月 | | 第二十五条 | 中间结果按期清理 | 统计超期未清理的中间结果数量与容量 | 超期的清理或按申请延长，延长须说明理由 | 月 | | 第二十六条 | 标注环境隔离有效 | 以标注账号尝试检索批次外样本，核对是否被拦截 | 未拦截的限期修复，期间暂停新批次指派 | 季度 | | 第二十九条 | 我方人员账号及时回收 | 核对离场记录与账号回收记录的时点 | 未当日回收的立即回收并说明原因 | 月 | 表中第十四条的处置是本办法明确的回退安排：追溯能力未达期段目标时，不以「继续改进」作结，而是先收紧授权方式——在日志不足以支撑追溯的期间，用更严的事前审批替代事后追溯，待日志补齐后恢复。 #### 3.6 异常与边界情形的处理 源系统日志不可得而审计要求须满足。本项目需接入的外围系统中，部分系统不具备细粒度操作日志或不开放日志接口。处理方式分三步：在诊断报告中列明缺口与影响；对经统一数据服务通道的访问由本项目侧完整记录，使「本项目对源数据的访问」可追溯；对源系统内部的直接操作，由源系统归口部门按其现行规定管理，本项目不代为记录也不承诺其可追溯性。这一边界在验收口径中写明，避免以「全链路可追溯」笼统表述而在验收时无法交付。 权限正确但行为异常。审计分析命中行为模式类规则而访问本身在授权范围内的情形（例如非工作时段的大批量查询），处理方式不是直接判定越权，而是由安全管理岗向所属部门核实业务背景：核实为正常业务的，记录核实结论并在规则中登记例外模式；核实为不当使用的，按授权用途偏离处理，收紧凭据范围。核实结论一律留痕，不作口头确认。 事件级别判断分歧。发现方与安全管理岗对事件级别判断不一致时，按较高级别先行处置，再由信息安全归口部门确认级别。先按高级别处置的代价是资源投入偏多，按低级别处置的代价是止损延迟，两者不对称，因此本办法选择前者。 日志量超出存储能力。L3 及以上级别的全操作日志量在数据集加工高峰期可能超出预估。处理方式有先后顺序：先压缩与分层存储，近期日志在线、历史日志转低成本存储但保持可检索；仍不足的，扩容；在扩容到位前不以缩减日志要素或降低覆盖范围作为应对，因为要素一旦缺失，该期间的追溯能力即不可恢复。容量不足的情形须登记并报信息安全归口部门。 安全措施影响生产作业。受控区的终端与人员限制可能影响现场作业效率，例如车间侧需要查阅 L5 级工艺参数时无法在现场终端操作。处理方式是按用途拆分：现场作业所需的是工艺卡片中的操作参数而非参数窗口的全貌，可将操作参数作为 L3 级对象单独提供，参数窗口仍按 L5 管控。这一拆分由业务域与信息安全共同确认，确认结论进入分级台账。 安全事件涉及我方项目组成员。此情形的处置与其他情形一致，不因涉及我方而降格：由招标方安全管理岗受理与定级，我方配合调查并提供账号、操作记录与人员信息；处置结果由我方按项目内部管理制度执行并向招标方书面说明。涉及人员的权限在调查期间暂停。 #### 3.7 典型安全事件的情景预案 第十六条与第十七条规定了分级与响应，本节给出典型情景的处置要点，作为值班与应急的操作依据。预案按本项目的实际风险点设定，项目期按发生情况补充。 情景一　L4 或 L5 级数据疑似外泄。触发信号通常是审计分析命中关联类规则（实际访问范围超出审批范围）或外部反馈。处置顺序为：暂停涉事账号与凭据；固定该账号近期的全部访问日志与导出清单；按水印反查已流出导出件的来源批次；评估外泄范围（记录数、字段、是否含个人信息或重要数据）；由招标方按法律法规判断是否履行通知与报告义务。定级为一级。关闭条件为外泄范围确定、流出件处置完毕、权限体系中同类风险点已收紧。 情景二　权限配置错误导致超范围可见。触发信号为用户反馈「看到了不该看的数据」或抽查发现。处置顺序为：立即收回错误配置；统计错误配置生效期间的实际访问记录，判断是否已被访问；已被访问的按越权访问处理并通知相关业务域；核查错误来源是审批错误、配置错误还是矩阵与策略不一致。定级为二级，已发生实际访问且涉及 L4 及以上的升为一级。 情景三　导出件无水印流出。触发信号为月度水印抽样核查不通过。处置顺序为：核查该导出通道的水印配置；统计同通道在配置失效期间的全部导出记录；对涉及 L3 及以上的导出件逐件联系接收方说明并要求按授权范围使用；修复配置后抽样验证。定级为二级。此情景的要点是统计失效期间的全部记录，而不只是处理被发现的那一件。 情景四　脱敏未执行即进入加工环境。触发信号为入口校验的脱敏标记校验被绕过或批次抽查发现。处置顺序为：暂停该批次的下游加工；撤出未脱敏数据并清理中间结果；核查脱敏任务配置与放行检查；重做入口处理后恢复加工；评估是否已有样本进入在产数据集版本，已进入的按数据集瑕疵处置。定级为二级，涉及个人信息的升为一级。 情景五　审计日志缺失或被篡改。触发信号为日志完整率骤降、日志连续性断裂或删除记录异常。处置顺序为：固定现场并保全剩余日志；核查日志采集链路与存储权限配置；核对是否存在未经双人审批的删除记录；对缺失期间的高级别数据访问以其他记录（审批单、任务记录、接口调用记录）交叉还原。定级为一级。本情景的预防措施是第十五条的职责分离要求。 情景六　外部调用方异常调用。触发信号为调用量骤增、非常规时段调用或超范围请求被频繁拒绝。处置顺序为：按配额限流或暂停凭据；核实调用方的业务背景；核实为系统缺陷导致重复调用的，协助其修正并恢复；核实为有意试探的，回收凭据并记入违约记录。定级为二级，涉及 L4 级数据的升为一级。 情景七　受控区违规操作。触发信号为受控区终端的外设使用尝试、名单外人员进入或终端异常外联。处置顺序为：暂停该终端与涉事账号；核查受控区名单与物理准入记录的一致性；核查是否有数据实际流出；按招标方相关规定处理。定级为一级。 情景八　平台遭受外部攻击或出现安全漏洞告警。处置按招标方现行信息安全应急预案执行，本办法的配合动作为：评估对数据的影响范围；暂停对外接口与下载通道；在恢复前不发布新的数据集版本。定级按招标方预案判定，本项目的数据影响评估结论一并纳入其事件记录。 八个情景的共同处置原则是第十六条规定的顺序——先止损与证据保全，再分析原因。实践中容易出现的偏差是先追问原因而迟于断开路径，结果在分析期间风险继续扩大。 #### 3.8 与本项目业务的结合点 本办法在本项目上有三处具体落点。 加工环境分区对应的是本项目数据的实际构成。63 万张历史工艺样本中，图纸与工艺卡片按分级标准多为 L3 级，可在内网加工区处理；而选型校核公式与修订参数、关键工艺的核心参数窗口为 L5 级，须在内网受控区处理。受控区的现实约束是人员与终端数量有限，因此本办法第十条要求的分区不是把全部数据搬进受控区，而是把 L5 级样本的加工任务单独排期、单独审批、单独记录，加工产物的流通范围在数据卡中声明。 隐式水印对本项目有特殊意义。本项目的数据集会进入运营与流通环节，一份数据集被授权给多个使用方后若出现未授权扩散，隐式水印是判断来源批次的依据。因此本办法第八条把 L3 级作为水印起点，而不是只对 L4 与 L5 级要求水印——制造过程与质量域的数据集大量处于 L3 级，恰恰是流通中最常被申请的部分。 审计日志的覆盖边界与招标方的系统现状直接相关。本项目需接入的外围应用系统包含制造执行、产品生命周期管理、企业资源计划、质量管理、仓储管理、热处理群控等多个系统（b0804r02），各系统的日志能力参差不齐。本办法第十一条写明的责任边界——本项目不替源系统补建其内部审计能力——是为了避免验收时对审计完整性的理解分歧；可获取的源系统日志通过接口采集并在审计分析中合并，不可获取的在诊断报告中列为缺口并提出改造建议。 #### 3.9 评审与修订 本办法由信息安全归口部门起草，法务、九个业务域数据归口部门、平台运维岗会签，经数据治理办公室审核、数据治理委员会审议通过后发布。首版发布节点与《数据安全分级标准》《数据权限管理规范》同期，三份文档一并评审，避免分级口径与管控策略在评审中被分别修改而失去对应关系。 定期复核每年一次。等级保护 2.0 测评或商用密码应用安全性评估提出整改要求时即时复核（b1880），复核范围限于被提出整改的条款及其引用方。审计分析规则的阈值按附表 3-2 的复核周期单独调整，阈值调整不构成本办法的版本变更，但须在规则登记表中留记录。 修订通知的同步范围包含三类：引用本办法的其余八份治理文档；平台的权限、脱敏、水印、日志与告警配置项；相关岗位的培训材料。修订涉及日志要素增减时，平台侧的配置变更与历史日志的兼容处理方式在通知中一并写明——新增必填要素对历史日志不追溯补填，但统计口径中须区分新旧要素的生效区间，否则日志完整率的月度曲线会出现无法解释的跳变。 ### 四、《数据安全分级标准》V1.0 样章 本节回应招标文件数据安全规划要求第（1）项中按 L1 公开、L2 内部、L3 重要、L4 敏感、L5 机密五个层级制定数据安全分级标准的要求（b1301、b1302、b1303）与第（4）项输出要求（b1308、b1309）。 #### 4.1 文件标识与适用范围 表 A9-5　《数据安全分级标准》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 数据安全分级标准 | | 文件编号 | GHY26691-GV-07-0003-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 正文内部；附录 A 分级实例清单与附录 C 敏感特征词表分册管理，发放范围单独审批 | | 编制依据 | GB/T 43697—2024《数据安全技术 数据分类分级规则》；GB/T 38667—2020《信息技术 大数据 数据分类指南》；GB/T 35273—2020《信息安全技术 个人信息安全规范》；《中华人民共和国数据安全法》；煤机装备行业技术数据与设备参数保密管理相关行业指引（b1908）；招标方现行保密制度【待填：现行保密制度名称与文号】 | | 适用范围 | 适用于本项目纳管范围内 9 个业务域（b1336）数据的分类与分级，包含结构化业务数据、文档、图纸、时序数据与图像五类形态；适用于四类数据集及其用途子集的独立定级；分级结论用于权限管控、脱敏、水印、审计、流通与退役各环节的策略取值 | | 不适用情形 | 不适用于招标方对纸质档案的密级管理，纸质档案密级按招标方档案与保密制度执行；本标准与档案密级的对应关系见附录 D | | 生效条件 | 经九个业务域数据归口部门业务评审、数据治理委员会审议通过，由招标方正式发文后生效 | | 失效条件 | 被新版本替代；所依据的分类分级国家标准被替代且判定框架发生实质变化 | | 归口部门 | 【待填：信息安全归口部门】 | | 复核周期 | 每半年一次；业务范围或数据构成发生较大变化时即时复核 | | 配套表单 | 附录 A 至附录 E（见本节 4.4） | #### 4.2 章节结构 1　范围 2　规范性引用文件 3　术语和定义 3.1 数据分类 3.2 数据分级 3.3 数据元 3.4 数据主题 3.5 聚合敏感度 3.6 衍生数据 4　分类框架 4.1 分类维度与层级 4.2 业务域划分 4.3 数据主题划分 4.4 分类编码规则 5　分级框架 5.1 五级定义 5.2 判定要素 5.3 判定依据与影响对象 5.4 分级与其他标尺的对应 6　判定规则 6.1 基本判定规则 6.2 聚合敏感度升级规则 6.3 衍生数据的级别传递规则 6.4 脱敏后降级规则 6.5 冲突裁决规则 7　分级作业 7.1 作业流程与五个步骤 7.2 定级输入的两个来源 7.3 审批层级 7.4 标记的落地位置 7.5 复核与复评 8　分级标签的字段定义 8.1 字段清单与取值域 8.2 校验规则 8.3 与数据资源目录、数据卡的一致性要求 9　分级结论的使用 9.1 作为管控策略取值 9.2 作为数据集定级输入 9.3 作为退役处置判定输入 附录 A　分级实例清单（规范性） 附录 B　聚合升级判定示例（资料性） 附录 C　敏感特征词与格式特征表（规范性） 附录 D　与招标方现行密级的对应关系（规范性） 附录 E　分级申请与审批单模板（规范性） #### 4.3 关键条款 4.1.1　本标准规定本项目纳管数据的分类维度、五级分级框架、判定规则、分级作业流程与分级标签的字段定义，适用于数据元、数据主题、数据集三个粒度的定级。 4.2.1　业务域的划分不随本标准修订。数据主题的增设由业务域数据归口部门提出，数据治理办公室确认后登记，并同步至分类编码与数据资源目录。数据主题的合并与废止同样走确认流程，废止的主题编码不再复用。 4.4.1　分类按「业务域＋数据主题」二维组织。第一维为 9 个业务域：人力资源、研发设计、生产制造、仓储物流、财务管理、设备管理、采购管理、营销管理、质量管理（b1336）。第二维为业务域下的数据主题，例如生产制造域下设工单与报工、工艺执行、热处理炉次、焊接过程、设备运行五个主题。分类的粒度到数据主题，分级的粒度到数据元；数据集作为独立对象单独定级。 4.4.4　分类编码为三段式：业务域码两位、数据主题码两位、数据元序号四位。业务域码与本项目文档编号规则中的业务域码取值一致，口径以数据治理段的 9 个业务域划分为准，本标准不另行定义业务域。 5.1.1　数据按泄露、篡改、滥用或不可用后对招标方、行业运行、个人权益造成的影响程度，划分为五级。 L1 公开：已对外发布或可对外发布，泄露不产生实质影响。 L2 内部：仅限内部使用，泄露对内部管理秩序产生有限影响。 L3 重要：关系生产经营与行业运行，泄露使技术与经营优势受损，可能影响行业数据安全。 L4 敏感：含个人信息、客户敏感信息或敏感地理信息，泄露侵害个人权益或客户利益，可能触及地理信息安全。 L5 机密：核心技术秘密与重大商业秘密，泄露后果严重，可能造成重大经济损失与核心竞争力受损。 5.2.1　定级的判定要素为四项：影响对象（招标方、客户、个人、行业）、影响类型（经济利益、技术优势、生产安全、个人权益、行业秩序）、影响程度（轻微、有限、较大、严重）、可恢复性（可恢复、部分可恢复、不可恢复）。四项要素中影响程度为主导要素，其余三项用于在相邻两级之间作出区分。 6.1.1　同一数据元在不同业务场景下的级别应一致；场景差异导致判定分歧的，按较高级别定级，并在分级台账中记录分歧情形与裁决依据。 6.1.2　无法明确判定的数据元，在完成定级前按其所属数据主题的最高级别临时管控，临时管控期不超过三十日。 6.1.3　同一数据元在不同源系统中存在的，按同一级别管控，不因所在系统不同而分别定级。源系统的物理保护能力不足导致实际保护水平低于级别要求的，在诊断报告中列为缺口并提出改造建议，不以降低定级来适配现状。 6.2.1　数据集或数据集合的级别不等于其成分数据元级别的最大值。当数据聚合后反映出单条数据不具备的规律、窗口或全貌时，按聚合后的实际敏感度定级，定级可高于成分最大值。 6.2.2　触发聚合敏感度升级判定的情形列四类：同一产品或同一产品线的全工序工艺数据聚合；同一设备类型或同一炉型的全周期过程参数聚合；同一客户或同一矿区的全量作业参数聚合；同一期间的全量成本与报价数据聚合。命中上述情形的数据集，其定级须经业务域数据归口部门与信息安全归口部门共同审批。 6.2.3　聚合升级的判定在数据集加工计划阶段进行，不留到发布前。判定时点前置的理由是加工环境与人员范围须按级别提前安排：若在发布前才判定为 L5，加工已在普通加工区完成，该批次须在受控区重做。 6.3.1　衍生数据的级别原则上继承其输入数据的最高级别。输入经不可逆变换且变换后不再反映原始敏感内容的，可按 6.4 条申请降级。 6.4.1　脱敏后降级须同时满足三个条件：脱敏为不可逆变换；脱敏效果经评估且评估结论为达到预期去标识水平，评估方法依据 GB/T 42460—2023；降级后的数据不与其他数据组合即可重新识别。三个条件缺一不予降级。 6.4.2　降级幅度一般不超过一级。L5 级数据经脱敏后不直接降至 L3 级及以下，须经两次独立评估并由数据治理委员会确认。 6.5.1　业务域数据归口部门与信息安全归口部门对同一对象的定级结论不一致时，由数据治理办公室组织协调；协调两次未果的提交数据治理委员会裁决。裁决期间按较高级别管控。 7.1.1　分级作业按识别、定级、审批、标记、复核五步执行。识别步骤产出待定级对象清单；定级步骤由业务域数据归口部门填写定级意见；审批步骤按级别对应的审批层级完成；标记步骤把结论写入分级标签并同步至数据资源目录与平台策略；复核步骤核查标记完整性与一致性。 7.2.1　定级的输入有两个来源。第一来源是业务判断：由业务域数据归口部门依据本标准第 5 章与附录 A 给出意见。第二来源是机器预判：按附录 C 的敏感特征词与格式特征扫描字段名与取值样本，输出候选级别与置信提示。两个来源不一致时以业务判断为准，但须在台账中记录机器预判结论，用于后续改进特征表。 7.3.1　审批层级按级别设定：L1 与 L2 级由业务域数据归口部门确认；L3 级由业务域数据归口部门确认并报安全管理岗备案；L4 级由业务域数据归口部门与信息安全归口部门会签；L5 级在会签基础上报数据治理委员会审定。 7.4.1　分级标签的落地位置有四处，四处须一致：数据资源目录中的数据元条目；元数据管理中的技术元数据属性；平台的权限与脱敏策略配置项；数据集的数据卡安全与合规分区。四处不一致时以分级台账为准，并在五个工作日内同步更正。 7.4.2　标记落地的核对按月执行，核对方式为四处取值的交叉比对。比对不一致的生成待处理清单，由对应业务域数据归口部门在五个工作日内更正。连续两个月出现同一对象不一致的，核查是哪一处的更新流程存在缺口，而不是反复更正取值。 7.5.1　分级结论每半年复核一次，复核内容为标记完整率与四处一致性。下列情形触发即时复评：数据内容构成发生变化；业务用途发生变化；相关法律法规或国家标准对该类数据的定级要求发生变化；发生与该数据相关的安全事件；聚合范围扩大触发 6.2.2 条的判定情形。 7.5.2　即时复评的发起主体为三类：业务域数据归口部门发现业务用途变化时发起；安全管理岗在安全事件分析中发现定级不当时发起；我方项目组在数据集加工中发现聚合范围扩大时发起。复评期间该对象按原级别与新建议级别中的较高者管控。 8.1.1　分级标签的字段定义见表 A9-6，字段的必填性与取值域为正式口径，平台侧按此实现校验。 8.2.1　分级标签的校验规则在平台落地为三类：必填性校验，缺失字段不允许保存；一致性校验，升级标记为是而升级情形为空的不允许保存；时效性校验，状态为临时且超过三十日的生成逾期提醒。校验不通过项进入待处理清单并计入月度标记完整率统计。 8.3.1　分级标签与数据资源目录、数据卡的一致性按月校验，校验不通过项生成待处理清单。标记完整率与一致率按月统计，纳入《数据安全管理办法》附表 3-5 的考核指标。 9.1.1　分级结论是管控策略的取值来源。权限授予方式、查询展示方式、导出与接口调用的条件、加工环境、脱敏与水印要求、审计留痕与留存期限，均按《数据权限管理规范》附录 B 的矩阵按级别取值，不另行约定。 9.2.1　数据集定级结论写入数据卡的安全与合规分区，内容包含级别、定级依据、是否聚合升级、流通范围声明与脱敏说明。数据集版本发布前核对数据卡级别与分级台账一致，不一致不予发布。 9.3.1　退役处置的审批层级与销毁方式按级别确定，取值见《数据退役管理规范》。级别为 L4 与 L5 的对象，其销毁须由安全管理岗监督并出具销毁证明。 #### 4.4 附表与附录 表 A9-6　分级标签字段定义（标准正文第 8 章附表） | 字段 | 含义 | 类型 | 必填 | 取值域 | 校验规则 | |---|---|---|---|---|---| | 对象标识 | 被定级对象的唯一标识 | 文本 | 是 | 数据元编码、数据主题编码或数据集版本标识 | 须存在于数据资源目录或数据集台账 | | 对象粒度 | 定级对象的粒度 | 枚举 | 是 | 数据元／数据主题／数据集 | — | | 业务域码 | 所属业务域 | 枚举 | 是 | 9 个业务域对应码值 | 与数据资源目录一致 | | 数据主题码 | 所属数据主题 | 枚举 | 是 | 按附录 A 主题表取值 | 与业务域码组合须存在 | | 安全级别 | 分级结论 | 枚举 | 是 | L1／L2／L3／L4／L5 | — | | 判定要素 | 四项判定要素的取值 | 结构 | 是 | 影响对象、影响类型、影响程度、可恢复性各取枚举值 | 四项齐备 | | 判定依据 | 定级理由的文字说明 | 文本 | 是 | 不少于二十字，须指向具体影响 | 不接受「按规定」一类表述 | | 升级标记 | 是否因聚合而升级 | 布尔 | 是 | 是／否 | 为「是」时须填升级情形与审批单号 | | 升级情形 | 触发升级的情形 | 枚举 | 条件必填 | 6.2.2 条四类情形之一 | 升级标记为「是」时必填 | | 脱敏降级标记 | 是否为脱敏后降级结论 | 布尔 | 是 | 是／否 | 为「是」时须填评估报告编号 | | 机器预判级别 | 预判结论 | 枚举 | 否 | L1 至 L5 或空 | 与安全级别不一致时须填差异说明 | | 差异说明 | 预判与结论不一致的理由 | 文本 | 条件必填 | — | 两者不一致时必填 | | 确认部门 | 出具定级意见的部门 | 文本 | 是 | 引用组织目录 | — | | 审批单号 | 对应的分级审批单 | 文本 | 条件必填 | — | L4、L5 与升级结论必填 | | 生效日期 | 分级结论生效日期 | 日期 | 是 | — | 不早于审批日期 | | 复核时点 | 下次复核时点 | 日期 | 是 | — | 默认生效日期后六个月 | | 状态 | 标签状态 | 枚举 | 是 | 临时／生效／待复评／已废止 | 临时状态存续不超过三十日 | 附录 A　分级实例清单（节选，规范性） 分级标准若只给级别定义不给实例，分级作业在现场会停在「这个到底算几级」的争论上。本附录按业务域逐条列出实例，项目期按纳管范围滚动补充。 | 业务域 | 数据主题 | 数据对象实例 | 级别 | 判定依据 | |---|---|---|---|---| | 研发设计 | 产品图纸 | 刮板输送机溜槽、链轮、减速器零部件图纸（单张） | L3 | 反映产品结构与制造要求，泄露损及技术优势 | | 研发设计 | 产品图纸 | 某一机型全套图纸与物料清单的完整集合 | L5 | 聚合后构成整机可复制的技术方案 | | 研发设计 | 选型校核 | 选型校核公式与修订参数 | L5 | 核心技术秘密，不可恢复 | | 研发设计 | 技术标准 | 已发布的企业标准中可公开部分 | L1 | 已对外发布 | | 生产制造 | 工艺执行 | 单道备料工序的工艺卡片 | L3 | 反映工艺要求 | | 生产制造 | 工艺执行 | 某产品 28 道备料工序工艺卡片全集 | L5 | 聚合后反映完整工艺路线与参数窗口 | | 生产制造 | 热处理炉次 | 单炉次温度曲线 | L2 | 单炉次不反映工艺窗口 | | 生产制造 | 热处理炉次 | 某炉型全部炉次温度曲线集合 | L5 | 聚合后反映关键热处理参数窗口 | | 生产制造 | 焊接过程 | 单焊道电流电压与焊接速度记录 | L2 | 单条记录信息量有限 | | 生产制造 | 焊接过程 | 关键焊缝的焊接工艺规程与参数窗口 | L5 | 核心工艺秘密 | | 生产制造 | 工单与报工 | 工单、报工记录、班组排班 | L2 | 内部管理信息 | | 质量管理 | 检验记录 | 一般零部件入厂检验记录 | L2 | 常规记录 | | 质量管理 | 检验记录 | 质量缺陷统计与不合格品分布 | L3 | 反映制造能力短板 | | 质量管理 | 无损检测 | 焊缝超声与射线检测结果及评定等级 | L3 | 关系产品安全性能 | | 设备管理 | 设备台账 | 设备台账与维修记录 | L2 | 内部管理信息 | | 设备管理 | 设备运行 | 在役装备测点时序数据（含客户现场标识） | L4 | 含客户现场信息 | | 采购管理 | 采购价格 | 单项物料采购价格 | L3 | 关系经营优势 | | 采购管理 | 采购价格 | 某期间全量采购价格与成本构成 | L5 | 聚合后构成成本底牌 | | 营销管理 | 客户信息 | 矿方客户联系人姓名与联系方式 | L4 | 含个人信息 | | 营销管理 | 项目信息 | 矿井位置与工作面地质条件参数 | L4 | 敏感地理信息与客户生产安全信息 | | 营销管理 | 报价 | 重大项目报价与合同关键条款 | L5 | 重大商业秘密 | | 人力资源 | 人员信息 | 在职人员身份信息与薪酬 | L4 | 个人信息 | | 人力资源 | 技能 | 岗位技能矩阵（去个人标识后） | L2 | 去标识后为内部管理信息 | | 仓储物流 | 库存 | 通用耗材库存 | L2 | 内部管理信息 | | 仓储物流 | 库存 | 关键备件库存与周转（按产线聚合） | L3 | 反映产能与交付能力 | | 财务管理 | 成本 | 产品单位成本与工时定额 | L3 | 关系经营优势 | | 财务管理 | 报表 | 已对外披露的财务数据 | L1 | 已对外发布 | 附录 B　聚合升级判定示例（资料性） 示例一：预训练数据集中的制造过程子集。该子集按业务范围要求覆盖工艺执行、热处理、焊接三个数据主题，样本来自 63 万张历史工艺样本中的工艺卡片与过程参数记录。成分数据元的最高级别为 L3（工艺卡片），但子集按产品线组织，事实上构成某产品线的完整工艺路线，命中 6.2.2 条第一类情形，定级为 L5。处理方式是该子集的加工在内网受控区完成，对外流通版本须经抽样与参数区间化处理后重新定级。 示例二：指令微调数据集中的质量子集。样本由检验记录与缺陷判定构成，成分最高级别为 L3，但样本经改写为指令与回答形式后不再保留产品型号与批次标识，不构成缺陷分布的可还原视图，不命中升级情形，维持 L3。 示例三：设备运维场景的时序样本。成分数据含在役装备测点数据（L4，含客户现场标识）。经客户与矿井标识代号替换、地理参数区间化后，按 6.4.1 条申请降级，评估通过后定为 L3。映射表保留在受控区并按 L4 管控。 附录 C　敏感特征词与格式特征表（节选，规范性） | 特征类型 | 特征表达 | 候选级别 | 适用范围 | |---|---|---|---| | 字段名关键词 | 身份证、证件号、手机、联系电话、家庭住址、银行账号、薪酬、工资 | L4 | 人力资源、营销管理 | | 字段名关键词 | 经度、纬度、坐标、矿井、工作面、倾角、煤层厚度 | L4 | 营销管理、设备管理 | | 字段名关键词 | 校核系数、修订参数、许用值、参数窗口 | L5 | 研发设计、生产制造 | | 字段名关键词 | 报价、成本构成、毛利、折扣 | L5 | 财务管理、营销管理、采购管理 | | 取值格式 | 十八位身份证号格式 | L4 | 全域 | | 取值格式 | 十一位手机号格式 | L4 | 全域 | | 取值格式 | 经纬度数值对且位于矿区范围 | L4 | 全域 | | 文档特征 | 文档页眉或标题栏含「机密」「绝密」「内部」标识 | 按标识取较高级别 | 文档与图纸类 | | 图纸特征 | 标题栏中的图号属关键机型图号段 | L3，全套聚合时按 L5 | 研发设计 | 特征表的维护方式是只增不删：发现漏判后把新特征补入表中，并对同源历史批次重新扫描；特征导致误判较多的，不删除特征而是增加适用范围限定，避免同一特征在别处失效。 附录 D　与招标方现行密级的对应关系（规范性） | 本标准级别 | 招标方现行密级 | 对应说明 | |---|---|---| | L1 | 公开 | 一致 | | L2 | 内部 | 一致 | | L3 | 内部或商密【待填：以招标方现行密级设置为准】 | 需在业务评审时确认对应关系 | | L4 | 商密 | 个人信息部分另按个人信息保护要求管理 | | L5 | 核心商密【待填：招标方核心商密的认定程序】 | 认定程序以招标方保密制度为准 | 本附录的取值须在首版业务评审时与招标方保密归口部门逐行确认。对应关系未确认前，数据的纸质载体按招标方现行密级管理，电子载体按本标准级别管理，两套标识并行但不互相覆盖。 附录 E　分级申请与审批单模板（规范性） 字段包含：申请单号、申请部门、对象标识与名称、对象粒度、建议级别、判定要素四项取值、判定依据说明、是否涉及聚合升级与升级情形、是否为脱敏降级申请与评估报告编号、机器预判结论、业务域归口意见与日期、信息安全归口意见与日期、委员会审定意见与日期、生效日期、标记落地确认（四处逐项打勾）、归档编号。 图 A9-3　分级标签从数据元到数据集的传递与聚合升级裁决 数据元定级 业务判断 ＋ 机器预判 粒度：字段 数据主题归并 取主题内最高级别 粒度：主题 标签 数据集候选级别 成分最高级别作为下限 粒度：数据集版本 聚合升级判定（四类情形：全工序工艺／全周期参数／全量作业／全量成本） 命中任一情形 → 级别可高于成分最高级别 候选级别送判 脱敏后降级申请 三条件齐备，幅度一级 审批：L4 会签　｜　L5 与升级结论报委员会审定 分歧按较高级别管控，裁决后更正 标记落地四处（须一致，不一致以分级台账为准并在五个工作日内更正） 数据资源目录条目　｜　技术元数据属性　｜　平台权限与脱敏策略配置　｜　数据卡安全与合规分区 图 A9-3　数据来源：招标文件第五章 3.2.6.1.1.2.7 第（1）项（b1301 至 b1303）；聚合升级四类情形取本标准 6.2.2 条，标记落地四处取 7.4.1 条。 #### 4.5 数据对象定级与管控明细表 分级标准能否执行，取决于它有没有把本企业的数据对象逐类列到纸面上。本节是本标准附录 A 的主表，项目期按纳管范围滚动补充；表中「定级责任角色」一列指出具意见的岗位，「可流通范围」一列直接决定该对象能否进入对外交付的数据集。 表 A9-6a　数据对象定级与管控明细表（节选，按业务域排列） | 序号 | 业务域 | 数据对象 | 关键字段 | 级别 | 定级依据 | 定级责任角色 | 脱敏要求 | 可流通范围 | 留存期限 | |---|---|---|---|---|---|---|---|---|---| | 1 | 研发设计 | 零部件图纸（溜槽、链轮、减速器壳体等单张图） | 图号、版本、材质牌号、尺寸与公差、表面结构、热处理要求 | L3 | 反映零部件结构与制造要求 | 研发设计数据归口岗 | 图号与项目标识代号化 | 可进入内部数据集；对外交付需抽样并去项目标识 | 产品停产后不少于约定年限 | | 2 | 研发设计 | 某机型全套图纸与物料清单 | 图号全集、装配关系、物料层级 | L5（聚合升级） | 聚合后构成整机可复制技术方案 | 研发设计数据归口岗会签信息安全 | 不对外提供原件 | 不进入对外流通数据集 | 长期 | | 3 | 研发设计 | 选型校核公式与修订参数 | 公式、系数、许用值、适用工况边界 | L5 | 核心技术秘密，不可复建 | 研发设计归口部门负责人 | 不脱敏即不出受控区 | 不流通；衍生样本须经两次评估 | 长期 | | 4 | 研发设计 | 矿用产品安全标志证书（安标证书） | 证书编号、产品名称型号、有效期、发证机构、覆盖规格范围 | L2 | 证书本身可对外出示，属资质类信息 | 质量管理数据归口岗 | 无 | 可流通；型号与规格范围如实保留 | 证书失效后不少于约定年限 | | 5 | 研发设计 | 防爆合格证及其技术附件 | 证书编号、防爆标志、适用环境、关键结构参数 | 证书 L2；技术附件 L3 | 证书可出示；附件含关键结构参数 | 质量管理数据归口岗会签研发设计 | 技术附件中的结构参数区间化 | 证书可流通；附件按 L3 条件流通 | 同上 | | 6 | 研发设计 | 技术标准与企业标准 | 标准号、名称、适用范围、技术指标 | 已发布部分 L1；未发布稿 L3 | 以发布状态区分 | 研发设计数据归口岗 | 无 | 已发布部分可流通 | 长期 | | 7 | 研发设计 | 试制与型式试验记录 | 试件编号、试验项目、加载条件、结果、判定 | L3 | 反映产品性能验证过程 | 研发设计数据归口岗 | 试件与项目标识代号化 | 可流通；不含未公开的性能上限 | 不少于产品寿命周期 | | 8 | 生产制造 | 备料工序工艺卡片（单道） | 工序号、设备、工装、参数窗口、检验要求 | L3 | 反映单道工序工艺要求 | 生产制造数据归口岗 | 参数窗口按用途判定是否区间化 | 可进入内部数据集；对外按抽样流通 | 不少于约定年限 | | 9 | 生产制造 | 某产品 28 道备料工序工艺卡片全集 | 全工序工艺路线与参数窗口 | L5（聚合升级） | 聚合后反映完整工艺路线 | 生产制造归口部门负责人会签信息安全 | 参数窗口区间化后方可衍生 | 不进入对外流通数据集 | 长期 | | 10 | 生产制造 | 热处理炉次记录（单炉次） | 炉号、炉次号、装炉件、升温曲线、保温时段、冷却方式 | L2 | 单炉次不反映工艺窗口 | 生产制造数据归口岗 | 无 | 可流通 | 不少于约定年限 | | 11 | 生产制造 | 某炉型全部炉次温度曲线集合 | 全炉次曲线、工艺窗口统计 | L5（聚合升级） | 聚合后反映关键热处理参数窗口 | 生产制造归口部门负责人会签信息安全 | 温度与时间区间化 | 不流通原始集合；可流通区间化衍生集 | 长期 | | 12 | 生产制造 | 焊接过程参数（单焊道） | 焊道号、焊接方法、电流、电压、速度、气体成分、层间温度 | L2 | 单焊道信息量有限 | 生产制造数据归口岗 | 无 | 可流通 | 不少于约定年限 | | 13 | 生产制造 | 关键焊缝焊接工艺规程与参数窗口 | 坡口形式、层道布置、参数窗口、预热与后热 | L5 | 核心工艺秘密 | 生产制造归口部门负责人 | 参数窗口区间化 | 不流通原件 | 长期 | | 14 | 生产制造 | 工单与报工记录 | 工单号、工序、班组、开工与完工时点、数量、工时 | L2 | 内部管理信息 | 生产制造数据归口岗 | 班组与人员标识代号化 | 可流通（代号化后） | 不少于约定年限 | | 15 | 生产制造 | 产能与工时定额 | 产线、机型、节拍、定额工时 | L3 | 反映交付能力 | 生产制造数据归口岗 | 定额数值区间化 | 按 L3 条件流通 | 不少于约定年限 | | 16 | 质量管理 | 一般零部件入厂检验记录 | 批次、检验项、实测值、判定 | L2 | 常规记录 | 质量管理数据归口岗 | 供方名称代号化 | 可流通（代号化后） | 不少于约定年限 | | 17 | 质量管理 | 焊缝无损检测结果（超声、射线） | 焊缝编号、检测方法、检测等级、缺陷类型与尺寸、评定等级 | L3 | 关系产品安全性能 | 质量管理数据归口岗 | 工件与项目标识代号化 | 可流通（代号化后） | 不少于产品寿命周期 | | 18 | 质量管理 | 材料力学性能与硬度检测数据 | 试样编号、牌号、抗拉强度、屈服强度、延伸率、硬度 | L2 | 以标准方法测得的通用性能数据 | 质量管理数据归口岗 | 供方与炉批号代号化 | 可流通（代号化后） | 不少于约定年限 | | 19 | 质量管理 | 质量缺陷统计与不合格品分布 | 期间、机型、工序、缺陷类型、数量、责任归属 | L3 | 反映制造能力短板 | 质量管理归口部门负责人 | 责任归属与班组信息去除 | 按 L3 条件流通 | 不少于约定年限 | | 20 | 质量管理 | 顾客投诉与三包索赔记录 | 客户、机型、故障现象、责任判定、处理费用 | L4 | 含客户信息与商务信息 | 质量管理归口岗会签营销管理 | 客户代号化、费用区间化 | 代号化后按 L3 条件流通 | 不少于约定年限 | | 21 | 设备管理 | 设备台账与维修记录 | 设备编号、型号、位置、维修项、备件、停机时长 | L2 | 内部管理信息 | 设备管理数据归口岗 | 无 | 可流通 | 设备报废后不少于约定年限 | | 22 | 设备管理 | 在役装备现场测点时序数据 | 测点、采样时点、电流、振动、温度、运行工况、矿方标识 | L4 | 含客户现场信息 | 设备管理归口岗会签营销管理 | 矿方与矿井标识代号化、工况参数区间化 | 代号化并区间化后按 L3 条件流通 | 按合同约定 | | 23 | 设备管理 | 设备点检与润滑记录 | 设备、点检项、点检人、结论 | L2 | 内部管理信息 | 设备管理数据归口岗 | 点检人代号化 | 可流通（代号化后） | 不少于约定年限 | | 24 | 采购管理 | 单项物料采购价格与供方报价 | 物料编码、供方、单价、数量、账期 | L3 | 关系经营优势 | 采购管理数据归口岗 | 供方代号化、单价区间化 | 区间化后按 L3 条件流通 | 不少于约定年限 | | 25 | 采购管理 | 某期间全量采购价格与成本构成 | 全物料价格、成本结构、供方份额 | L5（聚合升级） | 聚合后构成成本底牌 | 采购管理归口部门负责人 | 不对外 | 不流通 | 长期 | | 26 | 采购管理 | 供方材料质保书与第三方检测报告 | 供方、炉批号、牌号、化学成分、力学性能、检测机构 | L3 | 含供方信息与第三方成果 | 采购管理归口岗会签质量管理 | 供方与检测机构代号化 | 取得供方使用确认后方可流通 | 不少于产品寿命周期 | | 27 | 仓储物流 | 通用耗材库存 | 物料、库位、数量、周转 | L2 | 内部管理信息 | 仓储物流数据归口岗 | 无 | 可流通 | 不少于约定年限 | | 28 | 仓储物流 | 关键备件库存与周转（按产线聚合） | 产线、关键备件、库存、周转率、缺件记录 | L3 | 反映产能与交付能力 | 仓储物流数据归口岗 | 数量区间化 | 区间化后按 L3 条件流通 | 不少于约定年限 | | 29 | 营销管理 | 客户联系人信息 | 姓名、职务、电话、邮箱、所属单位 | L4 | 含个人信息 | 营销管理归口岗会签信息安全 | 去标识化，不进入数据集 | 不流通 | 合作关系终止后按约定处置 | | 30 | 营销管理 | 矿井位置与工作面地质条件参数 | 矿区、矿井、工作面、煤层厚度、倾角、顶底板条件、瓦斯等级 | L4 | 敏感地理信息与客户生产安全信息 | 营销管理归口岗会签信息安全 | 代号替换并区间化，映射表单独存放 | 区间化后按 L3 条件流通 | 按合同约定 | | 31 | 营销管理 | 重大项目报价与合同关键条款 | 项目、机型配置、报价、折扣、付款与质保条款 | L5 | 重大商业秘密 | 营销管理归口部门负责人 | 不对外 | 不流通 | 长期 | | 32 | 营销管理 | 选型方案与配置清单 | 工况输入、机型配置、选型结论 | L3；含校核过程的为 L5 | 以是否含校核过程区分 | 营销管理归口岗会签研发设计 | 工况参数区间化 | L3 部分区间化后可流通 | 不少于约定年限 | | 33 | 人力资源 | 在职人员身份与薪酬信息 | 姓名、证件号、岗位、薪酬、社保 | L4 | 个人信息 | 人力资源归口岗会签信息安全 | 去标识化后方可进入加工环境 | 不流通 | 按法律法规要求 | | 34 | 人力资源 | 岗位技能矩阵与资格证书（去个人标识后） | 岗位、技能项、等级、证书类别与有效期 | L2 | 去标识后为内部管理信息 | 人力资源数据归口岗 | 人员标识代号化 | 可流通（代号化后） | 不少于约定年限 | | 35 | 人力资源 | 培训与考核记录 | 人员代号、课程、成绩、考核结论 | L2 | 去标识后为内部管理信息 | 人力资源数据归口岗 | 人员标识代号化 | 可流通（代号化后） | 不少于约定年限 | | 36 | 财务管理 | 产品单位成本与工时定额 | 机型、料工费构成、单位成本 | L3 | 关系经营优势 | 财务管理数据归口岗 | 成本数值区间化 | 区间化后按 L3 条件流通 | 不少于约定年限 | | 37 | 财务管理 | 已对外披露的财务数据 | 披露口径的财务指标 | L1 | 已对外发布 | 财务管理数据归口岗 | 无 | 可流通 | 长期 | | 38 | 跨域 | 管理制度与标准文件台账 | 文号、版本、生效区间、密级、责任部门 | L2 | 内部管理信息 | 数据治理办公室 | 无 | 可流通 | 长期 | | 39 | 跨域 | 数据集版本及其数据卡 | 数据集标识、版本、指纹、分级结论、流通范围 | 随数据集定级 | 按聚合后敏感度单独定级 | 数据治理办公室会签信息安全 | 按数据集定级结论 | 按数据卡声明 | 按资产台账 | | 40 | 跨域 | 审计日志与审批记录 | 操作主体、时间、对象、结果、审批单号 | L3 | 含访问行为与授权信息 | 信息安全归口部门 | 不脱敏，访问逐事项审批 | 不流通 | 不低于法规最低期限 | 表中「留存期限」一列的具体年限须按法规、合同与招标方档案管理要求确认，本表以「不少于约定年限」标注待确认项，确认结果填入后随本标准 V1.1 发布（待补材料清单第 11 项）。 安标证书与防爆合格证两类对象的定级值得单独说明。证书本身是对外出示的资质文件，定为 L2，对外交付的数据集中保留其编号、型号与覆盖规格范围是必要的——缺少这些字段，设备选型与合规问答类场景的样本就失去事实锚点。但防爆合格证的技术附件含关键结构参数（隔爆面间隙、接合面长度等），这部分定为 L3 并要求区间化。两者分开定级而不按一份文件取最高级别，是为了避免因附件的级别而把可流通的证书信息一并锁住。 #### 4.6 分级作业各项要求的验证口径 只写要求不写验证方法，要求就落不了地。本节把本标准第 7 章与第 8 章的要求逐项给出判定方法、不合格处置与复核周期，供招标方核查与数据管理能力成熟度评估取证使用。 表 A9-6b　分级作业的验证口径 | 要求条款 | 要求内容 | 判定方法 | 不合格时的处置 | 复核周期 | |---|---|---|---|---| | 7.1.1 | 分级作业五步齐备 | 抽取已定级对象，核查识别、定级、审批、标记、复核五步的记录是否齐备 | 缺步骤的对象退回重走流程，标记状态改为临时 | 季度 | | 7.2.1 | 定级有业务判断与机器预判两个输入 | 核查分级台账中机器预判级别与差异说明字段的填写率 | 差异说明缺失的逐条补填，连续缺失的核查扫描任务是否未运行 | 月 | | 7.3.1 | 审批层级与级别匹配 | 抽取 L4、L5 与升级结论对象，核对审批单的会签与审定签认 | 审批层级不足的结论暂停使用，按正确层级重新审批 | 季度 | | 7.4.1 | 标记落地四处一致 | 四处取值交叉比对，输出不一致清单 | 五个工作日内按分级台账更正，记录更正原因 | 月 | | 7.5.1 | 分级结论按期复核 | 核查复核时点届满对象的复核完成率 | 逾期未复核的对象按原级别继续管控并进入逾期清单 | 半年 | | 7.5.2 | 即时复评按触发执行 | 核对触发事件清单与复评记录的对应关系 | 触发而未复评的补做复评，并核查触发通知链路 | 季度 | | 8.1.1 | 分级标签字段齐备 | 平台必填校验的拦截记录与标签完整率统计 | 标签不完整对象不参与数据集加工 | 月 | | 8.2.1 | 校验规则有效运行 | 核查三类校验的拦截与提醒记录数 | 规则未运行的核查配置，补做历史对象扫描 | 月 | | 8.3.1 | 标记完整率与一致率达期段目标 | 按月统计两项指标，首月结果为基线 | 低于基线的分析原因并提出补标计划；连续两月低于基线的，相应业务域暂停新增数据源接入 | 月 | | 6.2.2 | 聚合升级在加工计划阶段判定 | 核查数据集加工计划中的升级判定记录 | 未判定即开工的任务暂停，补做判定；已在普通加工区完成的 L5 子集在受控区重做 | 按数据集版本 | | 6.4.1 | 脱敏降级三条件齐备 | 核查降级申请的评估报告编号与评估结论 | 条件不齐的降级结论作废，恢复原级别并通知已授权受众 | 季度 | 表中「连续两月低于基线的，相应业务域暂停新增数据源接入」是本标准设置的回退安排。设置回退的原因是标记工作容易被加工进度挤占：标记滞后不会立刻出事，但滞后积累到一定程度，整个管控体系就建立在不完整的标签上。把接入与标记挂钩，使两者的进度互相牵制。 #### 4.7 异常与边界情形的处理 下列情形在实际分级作业中反复出现，本标准逐项给出处理方式，避免现场无依据可循。 定级争议的裁决。业务域之间对同一对象的定级不一致，常见于跨域共用的对象：工艺卡片由生产制造与研发设计共同使用，质量缺陷统计由质量管理与生产制造共同使用。处理方式为三步：由数据治理办公室召集相关业务域会商，会商以本标准第 5 章判定要素逐项比对；会商不成的提交数据治理委员会裁决；裁决前按较高级别管控。会商与裁决记录进入分级台账的判定依据字段。 跨级关联数据的处理。两个 L2 级对象组合后可以识别出 L4 级信息的情形在本项目中存在：工单报工记录（L2）与班组排班（L2）组合可定位到个人的作业明细；设备维修记录（L2）与矿方项目清单组合可还原客户现场的设备状况。处理方式为在数据资源目录中登记关联敏感组合，组合中的任一对象被申请时提示其关联风险，同时取用两个对象的申请按组合后的级别审批。关联敏感组合清单由各业务域在首轮分级时提出，按季度补充。 历史存量数据的回溯定级。招标方的存量数据体量大，不可能在短期内逐元定级。本标准的处理方式是分三批推进：第一批为进入本项目纳管范围的对象，随接入完成定级，这是加工的前置条件；第二批为数据资源目录中已登记但未纳入本项目的对象，按业务域逐域推进，期间按所属数据主题的最高级别临时管控；第三批为未登记对象，随资源目录盘点推进。三批的推进进度按月通报，临时管控期超过三十日的对象列入逾期清单并说明原因——这是本标准对临时管控期限的例外说明：存量回溯场景下的临时管控允许超过三十日，但须逐对象说明。 外部引入数据的定级责任。外部数据的定级责任在引入该数据的业务域归口部门，而非采购部门或我方项目组。定级依据包含两项：该数据自身的内容敏感度；供方约定的保密要求。供方要求的保密强度高于本标准判定结果时，按供方要求执行并在分级台账中注明依据的合同条款号。外部数据与内部数据混合形成的衍生对象，按两者的较高级别定级。 级别变更的追溯范围。某对象的级别由低调高时，须回溯处理三项：已签发的授权凭据按新级别重新核定；已进入的数据集按新级别重新评估流通范围；已发生的导出件按新级别评估是否需要召回。回溯范围以该对象上一次定级生效日为起点，不无限回溯。级别由高调低时不作追溯处理，新级别自生效日起适用。 同名字段在不同系统中级别不同的情形。例如「客户名称」字段在营销管理系统中与合同关联，在仓储物流系统中仅作为收货方标识。处理方式为按数据元定级，同一数据元在各系统中取同一级别，取值为各使用场景中的最高级别；若因此导致低敏感场景的管控过严，通过属性约束在该场景下放宽展示方式，而不是分别定级。 无主数据对象的处理。源系统已停用、原归口部门已撤并的历史数据，其定级责任由数据治理办公室代行，定级结论报数据治理委员会备案。此类对象的级别一般按同类对象的级别取值，并优先按归档处置。 #### 4.8 九个业务域的数据主题划分与分类编码 第 4.4.1 条规定分类按「业务域＋数据主题」二维组织、分类粒度到数据主题。本节给出首版主题划分，是分类编码的取值表，也是分级作业中「未明确判定的对象按所属数据主题最高级别临时管控」一条的执行依据——没有主题划分，临时管控就没有取值来源。业务域码按招标文件数据治理实施要求所列的 9 个业务域顺序取值（b1336），00 为跨域。 表 A9-6c　九个业务域的数据主题划分（首版） | 业务域码 | 业务域 | 主题码 | 数据主题 | 主要数据对象 | 主题内最高级别 | |---|---|---|---|---|---| | 01 | 人力资源 | 01 | 人员基础信息 | 人员档案、身份与联系信息 | L4 | | 01 | 人力资源 | 02 | 岗位与编制 | 组织架构、岗位设置、编制与在岗 | L2 | | 01 | 人力资源 | 03 | 技能与资格 | 技能矩阵、特种作业与焊工资格证 | L2 | | 01 | 人力资源 | 04 | 培训与考核 | 培训记录、考核结论 | L2 | | 01 | 人力资源 | 05 | 薪酬与绩效 | 薪酬、绩效、社保 | L4 | | 02 | 研发设计 | 01 | 产品主数据与型谱 | 机型型谱、产品编码、配置项 | L3 | | 02 | 研发设计 | 02 | 图纸与模型 | 零部件图、装配图、三维模型 | L5（全套聚合） | | 02 | 研发设计 | 03 | 物料清单 | 设计物料清单、替代关系 | L3 | | 02 | 研发设计 | 04 | 技术标准与规程 | 企业标准、技术条件、设计规范 | L3 | | 02 | 研发设计 | 05 | 选型与校核 | 选型校核公式、系数、许用值、工况边界 | L5 | | 02 | 研发设计 | 06 | 试制与型式试验 | 试件记录、加载条件、试验结论 | L3 | | 02 | 研发设计 | 07 | 设计变更 | 变更单、变更影响范围、生效批次 | L3 | | 02 | 研发设计 | 08 | 资质与认证 | 安标证书、防爆合格证及技术附件 | L3（附件） | | 03 | 生产制造 | 01 | 工单与报工 | 工单、派工、报工、班组排班 | L2 | | 03 | 生产制造 | 02 | 工艺执行 | 工艺卡片、工艺路线、参数窗口 | L5（全工序聚合） | | 03 | 生产制造 | 03 | 备料与下料 | 28 道备料工序记录、下料套排、余料 | L3 | | 03 | 生产制造 | 04 | 热处理炉次 | 炉次记录、升温与保温曲线、装炉件 | L5（按炉型聚合） | | 03 | 生产制造 | 05 | 焊接过程 | 焊道参数、焊接工艺规程、焊工与焊材 | L5（关键焊缝规程） | | 03 | 生产制造 | 06 | 机加与装配 | 机加工序参数、装配记录、调试记录 | L3 | | 03 | 生产制造 | 07 | 车间设备运行 | 车间设备状态、中频电源参数、能耗 | L2 | | 03 | 生产制造 | 08 | 产能与定额 | 产线节拍、定额工时、交付能力 | L3 | | 04 | 仓储物流 | 01 | 库存与库位 | 库存余额、库位、批次 | L2 | | 04 | 仓储物流 | 02 | 入出库流水 | 入库、出库、移库、盘点 | L2 | | 04 | 仓储物流 | 03 | 备件管理 | 关键备件库存、周转、缺件 | L3 | | 04 | 仓储物流 | 04 | 包装与发运 | 包装清单、发运单、承运信息 | L2 | | 04 | 仓储物流 | 05 | 在途与交付 | 在途跟踪、到货确认、交付节点 | L3 | | 05 | 财务管理 | 01 | 成本与定额 | 单位成本、料工费构成、成本定额 | L3 | | 05 | 财务管理 | 02 | 费用与预算 | 费用归集、预算执行 | L3 | | 05 | 财务管理 | 03 | 应收应付 | 应收、应付、账期 | L3 | | 05 | 财务管理 | 04 | 资产与折旧 | 固定资产、折旧、在建工程 | L2 | | 05 | 财务管理 | 05 | 对外披露数据 | 已披露口径的财务指标 | L1 | | 06 | 设备管理 | 01 | 设备台账 | 设备档案、位置、状态、报废 | L2 | | 06 | 设备管理 | 02 | 点检与润滑 | 点检项、点检结论、润滑记录 | L2 | | 06 | 设备管理 | 03 | 维修与备件 | 维修工单、故障现象、更换备件、停机时长 | L2 | | 06 | 设备管理 | 04 | 在役装备远程监测 | 现场测点时序、运行工况、矿方标识 | L4 | | 06 | 设备管理 | 05 | 能源计量 | 电、水、气计量与分摊 | L2 | | 07 | 采购管理 | 01 | 供方主数据与资质 | 供方档案、资质证照、准入状态 | L3 | | 07 | 采购管理 | 02 | 采购订单与价格 | 订单、单价、账期、供方份额 | L5（全量聚合） | | 07 | 采购管理 | 03 | 来料与质保书 | 材质证明、第三方检测报告、来料批次 | L3 | | 07 | 采购管理 | 04 | 供方绩效 | 到货及时率、来料合格率、评价结论 | L3 | | 08 | 营销管理 | 01 | 客户主数据 | 客户档案、联系人信息 | L4 | | 08 | 营销管理 | 02 | 商机与报价 | 商机、报价、折扣、竞争信息 | L5 | | 08 | 营销管理 | 03 | 合同与订单 | 合同、关键条款、订单配置 | L5 | | 08 | 营销管理 | 04 | 项目与矿方工况 | 矿区与矿井、工作面地质条件、设备配置 | L4 | | 08 | 营销管理 | 05 | 售后与服务工单 | 服务工单、故障处理、备件更换、回访 | L3 | | 09 | 质量管理 | 01 | 检验与试验 | 入厂检验、过程检验、出厂检验、力学与硬度 | L2 | | 09 | 质量管理 | 02 | 无损检测 | 超声、射线检测结果与评定等级 | L3 | | 09 | 质量管理 | 03 | 不合格品与缺陷 | 不合格品处置、缺陷统计与分布 | L3 | | 09 | 质量管理 | 04 | 质量追溯 | 批次追溯链、炉批号对应、追溯档案 | L3 | | 09 | 质量管理 | 05 | 顾客投诉与三包 | 投诉、索赔、责任判定、处理费用 | L4 | | 09 | 质量管理 | 06 | 计量与校准 | 计量器具台账、校准记录、有效期 | L2 | | 00 | 跨域 | 01 | 制度与标准文件 | 管理制度、规范、标准台账 | L2 | | 00 | 跨域 | 02 | 数据资产 | 数据资源目录、数据集与数据卡、资产台账 | 随对象 | | 00 | 跨域 | 03 | 审计与授权记录 | 操作日志、审批单、授权凭据、名单 | L3 | | 00 | 跨域 | 04 | 项目过程资料 | 需求单、故障单、问题单、评审记录 | L2 | 主题内最高级别一列是临时管控的取值来源，不是该主题下全部对象的级别——例如研发设计域图纸与模型主题的最高级别为 L5（全套聚合），但单张零部件图为 L3，逐元定级完成后按各自级别管控。主题划分随纳管范围滚动补充，新增主题按本标准 4.2.1 条的确认流程办理。 #### 4.9 关联敏感组合清单 第 4.7 节提出了跨级关联的处理原则，本节给出首版清单。清单的作用是在权限审批与数据集构造两个环节起提示作用：同时取用清单中某一组合的两项时，按组合后级别审批。 表 A9-6d　关联敏感组合清单（首版） | 组合编号 | 组合对象 | 单项级别 | 组合后级别 | 组合后可识别出的信息 | 管控要求 | |---|---|---|---|---|---| | GL-01 | 工单与报工 ＋ 班组排班 | L2 ＋ L2 | L4 | 可定位到个人的作业明细与产出 | 同时取用须按 L4 审批；数据集中人员标识代号化 | | GL-02 | 设备维修记录 ＋ 矿方项目清单 | L2 ＋ L4 | L4 | 客户现场的设备故障与可靠性状况 | 矿方标识代号化后方可组合使用 | | GL-03 | 热处理炉次记录 ＋ 批次追溯链 | L2 ＋ L3 | L5 | 特定产品的实际热处理参数窗口 | 组合数据集按 L5 定级，受控区加工 | | GL-04 | 焊道参数 ＋ 无损检测评定 | L2 ＋ L3 | L5 | 参数与焊接质量的对应关系，即工艺窗口的实证边界 | 同上；对外流通须参数区间化 | | GL-05 | 零部件图纸 ＋ 物料清单 ＋ 工艺卡片 | L3 ＋ L3 ＋ L3 | L5 | 某机型可复制的完整制造方案 | 三者同时取用须报委员会审定 | | GL-06 | 采购单价 ＋ 物料清单 ＋ 定额工时 | L3 ＋ L3 ＋ L3 | L5 | 产品成本底牌 | 同时取用不予对外开放 | | GL-07 | 客户主数据 ＋ 商机报价 | L4 ＋ L5 | L5 | 客户维度的价格策略 | 不进入对外流通数据集 | | GL-08 | 工作面地质条件 ＋ 选型配置清单 | L4 ＋ L3 | L4 | 特定矿井的装备配置与工况对应关系 | 工况区间化并矿方代号化后按 L3 流通 | | GL-09 | 人员技能矩阵（代号化） ＋ 工单报工（代号化） | L2 ＋ L2 | L3 | 代号可被反向关联至个人的作业能力画像 | 两者代号体系须不同，不共用同一映射表 | | GL-10 | 在役装备测点时序 ＋ 售后服务工单 | L4 ＋ L3 | L4 | 客户现场的设备运行与故障全貌 | 代号化后按 L3 组合使用；原始组合不流通 | | GL-11 | 质量缺陷统计 ＋ 供方绩效 | L3 ＋ L3 | L3 | 供方质量水平的可归因结论 | 供方代号化后方可对外 | | GL-12 | 数据集数据卡 ＋ 授权记录 | 随对象 ＋ L3 | L3 | 哪些受众持有哪些数据 | 不对外提供组合视图 | 第 9 组是本清单中最易被忽略的一类：两份数据各自已代号化，但若使用同一套人员代号，组合后仍可还原个人画像。因此本标准要求不同用途的代号体系相互独立，映射表分别存放、分别授权。 #### 4.10 源系统与数据对象的接入定级对照 本项目需接入的外围应用系统在招标文件中已逐一列明（b0804r02）。本节按系统给出其承载的数据主题、最高级别与接入要求，作为分级标记与采集任务配置的对照表。日志能力一列为诊断事项，须在实施启动阶段逐系统核实（待补材料清单第 9 项）。 表 A9-6e　源系统承载数据的定级与接入对照 | 源系统 | 承载的主要数据主题 | 典型对象 | 最高级别 | 接入方式 | 增量口径 | 入口脱敏要求 | 日志能力 | |---|---|---|---|---|---|---|---| | 客户关系管理系统 | 客户主数据、商机与报价、售后服务工单 | 客户档案、联系人、报价、服务工单 | L5 | 只读接口 | 更新时间戳 | 联系人信息去标识化；报价不接入对外数据集 | 【待核】 | | 企业资源计划系统 | 库存、入出库、应收应付、成本、采购订单 | 物料、订单、库存、成本凭证 | L5 | 只读视图 | 更新时间戳 | 单价与成本区间化 | 【待核】 | | 供应链管理系统 | 供方主数据与资质、采购订单与价格、供方绩效 | 供方档案、订单、到货记录 | L5 | 只读接口 | 更新时间戳 | 供方代号化 | 【待核】 | | 质量管理系统 | 检验与试验、无损检测、不合格品、质量追溯 | 检验记录、检测报告、缺陷单 | L3 | 只读接口 | 更新时间戳 | 工件与项目标识代号化 | 【待核】 | | 仓储管理系统 | 库存与库位、入出库流水、备件管理 | 库位、流水、备件 | L3 | 只读接口 | 更新时间戳 | 无 | 【待核】 | | 制造执行系统 | 工单与报工、工艺执行、机加与装配、车间设备运行 | 工单、报工、工序参数 | L5 | 只读接口 | 更新时间戳 | 班组与人员标识代号化 | 【待核】 | | 实验室管理系统 | 检验与试验、计量与校准 | 试样、试验项、力学与硬度结果 | L2 | 只读接口 | 更新时间戳 | 供方与炉批号代号化 | 【待核】 | | 能源管理系统 | 能源计量 | 电水气计量、分摊 | L2 | 只读接口 | 按采集周期 | 无 | 【待核】 | | 服务运维支撑系统 | 售后与服务工单、维修与备件 | 服务工单、维修闭环记录 | L4 | 只读接口 | 更新时间戳 | 矿方与联系人代号化 | 【待核】 | | 企业资产管理系统 | 设备台账、点检与润滑、维修与备件 | 设备档案、点检、维修 | L2 | 只读接口 | 更新时间戳 | 点检人代号化 | 【待核】 | | 产品生命周期管理系统 | 图纸与模型、物料清单、技术标准、设计变更 | 图纸、三维模型、物料清单、变更单 | L5 | 只读读取，解析就地进行 | 按图号批次与版本变更 | 图号与项目标识代号化；原始图纸不出内网 | 【待核】 | | 数据采集与监控系统 | 热处理炉次、焊接过程、车间设备运行 | 炉台温度、中频电源参数、焊接参数 | L5 | 按测点订阅或周期取数 | 按采样周期，秒级按窗口 | 无；时间基准须对齐 | 【待核】 | | 办公自动化系统 | 制度与标准文件、项目过程资料 | 制度、规程、流程审批记录 | L3 | 文档目录与正文只读导出 | 按版本变更 | 密级标记识别后按标记管控 | 【待核】 | | 财务核算系统 | 成本与定额、费用与预算、资产与折旧 | 成本、费用、资产 | L3 | 只读视图 | 更新时间戳 | 成本数值区间化 | 【待核】 | | 主数据管理平台 | 产品主数据、供方主数据、客户主数据、物料主数据 | 主数据及其审批流程记录 | L4 | 只读接口 | 更新时间戳 | 客户与供方联系人信息去标识化 | 【待核】 | | 热处理群控系统 | 热处理炉次 | 炉次曲线、工艺配方、设备状态 | L5 | 按测点订阅或历史曲线接口 | 按炉次与采样周期 | 工艺配方不进入对外数据集 | 【待核】 | | 安全监管平台 | 劳动安全、车间设备运行 | 安全检查、隐患整改、作业许可 | L3 | 只读接口 | 更新时间戳 | 涉及人员的字段代号化 | 【待核】 | 表中最高级别一列取该系统承载主题的最高值，不表示该系统全部数据均为此级别；采集任务按对象逐一取用分级标签，不按系统整体取值。产品生命周期管理系统与热处理群控系统两行的接入方式有特别要求：前者的图纸解析就地进行、原始件不出内网，后者的工艺配方不进入对外数据集，两项均为本标准与《数据设计开发规范》共同的前置约束。 #### 4.11 与本项目业务的结合点 本标准与本项目的结合主要体现在两件事上，两件事都来自矿山装备制造数据的形态。 第一件事是「单条不敏感、聚合即核心」在本项目中不是例外而是常态。本项目要加工的预训练数据集规模为 615 亿 Token，其中制造过程部分 105 亿 Token，样本来源正是跨工序、跨炉次、跨焊道的过程记录。按常规做法以成分数据元的最高级别为数据集级别，这些子集会被定为 L3，而其实际敏感度接近 L5。本标准 6.2.1 与 6.2.2 条把聚合升级写成规范性条款并列出四类触发情形，就是为了让加工侧在排期之前而不是在发布之前知道这个子集要在受控区做。附录 B 的三个示例取自本项目四类数据集的实际构成，用于让分级作业的人看到判定过程而不只是判定结论。 第二件事是脱敏后降级的尺度。设备运维场景的时序样本如果维持 L4，就无法进入常规加工环境，也难以在场景验证中被多方使用；而降级的前提是客户与矿井标识已代号化、地理参数已区间化且评估通过。本标准 6.4.1 条把降级条件写成三条可核查的条件，并在 6.4.2 条限制降级幅度，原因是本项目的数据集将进入流通环节，一次失当的降级会在流通后难以收回。映射表按 L4 管控并留在受控区，是降级能够成立的配套安排。 #### 4.12 评审与修订 本标准由信息安全归口部门起草，九个业务域数据归口部门逐域会签——附录 A 的实例清单必须逐行由对应业务域确认，这是本标准与其他文档在评审上的最大差别。保密归口部门会签附录 D 的密级对应关系。评审通过后由招标方发文发布，与《数据安全管理办法》《数据权限管理规范》同期。 定期复核每半年一次，复核内容包含三项：纳管范围新增对象的定级完成情况；附录 A 实例清单的补充情况；机器预判与业务判断差异较多的特征项。附录 C 的特征表允许在不改动正文条款的情况下按季度增补，增补由安全管理岗批准并记录，不构成正文的版本变更；特征表的增补通知须同步至平台扫描规则配置。 修订后的通知范围除其余治理文档外，还包含三类配置：平台的分级标签校验规则、脱敏策略与权限策略的级别取值映射、数据卡安全与合规分区的可选值。级别定义或判定规则发生实质修订时，已定级对象须在三个月内按新规则复评；复评期间旧结论继续有效，但新增对象一律按新规则定级，复评进度按月通报。 ### 五、《数据权限管理规范》V1.0 样章 本节回应招标文件数据安全规划要求第（2）项中权限管控与访问审批的内容（b1304、b1305）、第（4）项输出要求（b1308、b1309），以及平台须具备严格的权限校验与访问名单控制的要求（b1871）。 #### 5.1 文件标识与适用范围 表 A9-7　《数据权限管理规范》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 数据权限管理规范 | | 文件编号 | GHY26691-GV-07-0004-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 正文内部；附录 B 分级管控矩阵与附录 C 受控区名单分册管理 | | 编制依据 | GB/T 22239—2019《信息安全技术 网络安全等级保护基本要求》访问控制相关要求；GB/T 25070—2019《信息安全技术 网络安全等级保护安全设计技术要求》；GB/T 41479—2022《信息安全技术 网络数据处理安全要求》；本项目《数据安全管理办法》《数据安全分级标准》 | | 适用范围 | 适用于数据集加工生产平台、数据集运营服务管理平台、数据治理开发工具平台的账号、角色、权限与访问名单管理；适用于自然人账号、服务账号与外部调用方；适用于平台内数据对象、加工任务、数据集版本与接口四类受控资源 | | 不适用情形 | 招标方源业务系统内部的功能权限按各系统自身权限管理规定执行，本规范仅规定经统一数据服务通道访问时的授权要求 | | 生效条件 | 经业务评审与数据治理委员会审议通过，由招标方正式发文后生效 | | 失效条件 | 被新版本替代或被明令废止 | | 归口部门 | 【待填：信息安全归口部门】；账号与角色日常维护由平台运维岗承办 | | 复核周期 | 每半年一次；权限模型或平台权限实现方式变更时即时复核 | | 配套表单 | 附录 A 至附录 F（见本节 5.4） | #### 5.2 章节结构 1　范围 2　规范性引用文件 3　术语和定义 3.1 账号 3.2 角色 3.3 权限项 3.4 属性约束 3.5 固有权限与申请权限 3.6 访问名单 4　权限模型 4.1 模型构成 4.2 角色设计原则与角色目录 4.3 权限项的定义维度 4.4 属性约束的五个维度 4.5 固有权限与申请权限的区分 5　账号管理 5.1 自然人账号的开立与变更 5.2 服务账号的登记与责任人 5.3 外部调用方的登记 5.4 账号的停用与注销 6　权限申请与审批 6.1 申请要素 6.2 审批层级 6.3 审批时限与超期处理 6.4 紧急授权的例外流程 6.5 授权的生效与通知 7　分级管控 7.1 管控措施的八个维度 7.2 分级管控矩阵 7.3 矩阵与平台策略的映射 7.4 矩阵的例外申请 8　访问名单控制 8.1 名单的适用对象 8.2 名单的维护与审批 8.3 受控区名单的特别要求 9　复核与回收 9.1 季度复核 9.2 待回收清单与清理时效 9.3 回收的五种触发情形 9.4 岗位变动与离场的权限处置 10　监督与留痕 10.1 权限台账 10.2 与审批单、访问日志的关联 10.3 抽查与考核 附录 A　角色目录（规范性） 附录 B　分级管控矩阵（规范性） 附录 C　受控区人员与终端名单模板（规范性） 附录 D　权限申请单模板（规范性） 附录 E　权限台账模板（规范性） 附录 F　季度复核记录模板（规范性） #### 5.3 关键条款 4.1.1　权限模型由角色与属性约束两部分构成。角色定义岗位的基本权限集合，属性约束在角色之上做动态限定。采用两部分组合而非单纯角色模型的理由是粒度：同一个工艺工程师角色，对本人负责产品的工艺卡片应可读写，对其他产品线的工艺卡片只应可读或不可见，纯角色模型要为此建立大量角色，角色数量膨胀后无人能说清每个角色实际拥有什么。 4.3.1　权限项按四个维度定义：受控资源（数据对象、加工任务、数据集版本、接口）、操作动作（查询、新增、修改、删除、导出、执行、调用、授权）、数据范围（表、字段、记录条件）、环境限定（访问通道与终端范围）。四个维度齐备的权限项方可配置，缺维度的配置不予通过。 4.4.1　属性约束的维度为五项：数据级别、业务域、项目范围、时间范围、访问环境。约束按「取交集」方式生效，即角色权限与属性约束的交集为实际权限。 4.5.1　固有权限指岗位履职必需、随岗位设置而授予的权限，范围限于 L1 至 L3 级数据的查询与本岗位职责内的操作，无需逐事项申请但须在角色目录中列明。申请权限指固有权限之外的权限，一律按本规范第 6 章申请，须声明用途与期限；无期限的长期权限仅限固有权限。 5.1.1　自然人账号的开立以岗位设置为依据，一人一账号，不共用。账号开立时按角色目录授予固有权限，不预授申请权限。岗位变更、调岗、长期离岗与离场时，由所在部门在变更生效日前提出账号变更或停用申请，平台运维岗按申请执行并记录。 5.2.1　服务账号须登记实际责任人，责任人为自然人且在岗。服务账号不得用于人工交互操作；经人工使用服务账号执行的操作，按越权处理。服务账号的权限范围按最小必要配置，其凭据的轮换周期与保管方式按技术方案安全方案一节的要求执行。 5.3.1　外部调用方须完成登记后方可调用接口，登记内容包含调用方主体、用途、所需数据对象与字段、涉及的最高级别、调用频次上限、有效期与对接责任人。L3 及以上级别数据的接口调用须逐调用方登记并经业务域数据归口部门确认用途。 5.4.1　账号停用的触发为四类：离场或离职；长期离岗超过约定期限；连续未登录超过约定期限；发生违规事件且处于处理期间。停用后账号的历史操作日志保留，不随账号注销而删除。账号注销前核对其是否为服务账号的责任人，是则先行变更责任人。 6.1.1　权限申请单的要素为九项，缺项不予受理：申请人与所属部门、申请用途、受控资源与数据范围、字段范围、涉及的最高数据级别、期限、使用环境、是否允许导出、是否允许二次提供。申请用途须写明具体业务动作，「工作需要」「日常使用」一类表述不予受理。 6.2.1　审批层级按涉及的最高数据级别设定：L1 级无需授权；L2 级由所属部门负责人审批；L3 级由所属部门负责人审批并经业务域数据归口部门确认；L4 级在前项基础上经安全管理岗复核；L5 级在前项基础上报归口部门负责人复批。涉及导出或二次提供的申请，审批层级在上述基础上提高一级。 6.3.1　审批时限为三个工作日，L4 与 L5 级为五个工作日。超期未办理的，由数据治理办公室在月度例会上通报；超期不视为默认同意——本规范不设默认通过规则，原因是权限一旦默认授予，事后难以判断谁做出了授予决定。 6.4.1　紧急授权仅适用于生产中断、重大质量事件追溯、安全事件处置三种情形。紧急授权由申请部门负责人与安全管理岗口头确认后先行开通，开通范围限于处置所必需，期限不超过七十二小时，并在二十四小时内补办正式审批单。补办未完成的，权限到期自动失效且不予延期。 6.5.1　授权生效后由平台向申请人与所属部门负责人发送生效通知，通知内容包含授权范围、期限与到期提醒安排。到期前七日再次提醒，提醒对象包含申请人与业务域数据归口部门。 7.1.1　管控措施按八个维度规定：访问授权方式、查询展示方式、批量导出、接口调用、加工环境、脱敏要求、水印要求、审计留痕与留存期限。各维度在五个级别上的取值见附录 B。 7.2.1　分级管控矩阵的八个维度之间不互相替代。例如对 L4 级数据，脱敏展示不免除逐事项审批的要求，水印不免除导出清单的要求。矩阵的每一格是独立的控制点，任一格未落实即视为该级别的管控未完整实施。 7.3.1　附录 B 的矩阵是平台策略的取值依据。平台侧按矩阵生成策略配置项，策略与矩阵逐格对应；矩阵修订后平台策略在五个工作日内同步，同步结果经安全管理岗核对。 7.4.1　矩阵的例外申请须说明业务必要性、替代控制措施与期限，由信息安全归口部门审批，L5 级相关的例外报数据治理委员会。例外登记在权限台账中单独标记，每季度复核时逐项复查，期限届满不自动延续。 8.1.1　访问名单控制适用于三类对象：L4 与 L5 级数据的可访问人员；内网受控区的可进入人员与可使用终端；数据集对外提供的受众。名单之外的主体即使持有角色权限亦不可访问，平台侧按名单做第二道校验。 8.2.1　访问名单的维护由业务域数据归口部门提出、安全管理岗审批，平台运维岗执行。名单的新增与删除均留记录，名单的当前版本与变更历史可查。名单按月复核，复核结论记录在月度安全检查表中。 8.3.1　受控区名单按月复核，人员岗位变动、项目分工调整或离场时即时调整。名单调整由业务域数据归口部门提出、安全管理岗审批，调整记录留存。受控区内的终端不具备外设与外发通道，终端清单与名单一并维护。 9.1.1　权限按季度复核。复核内容包含三项：权限与当前岗位职责是否相符；申请权限的期限是否届满；权限在复核周期内有否实际使用。连续一个季度未使用的非固有权限进入待回收清单。 9.2.1　待回收清单由业务域数据归口部门在十个工作日内处理，处理结论为「回收」或「保留并说明理由」。保留理由须写明该权限在何种情形下使用、预计下次使用时点；连续两个季度以「备用」为由保留的权限，一律回收，需要时重新申请。 9.3.1　权限回收的触发情形为五类：授权期限届满；申请用途变更或终止；监测发现越权访问；发生违规事件；申请人岗位变动或离场。回收执行后相关凭据立即失效，已导出的数据按约定方式处置并记录。 9.4.1　岗位变动的权限处置采用「先收后授」：原岗位的申请权限在变动生效日一并回收，新岗位的固有权限按角色目录授予，新的申请权限重新申请。不采用权限平移方式——平移会使权限随人逐步累积，是权限失控最常见的成因。 10.1.1　权限台账登记全部已授予的权限项，字段见附录 E。台账的更新与权限变更同步，不允许先改配置后补台账。台账与平台实际配置按月比对，比对不一致的以审批单为准，并核查是哪一侧被绕过。 10.2.1　权限台账、审批单与访问日志三者须可相互关联：台账中每一条申请权限记录其审批单号；访问日志中 L4 及以上级别的操作记录其审批单号。关联完整性按月校验，无法关联的记录逐条分析原因并补齐。 10.3.1　抽查每季度一次，由安全管理岗执行，抽查内容为审批单授权范围与实际访问日志的一致性。抽查比例按级别设定，L4 与 L5 级审批单的抽查比例高于 L3 级。超出授权范围的访问按《数据安全管理办法》第十六条处理。 10.3.1　抽查结论分三档：一致；范围不一致但未实际越权（授权范围大于实际使用）；实际越权。第二档的处理是在下次授权时收紧范围，并在季度复核中统计此类情形的占比——占比高说明申请环节的范围界定过宽。第三档按安全事件处理。 10.3.2　本规范的执行情况按季度形成权限管理报告，内容包含授权与回收数量、复核完成率、待回收权限清理时效、抽查结论构成与例外项清单。报告提交数据治理办公室，并作为安全考核的输入。 图 A9-4　权限台账、审批单与访问日志的三表关联与复核回收回路 权限申请单（附录 D） 九项要素齐备方受理 主键：申请单号 审批记录 层级按最高级别设定 产出：审批单号 权限台账（附录 E） 登记范围、期限、例外标记 外键：审批单号 平台策略配置 按附录 B 矩阵逐格取值 名单为第二道校验 授权范围与属性约束下发 访问日志 L4 及以上记审批单号 外键：审批单号、会话标识 实际操作 季度复核（附录 F） 职责相符性、期限、使用情况 输入：台账 ＋ 日志 使用情况与一致性抽查结果回流复核 待回收清单 十个工作日内处理，结论为回收或保留 连续两季以备用为由保留的一律回收 回收执行 凭据失效、导出件按约定处置、台账登记 岗位变动按先收后授，不作权限平移 图 A9-4　数据来源：招标文件第五章 3.2.6.1.1.2.7 第（2）项权限管控与访问审批要求（b1304、b1305）、项目安全合规建设要求中的权限校验与访问名单控制（b1871）；复核与回收规则取本规范 9.1.1 至 9.4.1 条。 #### 5.4 附录内容 附录 A　角色目录（节选，规范性） | 角色编码 | 角色名称 | 固有权限范围 | 可申请权限范围 | 属性约束默认值 | |---|---|---|---|---| | R-01 | 数据治理办公室管理员 | 全域 L1 至 L2 查询；台账与目录维护 | L3 查询 | 业务域不限，环境限内网 | | R-02 | 业务域数据归口岗 | 本域 L1 至 L3 查询 | 本域 L4 查询、导出 | 业务域限本域 | | R-03 | 安全管理岗 | 全域分级标签与日志查询；审批与名单维护 | 受控区进入 | 不含业务数据内容的修改权 | | R-04 | 数据开发岗 | 加工任务的创建与执行；L1 至 L3 加工区读写 | L4 受控区加工、L5 受控区加工 | 项目范围限在办任务 | | R-05 | 数据标注岗 | 指派批次内样本的读取与标注写入 | — | 时间范围限批次周期，环境限标注专区 | | R-06 | 数据质量管理员 | 质量规则配置；质检结果查询 | 问题样本原值查询 | 业务域不限 | | R-07 | 数据运维岗 | 任务运行状态与日志查询；重跑与补数执行 | 数据内容查询 | 不含数据内容的默认读权 | | R-08 | 平台运维岗 | 平台配置与账号维护 | — | 不含业务数据读权 | | R-09 | 场景验证岗 | 验证用数据集版本的读取；评测记录写入 | 原始样本回溯查询 | 项目范围限在办验证场景 | | R-10 | 数据集使用方（内部） | 已授权数据集版本的下载 | — | 时间范围限授权期 | | R-11 | 外部调用方 | 登记接口的调用 | — | 频次上限与有效期按登记 | | R-12 | 审计查阅岗 | 日志与审批记录查询 | — | 不含业务数据修改权 | 角色设计有两条自我约束：角色总数控制在可逐一说清其权限内容的范围内，不因个别场景新增角色而是用属性约束解决；运维类角色默认不含业务数据内容的读权，需要时按申请权限开通并限定期限，原因是运维岗的权限范围最容易因排障便利而无限扩大。 附录 B　分级管控矩阵（规范性） | 管控维度 | L1 公开 | L2 内部 | L3 重要 | L4 敏感 | L5 机密 | |---|---|---|---|---|---| | 访问授权方式 | 无需授权 | 角色授予 | 角色授予并限定业务域 | 逐事项审批 | 逐事项审批并由归口部门负责人复批 | | 查询展示 | 明文 | 明文 | 明文 | 关键字段脱敏展示 | 脱敏展示，原文需二次授权 | | 批量导出 | 允许 | 按量阈值告警 | 审批后允许并记录导出清单 | 审批后允许，导出件带水印 | 原则上不导出，特殊情形逐事项审批 | | 接口调用 | 开放 | 鉴权后开放 | 鉴权并登记调用方 | 鉴权、登记并限制频次 | 专线或专用通道，单独登记 | | 加工环境 | 无限制 | 内网 | 内网 | 内网受控区 | 内网受控区，环境与人员单独限定 | | 脱敏要求 | 无 | 无 | 按用途判定 | 必须去标识或脱敏 | 必须去标识或脱敏 | | 水印要求 | 无 | 无 | 导出件加可见水印 | 导出件加可见与隐式水印 | 导出件加可见与隐式水印 | | 审计留痕 | 基本日志 | 基本日志 | 全操作日志 | 全操作日志并定期审计分析 | 全操作日志并专项审计 | | 留存期限 | 按业务需要 | 按业务需要 | 不少于约定期限 | 按法规与合同约定 | 按法规与合同约定，到期评估 | 本矩阵与技术方案数据治理段给出的管控口径为同一套取值，两处如有差异以本附录为准并同步更正，避免平台策略取到两个不同的值。 附录 C　受控区人员与终端名单模板（规范性） 人员名单字段：名单编号、人员岗位标识【待填：以招标方岗位编码为准】、所属部门、可访问级别上限、可访问业务域、可执行操作、准入事由、有效期、审批单号、复核时点、状态。终端名单字段：终端标识、所在位置、可用操作范围、外设封禁状态、准入网络段、责任岗位、复核时点、状态。 附录 D　权限申请单模板（规范性） 字段包含：申请单号、申请人岗位与部门、申请用途（须写具体业务动作）、受控资源类型、数据对象清单、字段范围、记录条件、涉及最高级别、申请操作动作、期限（起止日期）、使用环境、是否允许导出、是否允许二次提供、是否为例外申请与替代控制措施、部门负责人意见、业务域归口意见、安全管理岗复核意见、归口部门负责人复批意见、授权生效日期、关联台账编号。 附录 E　权限台账模板与样例行（规范性） | 台账编号 | 主体 | 角色 | 受控资源 | 数据范围 | 最高级别 | 操作动作 | 属性约束 | 权限类型 | 期限 | 审批单号 | 末次使用 | 复核结论 | 状态 | |---|---|---|---|---|---|---|---|---|---|---|---|---|---| | QX-0104 | 自然人账号【待填】 | R-04 数据开发岗 | 加工任务 | 制造过程域工艺执行主题 | L3 | 执行、读写 | 业务域限生产制造，环境限内网 | 固有 | 长期 | — | 【待填】 | 相符 | 生效 | | QX-0237 | 自然人账号【待填】 | R-04 数据开发岗 | 数据对象 | 热处理炉次温度曲线（按炉型聚合） | L5 | 查询、加工 | 环境限受控区，终端限名单内 | 申请 | 六十日 | SP-0881 | 【待填】 | 相符 | 生效 | | QX-0311 | 服务账号【待填】 | R-11 外部调用方 | 接口 | 公开产品参数查询接口 | L1 | 调用 | 频次上限按登记 | 申请 | 一年 | SP-0902 | 【待填】 | 相符 | 生效 | | QX-0356 | 自然人账号【待填】 | R-09 场景验证岗 | 数据集版本 | 质量域指令微调子集 V1.2 | L3 | 读取 | 项目范围限在办验证场景 | 申请 | 四十五日 | SP-0915 | 【待填】 | 期限届满 | 待回收 | | QX-0402 | 自然人账号【待填】 | R-07 数据运维岗 | 数据对象 | 工单与报工明细 | L2 | 查询 | 排障期间限定 | 申请（例外） | 十五日 | SP-0931 | 【待填】 | 连续未使用 | 待回收 | 附录 F　季度复核记录模板（规范性） 字段包含：复核批次、复核范围（部门或角色）、应复核权限项数、已复核项数、相符项数、不相符项及其处理、期限届满项数、连续未使用项数、进入待回收清单项数、清单处理完成项数、超期未处理项及责任部门、例外项复查结论、复核人岗位、复核完成日期、遗留问题与下次重点。 #### 5.5 角色与操作权限明细矩阵 附录 A 的角色目录给出角色的权限轮廓，本节把轮廓展开到具体操作。平台侧按本表生成角色的权限项配置，表中「禁止操作」一列为硬约束，不通过属性约束放宽，须以申请权限方式单独审批。 表 A9-7a　角色与操作权限明细矩阵（节选） | 角色 | 受控资源 | 允许操作 | 级别上限 | 范围约束 | 审批要求 | 禁止操作 | |---|---|---|---|---|---|---| | R-01 数据治理办公室管理员 | 数据资源目录 | 查询、新增、修改、下架 | — | 全域 | 下架需业务域确认 | 修改数据内容 | | R-01 | 数据对象 | 查询 | L2 | 全域 | 固有 | 导出、修改 | | R-01 | 分级台账 | 查询 | L5 标签 | 全域 | 固有 | 修改定级结论 | | R-01 | 需求池与故障单 | 查询、流转 | — | 全域 | 固有 | 代填业务评审意见 | | R-02 业务域数据归口岗 | 数据对象 | 查询 | L3 | 限本域 | 固有 | 跨域查询 | | R-02 | 数据对象 | 查询、导出 | L4 | 限本域、限申请字段范围 | 逐事项审批并经安全管理岗复核 | 二次提供 | | R-02 | 分级台账 | 新增、修改（本域对象） | L5 标签 | 限本域 | L4、L5 需会签 | 修改他域对象定级 | | R-02 | 权限台账 | 查询、复核结论填写 | — | 限本域 | 固有 | 直接配置平台权限 | | R-03 安全管理岗 | 审计日志 | 查询、导出 | — | 全域 | 固有 | 修改或删除日志 | | R-03 | 审批单与权限台账 | 查询、复核意见 | — | 全域 | 固有 | 自行授予权限 | | R-03 | 访问名单 | 审批 | — | 全域 | 固有 | 自行新增名单成员 | | R-03 | 数据对象 | 查询（仅元数据与分级标签） | — | 全域 | 固有 | 查询数据内容 | | R-04 数据开发岗 | 加工任务 | 创建、修改、执行、重跑 | — | 限在办任务 | 上线需评审 | 绕过评审直接上线 | | R-04 | 数据对象（加工区） | 查询、写入 | L3 | 限任务声明的读写层与对象 | 固有 | 导出至本地 | | R-04 | 数据对象（受控区） | 查询、写入 | L5 | 限受控区、限名单、限审批对象 | 逐事项审批并经归口负责人复批 | 受控区外访问、外设使用 | | R-04 | 血缘与元数据 | 新增、修改（本任务） | — | 限在办任务 | 固有 | 删除历史血缘 | | R-05 数据标注岗 | 样本 | 查询、标注写入、提交 | L3 | 限指派批次、限标注专区 | 批次指派即生效 | 检索批次外样本、导出样本原件 | | R-05 | 标注结果 | 查询（本人提交部分） | L3 | 限本人 | 固有 | 查询他人标注结果、修改已提交结果 | | R-06 数据质量管理员 | 质量规则 | 新增、修改、停用 | — | 全域 | 阻断级规则变更需业务域确认 | 修改数据内容 | | R-06 | 质检结果与问题单 | 查询、分派、复核 | — | 全域 | 固有 | 关闭未复核的问题单 | | R-06 | 问题样本原值 | 查询 | L4 | 限问题单关联样本 | 逐事项审批 | 批量导出问题样本 | | R-07 数据运维岗 | 任务与接口 | 查询状态、重跑、补数执行 | — | 全域已上线对象 | 补数需审批 | 修改任务逻辑 | | R-07 | 数据对象 | 查询（仅技术元数据与行数统计） | — | 全域 | 固有 | 查询数据内容 | | R-07 | 数据对象 | 查询内容（排障用） | L2 | 限排障对象、限期限 | 逐事项审批，期限不超过十五日 | 导出、长期持有 | | R-08 平台运维岗 | 平台配置与账号 | 新增、修改、停用 | — | 全平台 | 权限配置须有审批单 | 查询业务数据内容、修改日志 | | R-09 场景验证岗 | 数据集版本 | 查询、下载 | L3 | 限在办验证场景授权版本 | 逐事项审批 | 二次提供、超场景使用 | | R-09 | 评测记录与归因结论 | 新增、修改 | — | 限在办场景 | 固有 | 修改数据集内容 | | R-09 | 原始样本 | 查询（回溯用） | L3 | 限归因指向的样本 | 逐事项审批 | 批量回溯 | | R-10 数据集使用方（内部） | 数据集版本 | 下载 | L3 | 限授权版本与期限 | 逐事项审批 | 二次提供、超期持有 | | R-11 外部调用方 | 接口 | 调用 | L3（L4 返脱敏结果） | 限登记接口、限频次与配额 | 登记并经业务域确认用途 | 批量导出、未登记接口调用 | | R-12 审计查阅岗 | 日志、审批单、台账 | 查询 | — | 全域 | 固有 | 导出、修改 | 矩阵中有三处设计须说明。其一，运维类角色（R-07、R-08）默认不含业务数据内容的读权，排障所需按申请权限开通并限十五日，原因是运维岗的权限范围最容易因排障便利而无限扩大，而排障的实际需要往往只是技术元数据与行数统计。其二，标注岗（R-05）不可检索指派批次之外的样本，这既是权限要求也是标注质量要求——黄金集样本以同样形态混入批次，可检索则失去抽检效力。其三，安全管理岗（R-03）不具备业务数据内容的读权，使监督者本身不成为新的风险点。 #### 5.6 权限管理各项要求的验证口径 表 A9-7b　权限管理的验证口径 | 要求条款 | 要求内容 | 判定方法 | 不合格时的处置 | 复核周期 | |---|---|---|---|---| | 4.3.1 | 权限项四维度齐备 | 抽取平台权限配置，核查受控资源、操作动作、数据范围、环境限定四项是否齐备 | 缺维度的配置下线重配 | 季度 | | 4.5.1 | 固有权限不含 L4 及以上 | 核对角色目录与平台固有权限配置 | 超范围的固有权限立即收回，改按申请权限办理 | 季度 | | 6.1.1 | 申请要素九项齐备 | 统计受理单中要素齐备率；抽查用途描述是否写到业务动作 | 要素缺失不予受理；用途空泛的退回补充 | 月 | | 6.2.1 | 审批层级与级别匹配 | 抽取 L4、L5 审批单，核对会签与复批签认 | 层级不足的授权暂停，重新审批后恢复 | 月 | | 6.3.1 | 审批时限 | 统计超期审批单数量与超期时长 | 超期在月度例会通报；连续超期的核查审批岗设置 | 月 | | 6.4.1 | 紧急授权补办 | 核对紧急授权记录与正式审批单的对应关系 | 未补办的权限到期失效且不予延期 | 月 | | 7.3.1 | 矩阵与平台策略一致 | 矩阵逐格与策略配置项比对 | 不一致的五个工作日内同步，并核查是哪一侧被绕过 | 季度 | | 8.1.1 | 名单作为第二道校验有效 | 以名单外账号持有角色权限的情形做验证性访问，核对是否被拦截 | 未拦截的核查平台校验逻辑并限期修复 | 季度 | | 8.3.1 | 受控区名单时效 | 核对名单与当前岗位、项目分工 | 失效成员立即移出；连续两月未复核的收紧受控区准入 | 月 | | 9.1.1 | 季度复核完成 | 统计应复核与已复核权限项数 | 未完成的部门在月度例会通报，未复核权限暂停使用 | 季度 | | 9.2.1 | 待回收清单按时清理 | 统计进入清单至回收完成的天数分布 | 超过约定天数的由安全管理岗直接执行回收 | 季度 | | 9.3.1 | 回收触发后及时执行 | 抽取离场、调岗、到期记录，核对回收执行时点 | 未执行的立即回收并分析通知链路缺口 | 月 | | 10.2.1 | 三表可关联 | 抽取 L4 及以上访问日志，核对审批单号的填充率与可关联率 | 无法关联的逐条分析并补齐字段 | 月 | | 10.3.1 | 抽查一致性 | 按级别抽取审批单，比对实际访问范围 | 实际越权按安全事件处理；范围过宽的下次授权收紧 | 季度 | #### 5.7 异常与边界情形的处理 账号共用的发现与处理。同一账号在短时间内从不同地址、不同终端登录，或操作行为呈现两种明显不同的模式，按账号共用嫌疑处理：暂停账号并通知所属部门核实；核实为共用的，按违规情形处理并为实际使用人分别开立账号。本项目中标注作业环节人员多、轮换快，是账号共用的高发环节，因此标注专区的登录做终端绑定。 服务账号责任人离场。服务账号的责任人离场而未变更责任人时，平台在账号注销流程中拦截，要求先变更责任人。责任人空缺超过约定期限的服务账号暂停，暂停影响在产任务的，由数据治理办公室指定临时责任人并限期落实正式责任人。 委外人员与我方项目组成员的权限。我方项目组成员按岗位开立账号并纳入同一套角色体系，不单独设立一套权限模型；入场前完成安全培训与保密承诺，离场当日回收并出具回收确认。人员在项目内调整承担任务时，按先收后授处理，不作权限平移。招标方委外的其他人员的权限管理按招标方现行规定执行，本规范不代为规定，但其访问本项目平台的部分同样纳入本规范的名单控制。 跨业务域联合分析的权限。数据集加工与场景验证经常需要跨域取数，例如质量缺陷统计（质量管理域）与焊接参数（生产制造域）的联合分析。处理方式不是给开发岗开放全域读权，而是以加工任务为单位申请：任务声明其读取的跨域对象清单，审批按清单中的最高级别办理，权限随任务生效与失效。任务结束后权限自动回收，不留长期跨域权限。 权限与分级结论变更的冲突。某对象的级别由 L3 调整为 L4 后，原按角色授予的权限自动超出新级别的授权方式要求。处理方式是：平台在级别变更生效时自动将该对象的角色授予权限置为待核定状态，待核定状态下只读不导出；业务域数据归口部门在十个工作日内按新级别重新核定，逾期未核定的权限自动失效。 审批人缺位。审批岗位空缺、长期出差或本人即为申请人时，按授权代理处理：代理关系须事先书面指定并登记，代理期间的审批记录标注代理人与被代理人；申请人不得审批本人申请，平台做校验拦截。L5 级申请不适用代理审批，须由归口部门负责人本人复批。 权限申请被反复驳回。同一申请人对同一对象的申请在一个季度内被驳回三次以上时，由数据治理办公室介入，核查是申请用途确实不成立，还是该数据的可获取方式需要调整（例如应当建设一项数据服务而不是逐次开放原始对象）。后者的情形转为数据需求，进入《数据需求管理规范》的需求池。 #### 5.8 与本项目业务的结合点 本规范在本项目上的落点有三处。 其一是标注岗的权限设计。本项目的标注工作量集中在 63 万张历史工艺样本的解析与标注上，标注人员数量多、批次轮换快，若按常规方式给标注岗开放数据对象的读权，权限范围会随批次累积而无法收回。本规范的处理方式是把标注岗的固有权限限定为「指派批次内样本的读取与标注写入」，属性约束的时间范围限批次周期，批次结束权限自然失效。这一设计同时服务于标注质量管理：标注人员只能看到指派给自己的样本，黄金集样本以同样形态混入批次而不被识别。 其二是 L5 级样本的加工权限。选型校核公式、关键工艺参数窗口这类 L5 级对象的加工任务，按附录 B 须在受控区进行，操作人员须同时满足三个条件：持有数据开发岗角色、在受控区人员名单内、持有有效的逐事项审批单。三个条件由平台做三道校验而非一道，原因是前两个条件变化慢、第三个条件变化快，混在一处配置会导致审批到期而访问仍然可行。 其三是外部调用方的接口权限。数据集运营服务管理平台含对外接口与数据集下载功能（b0804r04），其调用方可能是招标方的关联单位或外部使用方。本规范要求 L3 及以上级别数据的接口调用逐调用方登记并经业务域数据归口部门确认用途，调用频次设上限。频次上限不只是防护措施，也是流通计量的依据——按调用方统计的使用量进入数据资产价值评估的输入。 #### 5.9 评审与修订 本规范由信息安全归口部门起草，九个业务域数据归口部门、平台运维岗与我方项目组会签。附录 A 的角色目录须与招标方的实际岗位设置逐项对应，这一项在业务评审中逐角色确认；附录 B 的矩阵与《数据安全分级标准》一并评审，两者的级别取值必须对齐。 定期复核每半年一次，复核内容包含角色目录与实际岗位的对应关系、矩阵与平台策略的一致性、例外项的存续必要性。平台权限实现方式变更时即时复核，重点核对属性约束的五个维度是否仍能完整表达。 修订通知的同步范围包含平台的角色与策略配置、受控区名单、接口调用方登记记录与相关岗位培训材料。矩阵修订涉及管控强度提高时，已生效的授权在三个月内按新矩阵重新核定，核定期间旧授权继续有效但不新增同类授权；管控强度降低的修订立即生效。重新核定的进度按月通报，未完成核定的授权在期限届满后不予延期。 ### 六、《数据需求管理规范》V1.0 样章 本节回应招标文件数据生存周期规划要求第（1）项数据需求管理与第（5）项输出要求（b1311、b1312、b1320、b1321）。 #### 6.1 文件标识与适用范围 表 A9-8　《数据需求管理规范》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 数据需求管理规范 | | 文件编号 | GHY26691-GV-07-0005-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 内部 | | 编制依据 | GB/T 9385—2008《计算机软件需求规格说明规范》；GB/T 34960.5—2018《信息技术服务 治理 第 5 部分：数据治理规范》；本项目《数据安全分级标准》《数据权限管理规范》 | | 适用范围 | 适用于本项目范围内全部数据需求的提交、受理、评审、排期、开发、交付、验收与关闭；需求类型覆盖数据集建设需求、指标与报表需求、数据服务需求、数据质量整改需求四类；适用于招标方各部门与各分厂作为需求提交方，适用于我方项目组作为承接方 | | 不适用情形 | 平台功能需求与界面改进需求按项目变更管理流程处理，不进入本规范的需求池；两者的边界判定见本规范 4.4 条 | | 生效条件 | 经业务评审与数据治理委员会审议通过，由招标方正式发文后生效 | | 失效条件 | 被新版本替代或被明令废止 | | 归口部门 | 数据治理办公室 | | 复核周期 | 每半年一次 | | 配套表单 | 附录 A 至附录 E（见本节 6.4） | #### 6.2 章节结构 1　范围 2　规范性引用文件 3　术语和定义 3.1 数据需求 3.2 需求池 3.3 受理 3.4 排期 3.5 闭环 4　需求的来源与分类 4.1 四类需求来源 4.2 需求类型与优先级的对应 4.3 需求的提出主体 4.4 与平台功能需求的边界 5　需求提交 5.1 提交渠道 5.2 需求单的填写要求 5.3 不予受理的情形 6　需求受理 6.1 受理时限与形式检查 6.2 重复需求的合并 6.3 退回补充的处理 7　需求评审 7.1 评审组织与参与方 7.2 四个角度的评审要素 7.3 评审结论的四种取值 7.4 否定结论的转出路径 8　排期与开发 8.1 排期规则与优先级 8.2 排期结论的反馈 8.3 未排期需求的再评估 8.4 开发过程中的变更 9　交付与验收 9.1 交付内容 9.2 验收标准与一次通过的判定 9.3 验收不通过的返工与轮次记录 9.4 关闭条件 10　流程记录与运行指标 10.1 状态变更的留痕要求 10.2 记录的保存与不删除原则 10.3 月度运行指标 10.4 指标的诊断用法 附录 A　数据需求单模板（规范性） 附录 B　需求评审记录模板（规范性） 附录 C　采集扩展清单模板（规范性） 附录 D　接口协调清单模板（规范性） 附录 E　需求池状态定义表（规范性） #### 6.3 关键条款 4.1.1　数据需求按来源分四类。第一类为数据集建设需求，来自四类数据集的加工计划与场景验证的数据要求，这类需求量最大且有明确交付时点。第二类为指标与报表需求，来自决策指标体系与各部门管理需要。第三类为数据服务需求，来自应用系统对标准化数据接口的需要。第四类为数据质量整改需求，由质量问题闭环中需要系统改造的问题单转化而来。 4.2.1　四类需求统一进入同一个需求池，按同一流程处理；排期时按来源区分优先级，优先级规则见 8.1 条。设置单一需求池的理由是避免同一数据对象被不同渠道重复建设——不同部门各自提报时并不知道其他部门已提过相同的数据。 4.4.1　需求指向数据内容、口径、范围或交付形态的，属数据需求，进入本规范流程。需求指向平台功能、界面、操作流程或性能的，属平台功能需求，走项目变更管理流程。一项需求同时包含两者的，拆为两张单分别处理，并在两张单上互相标注关联编号。 5.2.1　需求单按附录 A 填写，字段组为八组：基本信息、业务背景、数据范围、质量要求、安全要求、交付形态、评审意见、排期与反馈。业务背景组中「不满足时的业务后果」为必填项，该项的作用是让提出方说明这个数据拿去做什么判断；写不出后果的需求，通常是「先要一张表再看」，这类需求在评审中难以判断必要性。 5.3.1　下列情形不予受理，退回补充：需求单必填字段缺失；数据范围未写到字段层；期望交付时间无依据说明；涉及 L4 及以上级别数据而未填写使用人员范围。退回时写明缺项，不作笼统退回。 6.1.1　受理时限为两个工作日，由数据治理办公室完成形式检查并登记入需求池。形式检查只检查要素齐备性，不判断必要性与可行性，后者属评审环节。 6.2.1　受理时检索需求池与数据资源目录，发现同一数据对象的在途需求或已有可满足的数据服务时，作合并或引导处理：在途需求合并为一张单，原提出方列为共同需求方；已有数据服务可满足的，告知服务标识与申请方式并关闭该需求，关闭理由记为「已有服务可满足」。 7.2.1　评审从四个角度给出结论，每个角度须单独写明结论与理由，不以「同意」概括。 必要性：是否已有同类数据、指标或服务可满足；是否与在途需求重复；需求的业务后果是否成立。 合法性：数据来源是否合法、使用用途是否在授权范围内、是否涉及个人信息或敏感数据而未提出相应处理要求。 可行性：源数据是否存在；现有质量是否够用；接口是否可开通；所需工作量与排期是否匹配。 安全合规：涉及的最高数据级别、使用人员范围、脱敏要求与审批层级是否匹配《数据安全分级标准》与《数据权限管理规范》的要求。 7.3.1　评审结论取四值：通过并排期；通过但待条件具备（写明条件与再评估时点）；转出（写明转出路径）；不通过（写明理由）。 7.4.1　可行性为否定结论的需求不作简单驳回，按两条路径转出：需要扩大采集范围的，转入《采集扩展清单》（附录 C）；需要源系统开通接口或变更字段的，转入《接口协调清单》（附录 D）。两张清单按月与招标方对接推进，推进结果回写至原需求单，条件具备后重新进入评审。 8.1.1　排期按三条规则确定优先级：带明确交付时点的数据集建设需求优先，因其直接影响数据集交付节点；阻断级质量整改需求优先，因其影响在产数据的可用性；其余需求按业务价值与实现成本排序。同一优先级内按提交时间先后排列。 8.2.1　排期结论在确定后两个工作日内反馈提出方，反馈内容包含排期结论、计划起止时间、承接岗位与验收安排。结论为待条件具备或转出的，反馈中写明条件、负责推进方与再评估时点，不以「待协调」一词带过。 8.3.1　未排期需求每月重新评估一次，评估结论为继续等待、提升优先级或关闭。连续三个月未排期且提出方未再催办的需求，征询提出方意见后关闭，关闭理由记为「需求失效」，不作静默沉底处理。 8.4.1　开发过程中需求发生变更的，按变更范围分两种处理：不改变数据范围与质量要求的表述修正，由承接方记录后继续执行；改变数据范围、字段清单、质量要求或安全要求的，以版本方式追加并重新评审，原排期作废后重新排期。 9.1.1　交付内容按交付形态确定：接口形态交付接口契约文档与调用示例；文件形态交付文件、字段说明与校验值；视图形态交付视图说明与访问方式；订阅形态交付事件格式与重放方式；数据集形态按版本五件套交付。交付时同步完成数据资源目录或服务目录的登记。 9.2.1　验收由提出方执行，验收标准在排期时即与提出方约定并写入需求单，内容包含数据范围核对、质量要求的实测结果、交付形态是否可用三项。三项均符合为一次通过；任一项不符合为不通过，返工并记录轮次。 9.3.1　验收不通过的返工记录轮次，第三轮仍不通过的由数据治理办公室组织复议，复议内容为需求描述是否清晰、验收标准是否可判定、承接方理解是否有偏差三项。复议结论可以是修订需求、修订验收标准或更换承接安排。 9.4.1　需求关闭的条件为三项齐备：提出方验收通过；交付物已登记入数据资源目录或服务目录；相关权限已按《数据权限管理规范》授予。三项缺一不得关闭。 10.1.1　需求单的每一次状态变更产生一条记录，记录内容包含操作岗位、时间、意见与附件。状态定义见附录 E，状态流转不可跳跃，不可逆向修改历史记录。 10.2.1　驳回与未排期的需求同样留存，不删除。需求变更不覆盖原需求，以版本方式追加，原版本与变更版本均保留；变更涉及数据范围或质量要求的，重新评审。流程记录的保存期限不短于项目期加质保期。 10.3.1　月度运行指标为五项：受理时效、评审时效、按期交付率、验收一次通过率、驳回原因构成。指标按月统计并在数据治理办公室月度例会上通报。 10.3.2　月度运行指标中的按期交付率以排期时确定的计划完成时间为基准，因提出方原因导致的延期单独统计，不计入未按期。这一区分的目的是让指标反映承接侧的实际表现，否则指标会在双方之间互相推诿。 10.4.1　驳回原因构成是五项指标中诊断价值最高的一项。若「已有同类数据」占比高，说明数据资源目录的检索与宣传不足；若「源数据不存在」占比高，说明采集范围需要扩展；若「安全要求不匹配」占比高，说明提出方对分级标准不熟悉，需补充培训。指标的用法不是考核提出方，而是定位管理动作。 10.4.2　需求管理的运行情况按季度形成分析，内容包含需求来源构成、各类需求的平均周期、转出清单的推进情况与典型需求案例。转出清单的推进情况是其中最需要外部协同的部分，分析中逐条列出停滞条目及其阻点。 图 A9-5　需求单状态流转与各状态产出的流程记录 已提交 需求单 V1 已受理 形式检查记录 评审中 四角度意见 已排期 排期结论 开发中 开发与自检记录 已交付 交付说明 验收中 验收结论与轮次 已关闭 三项齐备方关闭 验收不通过：返工并记轮次 退回补充 写明缺项，不作笼统退回 未排期（按月再评估） 连续三月且无催办则征询后关闭 转出 采集扩展清单／接口协调清单 不通过 写明理由，记录不删除 条件具备后重新评审 每次状态变更生成一条记录（操作岗位、时间、意见、附件）；需求变更以版本追加，原版本保留。 数据来源：招标文件第五章 3.2.6.1.1.2.8 第（1）项（b1311、b1312）；状态定义取本规范附录 E。 图 A9-5　需求单状态流转与各状态产出的流程记录。数据来源：招标文件第五章 3.2.6.1.1.2.8 第（1）项数据需求管理要求（b1311、b1312）；状态定义取本规范附录 E。 #### 6.4 附录内容 附录 A　数据需求单模板（规范性） | 字段组 | 字段 | 类型 | 必填 | 填写要求或取值域 | |---|---|---|---|---| | 基本信息 | 需求编号 | 文本 | 是 | XQ 加年份加四位顺序号，系统生成 | | 基本信息 | 提交部门与岗位 | 文本 | 是 | 引用组织目录 | | 基本信息 | 提交时间 | 日期 | 是 | 系统记录 | | 基本信息 | 需求类型 | 枚举 | 是 | 数据集建设／指标与报表／数据服务／质量整改 | | 基本信息 | 期望交付时间 | 日期 | 是 | 须填写依据说明 | | 基本信息 | 关联编号 | 文本 | 否 | 关联的平台功能需求单或质量问题单编号 | | 业务背景 | 业务场景 | 文本 | 是 | 写明在什么业务环节使用 | | 业务背景 | 使用方式 | 枚举 | 是 | 人工查阅／报表展示／系统调用／模型训练／场景验证 | | 业务背景 | 不满足时的业务后果 | 文本 | 是 | 写明具体后果，不接受「影响工作」一类表述 | | 数据范围 | 业务域 | 枚举 | 是 | 9 个业务域 | | 数据范围 | 数据对象 | 文本 | 是 | 引用数据资源目录条目 | | 数据范围 | 字段清单 | 文本 | 是 | 逐字段列出并引用数据元标识 | | 数据范围 | 时间范围 | 文本 | 是 | 起止区间或滚动窗口 | | 数据范围 | 数据量级 | 文本 | 是 | 预估条数或容量 | | 质量要求 | 完整性要求 | 文本 | 是 | 写明关键字段的非空要求 | | 质量要求 | 准确性要求 | 文本 | 是 | 写明可接受的偏差范围 | | 质量要求 | 及时性要求 | 文本 | 是 | 写明可接受的时延 | | 质量要求 | 其他维度要求 | 文本 | 否 | 一致性、唯一性、有效性按需填写 | | 安全要求 | 涉及最高级别 | 枚举 | 是 | L1 至 L5，引用分级标准 | | 安全要求 | 使用人员范围 | 文本 | 是 | 岗位或名单范围 | | 安全要求 | 脱敏要求 | 枚举 | 是 | 不需要／按规则脱敏／去标识化 | | 交付形态 | 形态 | 枚举 | 是 | 接口／文件／视图／订阅／数据集 | | 交付形态 | 服务标准引用 | 文本 | 条件必填 | 选定形态后引用对应服务标准条目 | | 评审意见 | 必要性结论与理由 | 文本 | 是 | 单独给结论 | | 评审意见 | 合法性结论与理由 | 文本 | 是 | 单独给结论 | | 评审意见 | 可行性结论与理由 | 文本 | 是 | 单独给结论 | | 评审意见 | 安全合规结论与理由 | 文本 | 是 | 单独给结论 | | 评审意见 | 工作量评估 | 文本 | 是 | 人日或工作包数 | | 排期与反馈 | 排期结论 | 枚举 | 是 | 已排期／待条件具备／转出／不通过 | | 排期与反馈 | 计划起止时间 | 日期 | 条件必填 | 结论为已排期时必填 | | 排期与反馈 | 未排期原因与再评估时点 | 文本 | 条件必填 | 结论非已排期时必填 | | 排期与反馈 | 交付时间与交付内容 | 文本 | 条件必填 | 交付后填写 | | 排期与反馈 | 验收结论与轮次 | 文本 | 条件必填 | 验收后填写 | 需求单样例（节选，示意填写粒度）：需求编号 XQ-2027-0143｜提交部门【待填：工艺技术部门】｜需求类型 数据集建设｜业务场景 工艺设计数据集指令微调子集需补充坡口类型与焊接参数的对应样本｜使用方式 模型训练｜不满足时的业务后果 该子集在焊接工艺问答上的样本覆盖不足，场景验证中与坡口相关的问题回答准确率低于基线，无法支撑该场景的验证结论｜数据对象 焊接工艺规程、焊缝符号标注、焊接参数记录｜字段清单 坡口类型、板厚、焊接方法、电流、电压、焊接速度、保护气体成分｜涉及最高级别 L5（关键焊缝参数窗口）｜使用人员范围 受控区名单内数据开发岗｜脱敏要求 按规则脱敏（参数区间化）｜交付形态 数据集。 附录 B　需求评审记录模板（规范性） 字段包含：评审批次、评审日期、参与岗位、需求编号清单、逐需求的四角度结论、分歧事项与处理方式、评审结论汇总、下次评审时点、记录人岗位、归档编号。分歧事项一栏的作用是留下不同意见，避免评审结论看起来一致而实际存在未解决的争议。 附录 C　采集扩展清单模板与样例行（规范性） | 清单编号 | 来源需求编号 | 需扩展的数据对象 | 所在系统或现场 | 扩展方式 | 前置条件 | 涉及方 | 推进状态 | 计划时点 | |---|---|---|---|---|---|---|---|---| | CJ-0007 | XQ-2027-0143 | 关键焊缝焊接过程参数（按焊道） | 焊接车间焊机与现场采集 | 新增测点采集与数据上传 | 需确认停机窗口与施工条件 | 【待填：生产制造归口部门】 | 待现场勘察 | 【待填】 | | CJ-0011 | XQ-2027-0158 | 热处理炉次完整温度曲线（含升温段） | 热处理群控系统 | 扩大取数范围至升温与保温全段 | 需群控系统开放历史曲线接口 | 【待填：设备管理归口部门】 | 待接口评估 | 【待填】 | 附录 D　接口协调清单模板（规范性） 字段包含：清单编号、来源需求编号、源系统名称、所需接口或字段、现状说明、协调内容、涉及的源系统归口部门与运维方、协调进展、计划完成时点、未能开通时的替代方案。替代方案一栏为必填，内容为在接口未开通期间如何维持需求方的最低可用性，例如按期人工导出、按批次文件交换或降低更新频率。 附录 E　需求池状态定义表（规范性） | 状态 | 进入条件 | 允许的下一状态 | 产出记录 | |---|---|---|---| | 已提交 | 需求单提交 | 已受理、退回补充 | 需求单首版 | | 退回补充 | 形式检查不通过 | 已提交 | 退回记录与缺项说明 | | 已受理 | 形式检查通过并登记 | 评审中、已关闭（已有服务可满足） | 形式检查记录 | | 评审中 | 进入评审批次 | 已排期、未排期、转出、不通过 | 四角度评审意见 | | 未排期 | 评审通过但待条件具备 | 已排期、已关闭 | 再评估记录（按月） | | 转出 | 可行性受阻且转入两张清单 | 评审中、已关闭 | 清单登记与推进记录 | | 不通过 | 评审结论为不通过 | 已关闭 | 不通过理由 | | 已排期 | 排期结论确定 | 开发中 | 排期结论与计划时间 | | 开发中 | 开发启动 | 已交付 | 开发与自检记录 | | 已交付 | 交付物提交需求方 | 验收中 | 交付说明 | | 验收中 | 需求方开始验收 | 已关闭、开发中（返工） | 验收结论与轮次 | | 已关闭 | 三项关闭条件齐备或按规则关闭 | — | 关闭记录与理由 | #### 6.5 需求池样例与各环节的验证口径 表 A9-8a　需求池样例行（示意填写粒度，反映四类来源的实际形态） | 需求编号 | 类型 | 提交部门 | 需求摘要 | 涉及级别 | 交付形态 | 评审结论 | 当前状态 | 关键记录 | |---|---|---|---|---|---|---|---|---| | XQ-2027-0143 | 数据集建设 | 【待填：工艺技术部门】 | 补充坡口类型与焊接参数对应样本，支撑焊接工艺问答场景 | L5 | 数据集 | 通过并排期 | 开发中 | 受控区加工审批单 SP-0881 | | XQ-2027-0151 | 质量整改 | 【待填：质量管理部门】 | 焊缝无损检测记录的评定等级字段取值不规范，需按标准值域重构 | L3 | 接口 | 通过并排期 | 验收中 | 质量问题单 ZL-0233，一次通过 | | XQ-2027-0158 | 数据集建设 | 【待填：热处理车间】 | 热处理炉次温度曲线需扩至升温与保温全段 | L5 | 数据集 | 转出 | 转出 | 采集扩展清单 CJ-0011，待接口评估 | | XQ-2027-0162 | 指标与报表 | 【待填：生产管理部门】 | 按产线与机型统计一次交检合格率 | L3 | 视图 | 关闭 | 已关闭 | 关闭理由：已有服务可满足，指向服务 SV-0044 | | XQ-2027-0170 | 数据服务 | 【待填：售后服务部门】 | 在役装备测点数据的按矿方查询接口 | L4 | 接口 | 通过但待条件具备 | 未排期 | 待矿方数据使用确认，再评估时点【待填】 | | XQ-2027-0176 | 数据集建设 | 【待填：数据治理办公室】 | 场景验证归因指向供需计划子集样本覆盖不足，需补充采购提前期样本 | L3 | 数据集 | 通过并排期 | 已排期 | 来源为场景验证回流 | | XQ-2027-0181 | 指标与报表 | 【待填：财务部门】 | 按机型的单位成本构成分析 | L3 | 文件 | 通过并排期 | 已交付 | 验收二轮通过，轮次记录在单 | | XQ-2027-0188 | 数据服务 | 【待填：仓储部门】 | 关键备件库存的变更订阅 | L3 | 订阅 | 不通过 | 已关闭 | 不通过理由：源系统不产生变更事件，转接口协调清单 JK-0009 | 表 A9-8b　需求管理各环节的验证口径 | 要求条款 | 要求内容 | 判定方法 | 不合格时的处置 | 复核周期 | |---|---|---|---|---| | 5.2.1 | 需求单必填项齐备且业务后果写实 | 抽取受理单，核查必填率与业务后果描述的具体性 | 空泛的退回补充；同一部门反复空泛的补充填写指引培训 | 月 | | 6.1.1 | 受理时限两个工作日 | 统计提交至受理的时长分布 | 超时的在月度例会通报并核查受理岗设置 | 月 | | 6.2.1 | 重复需求被识别 | 统计以「已有同类数据」关闭的需求占比；抽查已关闭需求的指向是否准确 | 指向错误的重新受理；占比持续偏高的改进目录检索 | 季度 | | 7.2.1 | 四角度逐项有结论与理由 | 抽取评审记录，核查四项是否均有独立结论 | 以「同意」概括的退回重评 | 月 | | 7.4.1 | 否定结论按两条路径转出 | 核对可行性否定需求与两张清单的条目对应关系 | 未转出即驳回的恢复为转出状态 | 月 | | 8.1.1 | 排期优先级规则被遵循 | 抽取排期批次，核对带交付时点与阻断级需求是否优先 | 优先级错位的重新排期并说明原因 | 季度 | | 8.2.1 | 排期结论两个工作日内反馈 | 统计排期至反馈的时长 | 超时的补发反馈并记录 | 月 | | 8.3.1 | 未排期需求按月再评估 | 核查未排期需求的再评估记录 | 连续两月无再评估的由办公室直接组织评估 | 月 | | 9.2.1 | 验收标准在排期时约定 | 抽取已交付需求，核查其验收标准是否在排期阶段即写入 | 事后补写的记录为流程偏差 | 月 | | 9.4.1 | 关闭三条件齐备 | 抽取已关闭需求，核查验收、目录登记、权限授予三项 | 条件不齐的恢复为验收中状态 | 月 | | 10.1.1 | 状态变更留痕完整 | 核查状态流转记录的操作岗位与意见填写率 | 记录缺失的补填；系统未生成的核查配置 | 月 | | 10.2.1 | 驳回与未排期需求不删除 | 核对需求池总数与各状态计数的一致性 | 发现删除记录的追溯操作账号并按违规处理 | 季度 | | 10.3.1 | 月度指标按期出具 | 核查五项指标的月度记录 | 未出具的在例会通报 | 月 | #### 6.6 异常与边界情形的处理 需求方要求的交付时点无法满足。提出方的期望时间常来自上级要求或外部节点，与承接能力不匹配。处理方式不是在排期中承诺后延期，而是在排期阶段给出两个备选：缩小首批范围先交付核心字段，其余分期；或按原范围排至可行时点。两个备选均写入需求单，由提出方选择并签认。承诺后延期的代价远高于排期阶段说明清楚。 需求描述与实际需要不一致。交付后提出方表示「要的不是这个」，常见原因是需求单中数据范围写得笼统而双方理解不同。处理方式为：核查需求单的字段清单与质量要求是否明确——明确而交付偏离的，按返工处理并记轮次；需求单本身笼统的，判定为需求描述不足，重新评审并以版本方式追加，返工轮次不计入承接侧指标。这一区分写入制度，避免双方在责任上争执。 同一数据被多部门重复提报。处理方式为合并为一张单并列共同需求方，交付后在数据资源目录中登记该数据的可获取方式，并在部门月度例会上通报一次，减少后续重复提报。合并后的需求若各方的质量要求不同，取其中最严的要求执行，其余方的要求作为可接受下限记录。 需求涉及尚未纳管的数据。此情形按两步处理：若该数据在源系统中存在但未纳管，转采集扩展清单并同时提出资源目录登记申请；若该数据在任何系统中均不存在，转为业务流程改进建议提交对应业务域，不在需求池中长期挂账。第二种情形在本项目中会遇到——28 道备料工序中部分工序的过程参数现场并未记录，这不是数据接入问题而是采集点位缺失问题。 质量整改需求与数据集加工的排期冲突。质量整改需求通常影响在产数据集的样本质量，但整改涉及源系统改造时周期较长。处理方式是分流：阻断级问题的整改优先，整改期间相关样本暂不进入正式版本；非阻断级问题按常规排期，同时在数据卡中记录该质量问题及其影响范围，使使用方知晓。 需求提出方岗位变动。提出方岗位变动而需求仍在途时，由其所在部门指定接手人并在需求单中变更联系人；无人接手的，由办公室征询部门意见后关闭，关闭理由记为「需求方撤回」。不作静默沉底处理的原因是：沉底的需求在后续被重新提报时，前一轮的评审结论与转出记录就失去了价值。 #### 6.7 场景验证数据需求的来源映射 第 4.1.1 条把场景验证的数据要求列为第一类需求来源。招标文件列明的 11 个数据集验证场景（b0684）各自对数据的要求不同，本节给出映射表，作为需求受理时判断归属与优先级的依据。本包承担的是数据集加工生产、质量评测与场景验证服务，场景本身的建设不属本包范围；因此本表的内容是各场景验证所需的数据，而非场景的功能需求。 表 A9-8c　11 个验证场景的数据需求映射 | 验证场景 | 主要数据来源主题 | 涉及业务域 | 涉及最高级别 | 需求的典型形态 | 回流需求的常见归因 | |---|---|---|---|---|---| | 产品智能选型 | 选型与校核、项目与矿方工况、产品主数据与型谱 | 研发设计、营销管理 | L5 | 工况—配置—校核结论的对应样本 | 工况参数区间化后区分度不足 | | 板材备料工艺智能设计 | 备料与下料、工艺执行、图纸与模型 | 生产制造、研发设计 | L5 | 28 道备料工序的工艺卡片与下料套排样本 | 部分工序缺过程记录 | | 库存控制智能化 | 库存与库位、入出库流水、备件管理、采购订单与价格 | 仓储物流、采购管理 | L3 | 消耗—补货—提前期的时序样本 | 提前期样本覆盖期间不足 | | 热处理过程控制智能化 | 热处理炉次、检验与试验 | 生产制造、质量管理 | L5 | 炉次曲线与硬度结果配对样本 | 曲线缺升温段；时间基准错位 | | 焊接过程控制智能化 | 焊接过程、无损检测、技术标准与规程 | 生产制造、质量管理 | L5 | 坡口与参数—检测评定配对样本 | 关键焊缝参数样本不足 | | 刮板输送装备健康诊断智能化 | 在役装备远程监测、维修与备件、售后与服务工单 | 设备管理、营销管理 | L4 | 测点时序与故障事件对齐样本 | 矿方代号化后工况标签缺失 | | 管理制度智能问答助手 | 制度与标准文件 | 跨域 | L3 | 制度条款的问答与引用样本 | 制度版本有效性未标注 | | 技术标准智能问答助手 | 技术标准与规程 | 研发设计 | L3 | 标准条款的问答样本（引用事实性内容） | 外部标准正文的许可范围受限 | | 标书智能问答助手 | 制度与标准文件、合同与订单 | 跨域、营销管理 | L5 | 标书条款与应答对应样本 | 含报价与条款的样本不可流通 | | 决策数据智能问答助手 | 成本与定额、产能与定额、供方绩效、质量追溯 | 财务、生产制造、采购、质量 | L5 | 指标口径与取数路径样本 | 指标口径未统一 | | 合同合规审查智能助手 | 合同与订单、制度与标准文件 | 营销管理、跨域 | L5 | 条款—风险点—处理意见样本 | 合同关键条款不进入流通数据集 | 表的末列是本项目需求管理中最需要关注的一栏。场景验证未达基线时，归因结论多数指向样本覆盖或分布，而非加工工艺本身；这些结论转为新的数据集建设需求回流需求池，按本规范 8.1.1 条的第一条优先级排期。四个问答类场景的共同约束是其语料的许可与密级——标书、合同与决策数据相关的样本涉及 L5 级内容，验证可在受控区进行，但相应数据集的对外流通范围须在数据卡中单独声明。 #### 6.8 按业务域的需求受理与协同接口 表 A9-8d　需求受理的协同接口 | 业务域 | 常见需求类型 | 主要源系统 | 需协同的事项 | 协同对接方 | |---|---|---|---|---| | 研发设计 | 数据集建设（图纸与工艺配对） | 产品生命周期管理系统 | 图纸解析就地进行的环境与权限 | 研发设计数据归口部门 | | 生产制造 | 数据集建设、质量整改 | 制造执行系统、数据采集与监控系统、热处理群控系统 | 采集点位扩展、停机窗口与施工条件 | 生产制造数据归口部门 | | 质量管理 | 质量整改、指标与报表 | 质量管理系统、实验室管理系统 | 检测结果字段的标准值域重构 | 质量管理数据归口部门 | | 设备管理 | 数据服务、数据集建设 | 企业资产管理系统、服务运维支撑系统 | 在役装备数据的矿方使用确认 | 设备管理数据归口部门 | | 采购管理 | 指标与报表、数据集建设 | 供应链管理系统、企业资源计划系统 | 供方数据使用确认、质保书权属 | 采购与供应链归口部门 | | 营销管理 | 数据服务、数据集建设 | 客户关系管理系统、主数据管理平台 | 客户与矿方信息的脱敏尺度 | 营销管理数据归口部门 | | 仓储物流 | 指标与报表、数据服务 | 仓储管理系统 | 库存口径与财务口径的一致 | 仓储物流数据归口部门 | | 财务管理 | 指标与报表 | 财务核算系统 | 成本口径确认、区间化尺度 | 财务管理数据归口部门 | | 人力资源 | 指标与报表 | 【待填：人力资源系统】 | 人员信息去标识化范围 | 人力资源数据归口部门 | | 跨域 | 数据集建设（问答类语料） | 办公自动化系统 | 制度版本有效性标注、密级标记 | 数据治理办公室 | 本表的用途是在需求受理环节直接定位协同对接方，减少需求在部门之间转手。表中「需协同的事项」一列列出的都是在评审中已知会出现的前置条件，受理时即可一并提示提出方。 #### 6.9 与本项目业务的结合点 本规范在本项目上有两处需要特别说明的落点。 第一处是数据集建设需求与场景验证的衔接。本项目的数据集加工不是一次成型：场景验证发现某一场景的回答质量不达基线时，归因结论往往指向数据集的样本覆盖不足或分布失衡，这一结论会转为新的数据集建设需求回流到需求池。因此本规范把场景验证的数据要求明确列为第一类需求来源，并在需求单中设「使用方式」字段的「场景验证」取值，使这类回流需求可被单独统计。回流需求的占比与归因结论的分布一并分析，可以判断是加工口径问题还是源数据缺口问题。 第二处是可行性否定结论的高发。本项目的数据需求中，相当一部分会在可行性环节受阻，原因通常是源数据不存在或源系统接口未开通——招标方的数据采集与监控目前覆盖部分车间与部分设备，28 道备料工序中并非每道工序都有完整的过程数据。本规范 7.4.1 条把这类需求转入采集扩展清单与接口协调清单两张清单，而不是驳回。两张清单按月与招标方对接，清单上的条目是现场勘察与接口协调工作的输入，也是数据供给能力评估结论的实际落点。采集点位的布设与设备侧改造涉及招标方生产现场，须由招标方确认停机窗口与施工条件，这一责任边界在附录 C 的「前置条件」字段中逐条记录。 #### 6.10 评审与修订 本规范由数据治理办公室起草，九个业务域数据归口部门会签。附录 A 的需求单字段须经业务评审确认，重点是必填项的设置——必填项过多会使提出方放弃填写而改走私下沟通，必填项过少则评审无从判断。首版发布后的前两个月按实际使用情况回看必填项的填写质量，填写质量低的字段修订其填写要求或改为条件必填。 定期复核每半年一次，复核输入为月度运行指标与驳回原因构成。指标连续两个季度未改善的，复核时须给出是流程问题还是资源问题的判断，不以「加强管理」作为复核结论。 修订通知的同步范围包含平台的需求单表单配置、状态流转配置、月度指标统计口径与相关岗位的填写指引。需求单字段增减时，在途需求按原字段继续流转，新提交需求按新字段填写，统计口径中区分两者的生效区间。 ### 七、《数据设计开发规范》V1.0 样章 本节回应招标文件数据生存周期规划要求第（2）项数据设计与开发、第（5）项输出要求（b1313、b1314、b1320、b1321），并与采集环节的数据源登记、许可核验、入口脱敏与格式合规校验要求（b1396、b1534）衔接。 #### 7.1 文件标识与适用范围 表 A9-9　《数据设计开发规范》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 数据设计开发规范 | | 文件编号 | GHY26691-GV-07-0006-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 内部 | | 编制依据 | GB/T 8567—2006《计算机软件文档编制规范》；GB/T 36345—2018《信息技术 通用数据导入接口》；GB/T 24734—2009《技术产品文件 数字化产品定义数据通则》；GB/T 14689—2008《技术制图 图纸幅面和格式》；本项目数据模型分层架构、数据元标准与《数据安全分级标准》 | | 适用范围 | 适用于本项目数据采集接入、数据加工、数据模型设计与数据接口开发四类作业；适用于 9 个业务域的结构化业务数据、文档、图纸、时序数据、图像五类数据形态；适用于我方项目组开发人员与招标方参与开发配置的岗位 | | 不适用情形 | 智能工具链内部算法实现与模型训练代码的编写规范按技术方案相应章节执行，本规范规定其数据输入输出的接口与登记要求 | | 生效条件 | 经业务评审与数据治理委员会审议通过，由招标方正式发文后生效 | | 失效条件 | 被新版本替代或被明令废止 | | 归口部门 | 数据治理办公室 | | 复核周期 | 每半年一次；数据模型分层架构或数据元标准修订时即时复核 | | 配套表单 | 附录 A 至附录 G（见本节 7.4） | #### 7.2 章节结构 1　范围 2　规范性引用文件 3　术语和定义 3.1 采集任务 3.2 加工任务 3.3 水位线 3.4 幂等 3.5 血缘 3.6 契约 4　通用要求 4.1 设计先于开发 4.2 规范的落地入口 4.3 例外的申请与记录 5　数据采集规范 5.1 采集前置条件 5.2 五类数据形态的采集要点 5.3 频率与增量口径 5.4 入口校验与入口脱敏 5.5 时间基准对齐 5.6 采集范围扩展的推进方式 6　数据加工规范 6.1 分层落地 6.2 幂等与可重跑 6.3 命名与注释 6.4 血缘登记 6.5 加工任务的配置要素 6.6 补数作业的特别要求 7　数据模型设计规范 7.1 模型分层的引用关系 7.2 主键与唯一性 7.3 字段设计与数据元引用 7.4 枚举与码表引用 7.5 变更的向后兼容 8　接口开发规范 8.1 契约定义 8.2 版本管理 8.3 鉴权与调用方登记 8.4 限流与配额 8.5 幂等键 8.6 可观测性 9　评审检查点 9.1 五个检查点与检查项 9.2 不通过的处置 9.3 上线后复核与回退 10　留痕与交维 10.1 开发过程记录 10.2 交维清单 10.3 文档同步要求 附录 A　命名规则表（规范性） 附录 B　加工任务配置要素表（规范性） 附录 C　血缘登记字段表（规范性） 附录 D　接口契约模板（规范性） 附录 E　五类数据形态采集要点表（规范性） 附录 F　评审检查点检查表（规范性） 附录 G　交维清单模板（规范性） #### 7.3 关键条款 4.1.1　任何采集任务、加工任务与接口在开发前须有设计说明，设计说明经设计评审通过后方可进入开发。设计说明的最小内容为：输入对象与字段、输出对象与字段、处理逻辑、调度与依赖、涉及的数据级别与脱敏要求、异常处理方式。 4.3.1　确有理由不能满足本规范某项要求的，提出例外申请，写明理由、影响与过渡安排，由数据治理办公室批准并登记。例外不设默认有效期，须写明再评估时点；未写再评估时点的例外申请不予批准。 5.1.1　采集任务开发前须完成三项前置：数据源已在《数据源登记台账》中登记；许可凭证经核验有效；该源数据的分级标签已标记（b1534）。三项缺一不得开发采集任务。 5.2.1　五类数据形态的采集要点见附录 E。采集方式一律采用只读方式接入源系统，不在源系统侧执行写操作。图纸类数据的解析在内网就地进行，原始图纸文件不离开招标方内网。 5.3.1　结构化业务数据按更新时间戳做增量采集，水位线持久化保存；水位线的推进在批次成功落地后执行，落地失败不推进水位线。文档类按版本变更触发；图纸类按图号批次；时序数据按测点采样周期，秒级测点按时间窗口批量取数；图像类按作业批次关联工件标识采集。 5.4.1　入口校验在数据落地前执行，校验项包含空值、格式、值域、外键与密级标记五类，校验不通过的记录进入隔离区并生成待处理清单，不直接丢弃也不带错落地。入口脱敏对涉及个人信息与敏感地理信息的字段在落地前完成变换，脱敏执行情况随批次记录（b1396）。 5.5.1　纳入采集的数据源须使用统一时间基准。不具备条件的数据源，须记录其时钟偏差并在加工环节校正，偏差值与校正方式登记在采集任务配置中。时间基准不统一会使炉次与温度曲线、焊道与参数流的对齐错位，错位样本在数据集中构成污染而非噪声，因此本条为采集类任务的上线前置检查项。 5.6.1　采集范围的扩展按场景优先级分批推进，首期以试点炉型、试点产线与试点车间所需设备为准，扩展清单以现场勘察结论为准。采集点位的布设与设备侧改造涉及招标方生产现场，须由招标方确认停机窗口与施工条件，确认结论记录在《采集扩展清单》中。 6.1.1　加工任务按数据模型分层写入，层间依赖单向，不跨层直连。每个加工任务须声明其读取层与写入层；违反单向依赖的任务不予上线。 6.2.1　加工任务须满足幂等：同一任务对同一输入批次重复执行，结果一致。实现要求为两项：写入按业务主键与批次标识做覆盖而非追加；任务记录处理水位线并支持按指定水位线重跑。幂等性的实际价值在质量问题整改后的补数场合——不具备幂等性的任务，补数会产生重复记录，制造新的质量问题。 6.3.1　表名、字段名、任务名按附录 A 的命名规则命名。字段的中文名引用数据元标准名称，不自行另起名称。加工逻辑中的业务判断须有注释，注释内容为判断依据而非代码功能的复述，例如某字段取值被过滤的理由与依据文件。 6.4.1　加工任务上线时登记血缘，登记内容为输入输出对象与字段级映射关系，字段格式见附录 C。未登记血缘的任务不予上线。血缘的用途为质量问题溯源与标准变更影响评估两项，因此字段级映射中的加工方式必须写明，仅登记表级血缘不满足本条要求。 6.5.1　加工任务的配置要素按附录 B 填写，要素缺失的任务不予上线。其中质量规则绑定一项要求至少绑定一条阻断级规则——未绑定阻断级规则的任务，其输出的错误只能依靠下游发现，这与质量门控前移的取向相反。 6.6.1　补数作业须指定补数范围与依据，依据为质量问题单号、故障单号或变更通知号之一。补数前评估对下游的影响并通知下游责任方；补数后对受影响批次重跑质量规则并记录结果。补数作业与常规调度使用同一任务代码，不另写一次性脚本——一次性脚本的处理逻辑无法被评审、无法被重跑、也不进入血缘。 7.1.1　数据模型分层的层次定义、各层职责与允许的依赖方向在数据模型分层架构文件中给出，本规范不重复定义。本规范规定的是执行要求：每个加工任务声明读取层与写入层；同层之间的直接依赖须在设计评审中说明理由并记例外；应用层不直接读取贴源层。 7.2.1　每张表须定义主键，主键不使用可变业务含义字段。存在业务唯一性约束的，除主键外另定义唯一性约束并在质量规则库中配置相应的唯一性校验规则。 7.3.1　字段设计须引用数据元标准，引用内容包含数据元标识、类型、长度、精度与值域。数据元标准中尚无对应条目的，先提出数据元新增申请，申请通过后再开发；不先行创建字段后补标准。 7.4.1　枚举字段引用码表，不在表中直接存放中文描述。码表引用参考数据标准中的代码值域字典，码值新增走参考数据的变更流程。 7.4.2　码表变更的影响评估在变更评审中完成，评估内容为引用该码表的表与接口清单、历史数据中已存在的旧码值的处理方式、下游报表与数据集的影响。码值废止不删除历史记录中的旧值，以有效期标注区分。 7.5.1　模型变更遵循向后兼容原则：新增字段允许，字段含义变更与字段删除须评估下游影响并经变更评审。字段类型收窄、长度缩短、值域缩小视为不兼容变更，须通知下游并约定过渡期。 8.1.1　接口契约须定义请求与响应结构、字段引用的数据元标识、分页与排序方式、错误码表与错误信息格式。错误码表须区分业务错误与系统错误，调用方据此判断是否重试。 8.2.1　接口版本管理规则：新增字段向后兼容，不改变原字段语义；不兼容变更须发布新版本并公告过渡期，过渡期内新旧版本并行；旧版本下线前确认无调用方在用，确认依据为调用日志而非口头确认。 8.3.1　接口鉴权按调用方登记执行。L3 及以上级别数据的接口须登记调用方与用途，登记要求见《数据权限管理规范》5.3.1 条。未登记的调用请求一律拒绝并记录被拒绝的尝试。 8.4.1　限流与配额按调用方与数据级别设定。超出配额的请求返回明确的错误码，不作静默丢弃；配额调整走权限变更流程。 8.5.1　写类接口须支持幂等键，调用方重复提交相同幂等键的请求返回首次处理结果，不重复写入。 8.6.1　接口须上报调用量、时延、错误率与返回数据量四项指标至监控。四项指标是《数据运维管理制度》中接口异常告警的判定输入，未上报指标的接口不予上线。 8.6.2　接口的可观测要求落实为三项：指标上报至监控；错误日志记录请求标识，使调用方的问题可按标识定位；契约文档与实现一致性在测试评审中核对。接口变更后未更新契约文档的，视为测试评审未通过。 9.1.1　评审检查点设五个：设计评审、开发自检、测试评审、上线评审、上线后复核。各检查点的检查项见附录 F。 9.1.2　设计评审的参与方按对象类型确定：采集类任务由源系统归口部门参与；加工类任务由对应业务域数据归口部门参与；接口类由调用方参与。参与方缺席的评审不成立，缺席方的意见以书面形式补充后评审方可通过。 9.2.1　检查点不通过的处置依次为：设计评审不通过退回修改，确有理由的记例外并说明过渡安排；开发自检不通过不进入测试；测试评审不通过不进入上线评审；上线评审不通过不予上线；上线后复核不通过回退上线或限制使用范围。 9.3.1　新上线的加工任务在首个运行周期内出现质量规则大面积不通过或任务反复失败时，先回退到上一稳定版本并限制下游使用，再定位问题，不在生产环境上反复修补。下游已有数据集加工依赖该任务的，该批次数据集加工暂停，并在数据卡中记录延期原因。本条是数据开发环节的回退机制。 10.1.1　开发过程记录包含五项：设计说明及其评审记录；开发自检记录；测试记录与质量规则试跑结果；上线评审记录与交维清单；上线后复核结论。五项按任务标识归档，作为数据管理能力成熟度评估的过程证据。 10.2.1　任务与接口上线前提交交维清单，清单内容见附录 G。交维清单不齐备的不予上线——运维责任人未确认的任务，发生故障时无人响应。 10.3.1　文档同步要求为两条：任务或接口的实现变更后，设计说明、契约文档与交维清单在五个工作日内同步更新；血缘登记与质量规则绑定随版本更新。文档与实现不一致的对象在上线后复核中列为不通过项。 #### 7.4 附录内容 附录 A　命名规则表（规范性） | 对象类型 | 命名结构 | 示例 | 约束 | |---|---|---|---| | 贴源层表 | ods 下划线 源系统码 下划线 业务对象 | ods_mes_workorder | 源系统码引用系统目录 | | 明细层表 | dwd 下划线 业务域码 下划线 业务过程 | dwd_mfg_process_param | 业务域码取 9 个业务域缩写 | | 汇总层表 | dws 下划线 业务域码 下划线 统计主题 下划线 粒度 | dws_qc_defect_day | 粒度后缀取 day、month、batch 之一 | | 应用层表 | ads 下划线 应用场景 下划线 对象 | ads_dataset_sample_idx | 场景名使用稳定命名 | | 维度表 | dim 下划线 维度对象 | dim_part | 维度表不带业务域前缀 | | 加工任务 | 目标表名 下划线 调度周期码 | dwd_mfg_process_param_d | 周期码取 h、d、w、m 之一 | | 采集任务 | col 下划线 源系统码 下划线 对象 | col_pdm_drawing | 图纸类任务统一前缀 col | | 接口 | api 下划线 业务域码 下划线 资源 下划线 版本 | api_mfg_workorder_v1 | 版本号随不兼容变更递增 | | 字段 | 英文小写加下划线，中文名引用数据元 | heat_no（炉号） | 不使用拼音缩写 | 不使用拼音缩写这一条在实际项目中最常被违反，后果是字段含义只有写的人知道。本规范的落实方式是把字段名与数据元标识的对应关系作为开发自检与测试评审的检查项，未引用数据元标识的字段在评审中退回。 附录 B　加工任务配置要素表（规范性） | 要素 | 含义 | 必填 | 取值要求 | |---|---|---|---| | 任务标识 | 任务唯一标识 | 是 | 按附录 A 命名 | | 读取层与对象 | 输入所在层与对象清单 | 是 | 层间依赖须单向 | | 写入层与对象 | 输出所在层与对象 | 是 | 一个任务一个主输出对象 | | 调度周期 | 执行周期 | 是 | 小时／日／周／月／事件触发 | | 依赖任务 | 前置任务清单 | 是 | 不允许循环依赖 | | 水位线字段 | 增量判定字段 | 条件必填 | 增量任务必填 | | 幂等实现方式 | 覆盖写入的主键与批次标识 | 是 | 须写明主键字段 | | 重跑支持 | 是否支持按水位线重跑 | 是 | 须为「是」 | | 涉及最高级别 | 处理数据的最高级别 | 是 | 引用分级标签 | | 脱敏要求 | 是否含脱敏处理及规则编号 | 是 | 引用脱敏规则库 | | 关键任务标记 | 是否为关键任务 | 是 | 关键任务的告警级别为一级 | | 质量规则绑定 | 绑定的质量规则编号 | 是 | 至少绑定一条阻断级规则 | | 告警配置 | 失败、超时、量级异常的阈值 | 是 | 新对象可留空待基线积累 | | 运维责任人 | 一线与二线责任岗位 | 是 | 引用责任矩阵 | | 血缘登记状态 | 是否已登记 | 是 | 须为「已登记」 | 附录 C　血缘登记字段表（规范性） | 字段 | 含义 | 必填 | 取值要求 | |---|---|---|---| | 血缘记录标识 | 唯一标识 | 是 | 系统生成 | | 任务标识 | 产生该血缘的任务 | 是 | 引用任务目录 | | 输入对象 | 来源表或接口 | 是 | 引用数据资源目录 | | 输入字段 | 来源字段 | 是 | 逐字段登记 | | 输出对象 | 目标表 | 是 | 引用数据资源目录 | | 输出字段 | 目标字段 | 是 | 逐字段登记 | | 加工方式 | 字段级加工说明 | 是 | 直传／映射／计算／聚合／脱敏／拼接，计算类须写表达式要点 | | 过滤条件 | 影响该字段的过滤条件 | 条件必填 | 存在业务过滤时必填 | | 级别传递 | 输出字段的级别及其依据 | 是 | 继承最高级别或按脱敏降级结论 | | 登记时间与版本 | 登记时点与任务版本 | 是 | 任务版本变更须重新登记 | 附录 D　接口契约模板（规范性） 契约文档的章节为七节：接口标识与用途；请求地址、方法与鉴权方式；请求参数表（字段、类型、必填、取值域、数据元标识）；响应结构表（字段、类型、含义、数据元标识、级别与脱敏说明）；分页与排序约定；错误码表（错误码、类别、含义、调用方应采取的动作、是否可重试）；调用约束（频次上限、单次返回量上限、幂等键要求、超时与重试建议）。 附录 E　五类数据形态采集要点表（规范性） | 数据形态 | 本项目典型对象 | 采集方式 | 频率与增量口径 | 入口校验要求 | |---|---|---|---|---| | 结构化业务数据 | 物料、工单、报工、库存、检验记录、采购订单 | 只读接口或数据库只读视图 | 按更新时间戳增量，按日或按小时；水位线持久化 | 空值、格式、值域、外键 | | 文档类数据 | 制度、技术标准、工艺规程、合同 | 文档目录与正文只读导出 | 按版本变更触发 | 格式可解析性、版本有效性、密级标记 | | 图纸类数据 | 产品图纸、零部件图（含图纸交换格式文件） | 按图号或项目只读读取，解析在内网就地进行 | 按图号批次 | 图元完整性、图号与版本可识别、标题栏可定位 | | 时序数据 | 炉台温度、中频电源参数、焊接参数、在役装备测点 | 按测点订阅或周期取数 | 按测点采样周期，秒级测点按窗口批量 | 缺段、恒值、漂移检查；时间基准对齐 | | 图像数据 | 焊接部位图像、交检拍照 | 按工件或工单关联采集 | 按作业批次 | 分辨率、标定参数、与工件标识的关联完整性 | 附录 F　评审检查点检查表（规范性） | 检查点 | 检查项 | 不通过的处置 | |---|---|---| | 设计评审 | 字段引用数据元标准；枚举引用码表；安全级别与脱敏要求已标注；模型分层合规；异常处理方式明确 | 退回修改；确有理由的记例外并写过渡安排 | | 开发自检 | 幂等与重跑验证通过；命名合规；注释完整；敏感字段未落明文 | 不进入测试 | | 测试评审 | 质量规则已绑定并试跑；血缘登记完整；接口契约与实现一致；错误码可区分 | 不进入上线评审 | | 上线评审 | 调度配置、依赖配置、告警配置齐备；运维责任人已确认；交维清单齐备 | 不予上线 | | 上线后复核 | 首个运行周期的质量稽核结果；任务运行稳定性；指标上报正常 | 回退上线或限制使用范围 | 附录 G　交维清单模板（规范性） 字段包含：任务或接口标识、功能说明、输入输出对象、调度与依赖、涉及数据级别与脱敏规则、告警配置与阈值、常见故障与处置建议、补数方式与重跑命令要点、一线与二线运维责任岗位、上线日期、关联设计说明与契约文档编号、遗留问题与例外事项。 图 A9-6　五个评审检查点产生的记录与两处回退路径 设计评审 设计说明＋例外记录 开发自检 幂等与重跑验证记录 测试评审 规则试跑＋血缘登记 上线评审 交维清单＋告警配置 上线后复核 首周期稽核结果 退回修改（不进入下一检查点） 设计、自检、测试三处均按此处置 回退上线或限制使用范围 回退至上一稳定版本后再定位 回退的下游影响处置（写入数据卡与运维记录，不作静默处理） 依赖该任务的数据集加工暂停　→　数据卡记录延期原因　→　下游责任方接到变更通知 受影响批次按幂等方式重跑并复跑质量规则　→　故障单与问题单关联，闭环后方可恢复上线 图 A9-6　数据来源：招标文件第五章 3.2.6.1.1.2.8 第（2）项数据设计与开发要求（b1313、b1314）；检查项取本规范附录 F，回退规则取 9.3.1 条。 #### 7.5 入口校验与加工校验的规则明细 第 5.4.1 条与第 6 章的校验要求在此展开为可配置的规则。规则编号与《数据质量校验规则库》统一，本表给出与采集加工环节直接相关的部分；「不通过处置」一列区分隔离、告警与阻断三档，阻断档的批次不进入下一环节。 表 A9-9a　入口校验与加工校验规则明细（节选） | 规则编号 | 适用对象 | 校验项 | 规则表达要点 | 阈值或判定 | 不通过处置 | |---|---|---|---|---|---| | JY-0101 | 结构化业务数据 | 主键非空且唯一 | 主键字段非空，批次内无重复 | 零容忍 | 阻断 | | JY-0102 | 结构化业务数据 | 关键字段非空 | 按对象配置的关键字段清单逐项判空 | 不通过率超配置比例 | 隔离并告警 | | JY-0103 | 结构化业务数据 | 外键有效 | 引用的维度键存在于维度表 | 不通过率超配置比例 | 隔离 | | JY-0104 | 结构化业务数据 | 枚举值域 | 取值在码表有效值内，含有效期判定 | 零容忍（阻断级字段） | 阻断 | | JY-0105 | 结构化业务数据 | 数值范围与量纲 | 按数据元定义的范围与单位校验 | 超范围即不通过 | 隔离 | | JY-0106 | 结构化业务数据 | 时间逻辑 | 完工时点不早于开工时点；报工时点不晚于采集时点 | 零容忍 | 隔离 | | JY-0107 | 结构化业务数据 | 批次记录数与基线偏离 | 本批次记录数与近期分布比较 | 偏离超阈值 | 告警 | | JY-0111 | 文档类数据 | 格式可解析 | 文件可被解析器打开且正文可抽取 | 解析失败即不通过 | 隔离 | | JY-0112 | 文档类数据 | 版本有效性 | 文档版本在制度库中为生效状态 | 失效版本标注 | 告警 | | JY-0113 | 文档类数据 | 密级标记识别 | 识别页眉页脚与标题中的密级标识 | 识别到即按较高级别管控 | 提级并告警 | | JY-0121 | 图纸类数据 | 图号与版本可识别 | 标题栏中图号与版本字段可定位并符合编码规则 | 不可识别即不通过 | 隔离 | | JY-0122 | 图纸类数据 | 图幅与标题栏定位 | 按图纸幅面标准判定幅面并定位标题栏区域 | 定位失败即不通过 | 隔离 | | JY-0123 | 图纸类数据 | 图元完整性 | 图层与图元数量不为零；关键视图存在 | 为零即不通过 | 阻断 | | JY-0124 | 图纸类数据 | 尺寸与公差标注可抽取 | 按尺寸注法与公差代号体系抽取标注 | 抽取率低于阈值 | 告警并转人工 | | JY-0125 | 图纸类数据 | 材质牌号在合法集合内 | 牌号取值属结构钢与优质碳素钢等合法牌号集 | 不在集合内即不通过 | 隔离 | | JY-0126 | 图纸类数据 | 焊缝符号与坡口类型合法 | 焊缝标注与坡口类型取值属标准定义集合 | 不在集合内即不通过 | 隔离 | | JY-0131 | 时序数据 | 时间基准一致 | 数据源时钟偏差在允许范围内，或已登记偏差并校正 | 未登记且偏差超限即不通过 | 阻断 | | JY-0132 | 时序数据 | 缺段检查 | 相邻采样点间隔不超过采样周期的配置倍数 | 缺段比例超阈值 | 隔离 | | JY-0133 | 时序数据 | 恒值检查 | 连续采样点取值不变的时长 | 超配置时长判为疑似传感器故障 | 告警 | | JY-0134 | 时序数据 | 漂移检查 | 取值趋势偏离历史同工况分布 | 偏离超阈值 | 告警 | | JY-0135 | 时序数据 | 工况关联完整 | 时序段可关联到炉次、焊道或工单标识 | 关联失败即不通过 | 隔离 | | JY-0141 | 图像数据 | 分辨率与清晰度 | 分辨率不低于配置下限；清晰度指标达标 | 低于下限即不通过 | 隔离 | | JY-0142 | 图像数据 | 与工件标识关联 | 图像可关联到工件号或工单号 | 关联失败即不通过 | 隔离 | | JY-0143 | 图像数据 | 标定参数存在 | 需要尺寸换算的图像须有标定参数 | 缺失即不通过 | 隔离 | | JY-0151 | 全部形态 | 入口脱敏已执行 | 敏感字段的变换标记存在且变换结果符合规则 | 零容忍 | 阻断 | | JY-0152 | 全部形态 | 数据源登记与许可有效 | 批次所属源的登记完整、凭证在有效期内 | 零容忍 | 阻断 | | JY-0153 | 全部形态 | 分级标签存在 | 批次所属对象已有生效或临时分级标签 | 零容忍 | 阻断 | | JY-0161 | 加工输出 | 幂等验证 | 同批次重复执行后结果一致性比对 | 不一致即不通过 | 阻断上线 | | JY-0162 | 加工输出 | 层间依赖单向 | 任务声明的读写层符合分层约束 | 违反即不通过 | 阻断上线 | | JY-0163 | 加工输出 | 血缘登记完整 | 输出字段均有字段级映射登记 | 缺失即不通过 | 阻断上线 | | JY-0164 | 加工输出 | 字段引用数据元 | 输出字段均关联数据元标识 | 缺失即不通过 | 退回设计 | 隔离档的处理方式是：不通过记录进入隔离区并生成待处理清单，由业务域数据归口部门在约定时限内判定是源数据问题还是规则问题；源数据问题转质量整改需求，规则问题调整规则并重跑。隔离区的记录不丢弃也不带错落地，这是入口校验与「放过再说」的区别。 #### 7.6 设计开发各项要求的验证口径 表 A9-9b　设计开发的验证口径 | 要求条款 | 要求内容 | 判定方法 | 不合格时的处置 | 复核周期 | |---|---|---|---|---| | 4.1.1 | 设计先于开发 | 抽取已上线对象，核查设计说明与评审记录的时点早于开发提交 | 无设计说明的对象补做设计并复评 | 季度 | | 4.3.1 | 例外有理由与再评估时点 | 核查例外清单的字段完整性 | 无再评估时点的例外作废 | 季度 | | 5.1.1 | 采集三项前置齐备 | 抽取采集任务，核对登记、许可、分级三项 | 缺项任务下线至补齐 | 月 | | 5.3.1 | 水位线推进规则正确 | 核查落地失败批次后的水位线状态 | 错误推进的回退水位线并补数 | 月 | | 5.4.1 | 入口校验按规则运行 | 核查隔离区记录数与规则命中统计 | 规则未运行的核查配置并补做历史批次扫描 | 月 | | 5.5.1 | 时间基准一致或偏差已登记 | 核对数据源清单与时钟偏差登记表 | 未登记且偏差超限的源暂停采集 | 季度 | | 6.2.1 | 幂等性经验证 | 抽取加工任务做重复执行比对 | 不幂等的任务限期改造，期间禁止补数 | 季度 | | 6.3.1 | 命名合规且字段引用数据元 | 平台按命名规则与数据元关联做扫描 | 新增对象不合规的退回；历史对象标注不改名 | 月 | | 6.4.1 | 血缘达字段级 | 统计任务的字段级血缘覆盖率 | 未登记的任务不予上线；已上线的限期补登 | 月 | | 6.6.1 | 补数有依据且通知下游 | 抽取补数记录，核对依据单号与下游通知 | 无依据补数判定为违规操作并追溯 | 月 | | 7.3.1 | 数据元先行 | 核查新增字段与数据元新增申请的时点关系 | 先建字段后补标准的，补提申请并记录流程偏差 | 季度 | | 7.5.1 | 不兼容变更有过渡期 | 核查不兼容变更的公告与过渡期记录 | 未公告的变更回退，重走变更流程 | 季度 | | 8.2.1 | 旧版本下线有调用日志依据 | 核查下线前的调用量统计 | 以口头确认下线的，恢复旧版本至确认无调用 | 按变更 | | 8.5.1 | 写类接口支持幂等键 | 以相同幂等键重复提交做验证 | 不支持的接口限期改造 | 季度 | | 8.6.1 | 四项指标上报 | 核查监控中的指标采集情况 | 未上报的接口不予上线；已上线的限期补做 | 月 | | 9.1.1 | 五个检查点齐备 | 抽取上线对象，核查五类记录 | 缺记录的列为过程证据缺口并补做复核 | 季度 | | 9.3.1 | 回退机制可执行 | 抽取首周期不通过对象，核查是否执行回退 | 未回退而在生产环境反复修补的，强制回退 | 按事件 | | 10.3.1 | 文档与实现一致 | 抽取变更对象，核对文档更新时点 | 不一致的列为上线后复核不通过项 | 月 | #### 7.7 异常与边界情形的处理 源系统接口字段变更未提前通知。此情形在本项目中可预见，因为部分源系统由不同方维护。处理方式为三层防护：采集任务对字段结构做一致性校验，结构变化即告警；数据量异常告警捕获取数条数骤变；入口校验捕获值域变化。三层任一命中即暂停该任务并通知源系统归口部门，不自行适配——自行适配会使字段语义的变化被掩盖，后续样本的含义发生偏移而无人知晓。 历史数据与增量数据的口径不一致。存量图纸与工艺卡片的字段填写规范与近年的不同，典型如材质牌号的旧标准牌号与现行牌号并存。处理方式是在加工环节做映射而非在采集环节改写原值：原值保留，映射结果作为新增字段，映射关系登记为参考数据并随版本管理。保留原值的理由是映射规则本身可能修订。 图纸解析抽取率不达预期。图纸类样本的标注抽取依赖解析质量，老旧图纸的扫描件、手工标注与非标准图幅会使抽取率下降。处理方式按三档：抽取率达标的进入自动流程；抽取率中等的转人工复核后进入；抽取率过低的该批次转人工标注并登记为高成本批次。三档的分界值按首批实测确定，并在数据卡中记录各批次的处理方式——使用方需要知道某部分样本是自动抽取还是人工标注。 加工任务依赖的上游长期不稳定。上游任务反复失败使下游无法按期产出时，不以增加重试次数应对。处理方式是评估是否引入上游数据的缓存层：对变化不频繁的维度类数据，保留上一可用版本并标注数据时点，使下游可降级运行；对事实类数据，暂停下游并登记数据空洞。两种处理的选择依据是下游对数据时效的要求，判定结论写入任务配置。 同一需求下多次迭代导致表结构频繁变更。处理方式是在设计阶段预留扩展方式：枚举类字段引用码表而非硬编码；明细类数据以键值扩展表承载不稳定字段，待稳定后再入主表。这一安排减少不兼容变更的频次，但须在设计评审中说明哪些字段属不稳定字段，不以扩展表承载全部字段。 开发例外累积。例外申请在项目中期容易累积，形成实际上的第二套规范。处理方式是季度复查时按三类处置：仍有必要且无替代方案的，延长并重新批准；可以合规化的，列入改造计划；已无必要的，关闭例外并要求整改。例外总数按季度通报，连续两季增长的，回看规范中哪一条被频繁申请例外——被频繁申请例外的条款，往往是规范本身不切合实际。 #### 7.8 命名用的业务域码与源系统码 附录 A 的命名规则中引用了业务域码与源系统码，两张码表在此给出，作为表名、任务名与接口名的取值依据。码值一经发布不再变更含义，废止的码值不复用——复用会使历史对象名的含义发生漂移。 表 A9-9c　业务域码表 | 业务域码 | 业务域 | 命名缩写 | 说明 | |---|---|---|---| | 01 | 人力资源 | hr | 含人员、岗位、技能、培训、薪酬 | | 02 | 研发设计 | rd | 含图纸、模型、物料清单、标准、选型校核 | | 03 | 生产制造 | mfg | 含工单、工艺执行、备料、热处理、焊接、机加装配 | | 04 | 仓储物流 | wh | 含库存、出入库、备件、包装发运 | | 05 | 财务管理 | fi | 含成本、费用、应收应付、资产 | | 06 | 设备管理 | eam | 含设备台账、点检、维修、在役装备监测、能源 | | 07 | 采购管理 | pur | 含供方、采购订单与价格、来料、供方绩效 | | 08 | 营销管理 | sal | 含客户、商机报价、合同、项目工况、售后 | | 09 | 质量管理 | qc | 含检验试验、无损检测、不合格品、追溯、投诉 | | 00 | 跨域 | com | 含制度标准、数据资产、审计授权、项目过程资料 | 表 A9-9d　源系统码表（按招标文件所列外围系统，b0804r02） | 源系统 | 系统码 | 承载的主要数据 | 接入形态 | |---|---|---|---| | 客户关系管理系统 | crm | 客户、商机报价、售后服务工单 | 只读接口 | | 企业资源计划系统 | erp | 物料、订单、库存、应收应付、成本 | 只读视图 | | 供应链管理系统 | scm | 供方、采购订单与价格、到货 | 只读接口 | | 质量管理系统 | qms | 检验、无损检测、不合格品、追溯 | 只读接口 | | 仓储管理系统 | wms | 库位、出入库流水、备件 | 只读接口 | | 制造执行系统 | mes | 工单、报工、工序参数 | 只读接口 | | 实验室管理系统 | lms | 试样、试验项、力学与硬度结果 | 只读接口 | | 能源管理系统 | ems | 电水气计量与分摊 | 只读接口 | | 服务运维支撑系统 | sos | 服务工单、维修闭环记录 | 只读接口 | | 企业资产管理系统 | eam | 设备档案、点检、维修 | 只读接口 | | 产品生命周期管理系统 | plm | 图纸、三维模型、物料清单、设计变更 | 只读读取，解析就地 | | 数据采集与监控系统 | sda | 炉台温度、中频电源参数、焊接参数 | 测点订阅或周期取数 | | 办公自动化系统 | oa | 制度、规程、流程审批记录 | 文档只读导出 | | 财务核算系统 | fia | 成本、费用、资产 | 只读视图 | | 主数据管理平台 | mdm | 产品、供方、客户、物料主数据 | 只读接口 | | 热处理群控系统 | hts | 炉次曲线、工艺配方、设备状态 | 测点订阅或历史曲线接口 | | 安全监管平台 | sfp | 安全检查、隐患整改、作业许可 | 只读接口 | 码表的两条使用约定：贴源层表名中的系统码取本表取值，使表名可直接看出来源；跨系统汇聚形成的明细层表不带系统码，改带业务域缩写，避免下游误以为该表只来自单一系统。按本表命名的示例：`ods_hts_heat_cycle`（热处理群控的炉次记录贴源表）、`dwd_mfg_weld_param`（生产制造域焊接参数明细表）、`col_plm_drawing`（产品生命周期管理系统的图纸采集任务）、`api_qc_ndt_result_v1`（质量域无损检测结果接口首版）。 #### 7.9 与本项目业务的结合点 本规范有三处落点与矿山装备制造的数据形态直接相关。 图纸解析的就地处理要求。本项目的图纸类数据以产品图纸与零部件图为主，其中包含刮板输送机溜槽、链轮、减速器等零部件的图纸与配套工艺卡片。图纸类数据的采集要点规定「解析在内网就地进行」，原因有两条：一是图纸的分级结论为 L3，整机全套图纸聚合后为 L5，原始文件外发不符合分级管控矩阵的要求；二是图纸解析需要读取标题栏、图线、尺寸标注与公差标注，依据 GB/T 14689—2008、GB/T 4457.4—2002 与 GB/T 1800.1—2020 等标准判定图元语义，解析过程本身产生中间文件，中间文件留在内网可避免二次管控。 时间基准对齐的强制要求。本项目要对齐的时序数据来自热处理群控系统、现场采集与制造执行系统三类来源，分别记录炉次温度、焊接参数与工单报工时点。这三类数据的对齐结果直接决定制造过程数据集中「工序—参数—结果」三元组样本的质量。本规范把时间基准对齐列为采集任务上线前置检查项，不具备统一基准的数据源须登记时钟偏差并在加工环节校正，校正方式写入任务配置，使后续发现样本错位时能够回溯到校正参数。 命名与数据元引用的落实。备料工序涉及的炉号、炉次、坡口类型、焊接方法、材质牌号等字段，在不同源系统中的命名各不相同。本规范要求字段中文名引用数据元标准名称、英文名不使用拼音缩写，并把数据元引用作为设计评审与测试评审的检查项。这一要求与数据标准规划中的数据元标准互为前提：数据元标准尚无对应条目时先提出新增申请，不先建字段后补标准，否则标准永远落在实现之后。 #### 7.10 评审与修订 本规范由数据治理办公室起草，我方项目组开发侧、九个业务域数据归口部门与平台运维岗会签。附录 A 的命名规则与附录 E 的采集要点须在业务评审中逐项确认，前者与平台的元数据采集规则相关，后者与各源系统的实际接入条件相关。 定期复核每半年一次。数据模型分层架构或数据元标准修订时即时复核，复核范围为第 6 章与第 7 章；接口相关条款在数据服务标准修订时复核。例外清单每季度复查一次，再评估时点届满的例外须给出转为合规或延期的结论，延期须重新批准。 修订通知的同步范围包含平台的任务配置模板、血缘登记字段、接口契约模板、评审检查表与开发侧的培训材料。命名规则修订时不对已上线对象追溯改名，新增对象按新规则命名，并在命名规则表中标注各版本的生效区间——追溯改名会打断血缘与下游引用，代价高于命名不一致本身。 ### 八、《数据运维管理制度》V1.0 样章 本节回应招标文件数据生存周期规划要求第（3）项数据运维与第（5）项输出要求（b1315、b1316、b1317、b1320、b1321）。 #### 8.1 文件标识与适用范围 表 A9-10　《数据运维管理制度》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 数据运维管理制度 | | 文件编号 | GHY26691-GV-07-0007-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 内部 | | 编制依据 | GB/T 25000.51—2016《系统与软件工程 系统与软件质量要求和评价 第 51 部分：就绪可用软件产品的质量要求和测试细则》；GB/T 16680—2015《系统与软件工程 用户文档的管理者要求》；本项目《数据设计开发规范》《数据权限管理规范》；招标方现行信息系统运维管理规定【待填：现行规定名称与文号】 | | 适用范围 | 适用于采集任务、加工任务、数据服务接口、治理与加工平台本体、数据质量规则五类运维对象的日常监控、告警响应、故障处置与复盘；适用于我方项目组运维岗、招标方数据运维岗与平台运维岗 | | 不适用情形 | 招标方源业务系统自身的运维按其现行运维规定执行，本制度规定本项目在源系统故障时的定位、通知、协调与降级要求 | | 生效条件 | 经业务评审与数据治理委员会审议通过，由招标方正式发文后生效 | | 失效条件 | 被新版本替代或被明令废止 | | 归口部门 | 数据治理办公室 | | 复核周期 | 每半年一次；告警阈值按季度复核 | | 配套表单 | 附录 A 至附录 F（见本节 8.4） | #### 8.2 章节结构 1　范围 2　规范性引用文件 3　术语和定义 3.1 运维对象 3.2 一线处置与二线处置 3.3 告警 3.4 故障闭环 3.5 数据空洞 4　运维组织与责任 4.1 五类运维对象的责任矩阵 4.2 一线与二线的分工界面 4.3 与源系统归口部门的责任边界 4.4 值班安排与交接要求 5　日常监控 5.1 监控范围与监控项 5.2 监控看板与日报 5.3 基线的建立与维护 5.4 巡检要求 6　告警管理 6.1 六类告警的判定规则 6.2 告警级别与通知对象 6.3 响应时限 6.4 告警抑制与合并 6.5 误告警的处理 7　故障处置 7.1 故障分级 7.2 处置流程与三条定位分支 7.3 升级路径 7.4 降级与应急措施 7.5 关闭条件 8　补数与数据空洞 8.1 补数的触发与审批 8.2 补数作业的执行要求 8.3 数据空洞的识别与登记 8.4 对数据集加工的影响处置 9　复盘与改进 9.1 复盘的触发与时限 9.2 复盘报告的内容 9.3 改进项的跟踪 10　运行报表与考核 10.1 月度运行指标 10.2 季度运行分析 10.3 考核指标 附录 A　运维责任矩阵（规范性） 附录 B　告警规则登记表（规范性） 附录 C　故障单模板（规范性） 附录 D　值班交接单模板（规范性） 附录 E　补数申请与执行记录模板（规范性） 附录 F　运维月度报表模板（规范性） #### 8.3 关键条款 4.1.1　运维对象分五类：采集任务、加工任务、数据服务接口、治理与加工平台本体、数据质量规则。各类对象的日常监控、一线处置、二线处置、源头协调与业务确认责任见附录 A。 4.3.1　下列情形的处置责任在源系统归口部门，本项目运维方负责定位、通知与协调，并在数据服务侧按降级策略维持可用性：源系统自身故障；源系统未按约定提供数据；源系统数据内容错误；源系统接口变更未提前通知。本条是责任边界条款，列入本制度的原因是招标方的部分源系统由不同方维护，故障定位结论须有明确的责任归属，否则故障单无法关闭。 4.4.1　值班安排按工作日值班与非工作日轮值两类，一级告警在非工作日同样按时限响应。值班交接按附录 D 填写交接单，交接内容包含在途故障、临时措施、待观察项与次日关注点。未完成交接的在途故障不得视为已移交——交接单签认是移交成立的条件。 5.1.1　日常监控的监控项为五组：任务运行状态与时长；数据到达时间与批次记录数；接口调用量、时延、错误率与返回量；平台资源与服务状态；质量规则执行结果与不通过比例。监控项的采集依赖《数据设计开发规范》8.6.1 条要求的指标上报，未上报指标的对象不纳入监控，上线评审时据此把关。 5.2.1　监控看板按三类视图组织：按对象视图，看单个任务或接口的运行状况；按链路视图，看从采集到数据集加工的端到端状态；按交付视图，看在产数据集版本所依赖的任务是否全部正常。第三类视图是本项目的特有需要——交付节点临近时，需要知道的不是哪个任务失败，而是哪一版数据集受影响。 5.3.1　阈值类告警的基线按对象历史分布设定，按季度复核。新纳管对象在积累两个月运行数据后启用阈值类告警，基线不足期间以人工巡检替代，巡检结果记录在日报中。 5.4.1　巡检按日执行，巡检项为五项：昨日任务执行结果与失败清单；数据到达时点与延迟清单；接口错误率排名；资源使用与容量余量；在途故障与临时措施的有效性。巡检结果形成日报，日报中无异常项同样记录，不以「无异常」一句了事，须列出已检查项。 6.1.1　告警分六类，判定规则、级别、通知对象与响应时限见表 A9-11。 6.3.1　响应的含义是确认接报并开始处置，不等于恢复。响应时限与恢复时限分别统计：响应时限按告警推送至值班岗确认的间隔计；恢复时限按确认至现象消除的间隔计。两者分开统计的原因是两者的改进手段不同，前者靠值班安排，后者靠定位能力与预案。 6.4.1　同一对象在短时间内重复触发同类告警的，合并为一条告警并累计次数，不重复推送。上游故障引发的下游连锁告警按依赖关系抑制，仅推送根因对象的告警，被抑制的告警在故障单中一并登记——抑制不等于不记录，否则影响范围无法还原。 6.5.1　误告警由值班岗判定并登记，登记内容包含误告警原因与规则调整建议。同一规则在一个季度内误告警超过约定次数的，列入阈值复核重点；规则调整须经数据治理办公室批准，不由值班岗自行关闭规则。 7.1.1　故障按影响分三级。一级：数据集交付节点受影响；关键任务连续失败；数据服务不可用；质量规则阻断级大面积不通过。二级：非关键任务失败或延迟；接口错误率超阈值但服务可用；单对象数据量异常。三级：告警可自行恢复；单次任务失败重试即成功；日志与监控项缺失。 7.2.1　故障处置按五步执行：接报与登记、影响范围判定、原因定位、处置与恢复、补数与关闭。原因定位按三条分支并行推进：源头分支，核查源系统是否变更、是否可用、数据是否异常；通道分支，核查接口、网络、权限与凭据是否正常；加工分支，核查任务代码、依赖、配置与资源是否异常。三条分支并行而非串行，是因为三者的核查手段与责任方不同，串行会把定位时间叠加。 7.2.2　处置过程中启用的临时措施须登记并设定撤回条件。临时措施包含跳过校验、放宽阈值、临时提权、手工补数四类，其中临时提权按《数据权限管理规范》的紧急授权条款办理，期限不超过七十二小时。临时措施未撤回的故障不得关闭。 7.3.1　一级故障超过约定响应时限未取得进展的，升级至数据治理办公室；涉及源系统且协调两次未果的，升级至数据治理委员会。升级记录写入故障单，升级本身不中断处置。 7.4.1　降级措施按服务 SLA 级别预先约定：一级服务在故障期间启用上一可用批次的数据并标注数据时点；二级服务可暂停更新但保持查询可用；三级服务可暂停。启用降级须在服务目录与调用方通知中同步标注，恢复后撤回标注。 7.5.1　故障关闭须同时满足两个条件：故障现象消除；受影响的数据批次已补齐并通过质量规则复跑。仅恢复任务运行而不补数，会在数据中留下一段空洞，这段空洞在日后被数据集加工取用时无法察觉，因此本条不设例外。 8.1.1　补数作业须经审批，审批要素包含补数范围、依据单号、对下游的影响评估与执行窗口。补数依据为故障单号、质量问题单号或变更通知号之一，无依据的补数不予审批。 8.2.1　补数作业使用与常规调度相同的任务代码，按水位线重跑或按批次覆盖执行，不另写一次性脚本。补数完成后比对补数前后的记录数与关键指标，比对结果写入补数执行记录。 8.3.1　数据空洞指某一数据对象在某一时间区间内应有而缺失的记录。空洞的识别方式有两种：批次记录数与基线对比发现缺口；数据到达时间与采集周期对比发现缺批。识别到的空洞登记入空洞台账，登记内容包含对象、时间区间、缺失原因、是否可补、补齐时点。不可补的空洞须在相关数据集的数据卡中声明，不作隐去处理。 8.4.1　数据空洞影响在产数据集加工时，按三步处置：暂停受影响子集的加工；评估空洞对样本分布的影响；补齐后重跑或在数据卡中记录空洞区间与影响评估。空洞区间占样本时间跨度的比例超过约定阈值的，该批次不进入正式版本。 9.1.1　一级与二级故障在闭环后十个工作日内完成复盘。复盘报告内容为六项：故障经过与时间线；直接原因；管理与技术上的缺口；已采取的措施；待改进项与责任部门；是否需要修订相关规范条款。 9.2.2　复盘报告中的直接原因须写到可定位的程度：源系统接口字段变更、水位线配置错误、依赖任务未完成即触发、资源耗尽、代码逻辑缺陷等。写「系统异常」「偶发问题」的复盘不予通过——无法定位的问题须作为待查项列入改进清单并指定跟踪方。 9.3.1　改进项进入改进清单并按月跟踪，改进项的关闭须有验证证据。同类故障在三个月内重复发生两次以上的，视为前次改进未生效，由数据治理办公室组织重新分析。 10.1.1　月度运行指标为八项：任务成功率、任务按时完成率、告警总数与分类构成、告警平均响应时长、故障数与分级构成、故障平均处置时长、补数次数与补数数据量、数据空洞数与闭环情况。指标在月度例会上通报并进入运维月度报表（附录 F）。 10.2.1　季度运行分析的内容为四项：八项月度指标的季度趋势与异常月份归因；告警规则的误报与漏报统计及阈值调整建议；故障的类型分布与重复发生情形；运维工作量与自动化改进项。分析报告提交数据治理办公室。 10.3.1　运维考核指标为五项：一级告警按时响应率；故障按时处置率；故障关闭的两条件留痕完整率；补数后质量规则复跑通过率；值班交接单完整率。考核不以告警数量为指标——告警数量受规则覆盖面影响，覆盖面提高会使数量上升，以数量考核会抑制规则的完善。 #### 8.4 附表与附录 表 A9-11　六类告警的判定规则、级别与响应时限 | 告警类型 | 判定规则 | 级别 | 通知对象 | 响应时限 | |---|---|---|---|---| | 任务失败 | 任务执行返回失败，按配置重试后仍失败 | 关键任务为一级，其余为二级 | 一级推送运维岗与数据开发岗；二级推送运维岗 | 一级三十分钟内响应 | | 任务超时 | 执行时长超过基线约定倍数 | 二级 | 运维岗 | 两小时内响应 | | 接口异常 | 错误率或时延超阈值；连续调用失败 | 按接口 SLA 级别定 | 运维岗与调用方 | 按 SLA 级别定 | | 数据延迟 | 数据到达时间超过约定时限 | 影响数据集交付的为一级，其余为二级 | 运维岗、数据归口部门 | 一级一小时内响应 | | 数据量异常 | 批次记录数偏离基线超过阈值 | 二级 | 运维岗与数据质量管理员 | 四小时内响应 | | 质量规则大面积不通过 | 单任务阻断级规则不通过比例超阈值 | 一级 | 运维岗、数据质量管理员、业务归口部门 | 一小时内响应 | 数据量异常这一类告警在实践中捕获的问题比任务失败更隐蔽。任务成功执行但只取到平日十分之一的记录，多半是源系统接口变更或增量水位线错位，而任务状态显示成功，不设量级告警就发现不了。本类告警的阈值按对象历史分布设定并按季度复核。 附录 A　运维责任矩阵（规范性） | 运维对象 | 日常监控 | 一线处置 | 二线处置 | 源头协调 | 业务确认 | |---|---|---|---|---|---| | 采集任务 | 数据运维岗 | 数据运维岗 | 我方项目组数据开发 | 源系统归口部门 | 需求提交部门 | | 加工任务 | 数据运维岗 | 数据运维岗 | 我方项目组数据开发 | — | 数据归口部门 | | 数据服务接口 | 数据运维岗 | 数据运维岗 | 我方项目组平台支持 | — | 调用方部门 | | 治理与加工平台本体 | 平台运维岗 | 平台运维岗 | 我方项目组平台支持 | — | — | | 数据质量规则 | 数据质量管理员 | 数据质量管理员 | 我方项目组数据开发 | 源系统归口部门 | 业务归口部门 | 附录 B　告警规则登记表（规范性） | 字段 | 含义 | 必填 | 取值要求 | |---|---|---|---| | 规则编号 | 唯一标识 | 是 | GJ 加四位顺序号 | | 告警类型 | 六类之一 | 是 | 见表 A9-11 | | 适用对象 | 适用的运维对象 | 是 | 可按对象或对象组 | | 判定表达式 | 具体判定逻辑 | 是 | 写明比较字段、比较方式与阈值来源 | | 阈值与基线来源 | 阈值取值依据 | 是 | 固定值或基线分位 | | 告警级别 | 一级或二级 | 是 | — | | 通知对象与方式 | 推送对象与渠道 | 是 | 引用值班安排 | | 响应时限 | 要求的响应时间 | 是 | 与表 A9-11 一致 | | 抑制规则 | 合并与抑制条件 | 否 | 写明依赖对象 | | 启用状态 | 是否启用 | 是 | 新对象可为「待基线」 | | 复核时点 | 下次阈值复核时点 | 是 | 默认季度 | 附录 C　故障单模板（规范性） 字段包含：故障单号、接报时间与接报方式、报告来源（告警／人工发现／调用方反馈／源系统通知）、故障对象与级别、影响范围（受影响任务、接口、数据对象、数据集子集与下游部门）、临时措施与启用时间、定位过程（源头、通道、加工三分支的核查结论）、根因结论与责任归属、处置措施与完成时间、受影响批次清单、补数申请编号与补数完成时间、质量规则复跑结果、数据空洞登记编号、升级记录、关闭时间与关闭确认岗位、复盘报告编号。 附录 D　值班交接单模板（规范性） 字段包含：交接日期与班次、交班与接班岗位、在途故障清单及当前状态、已启用的临时措施与撤回条件、待观察对象与观察要点、当班新增告警统计、次日关注点、未完成事项与交接确认。 附录 E　补数申请与执行记录模板（规范性） 字段包含：补数申请编号、依据单号与依据类型、补数对象与时间区间、补数原因、预估影响记录数、对下游的影响评估与通知对象、执行窗口、执行方式（按水位线重跑／按批次覆盖）、执行人岗位、执行开始与结束时间、实际影响记录数、质量规则复跑结果、下游确认结论、归档编号。 附录 F　运维月度报表模板（规范性） 报表内容为五部分：运行概况（任务数、接口数、监控对象数的变化）；八项月度运行指标的本月值与近三月趋势；告警与故障的分类构成与典型案例；补数与数据空洞的台账摘要；改进项的进展与遗留问题。报表中的典型案例一栏不作简单罗列，须写明该案例对规范条款或告警规则的修订意义。 图 A9-7　告警至故障关闭的记录链与补数回路 告警触发 六类之一，带规则编号 接报与登记 生成故障单，定级 三分支并行定位 源头／通道／加工 处置与恢复 含降级与撤回标注 补数申请与执行 按水位线重跑 质量规则复跑 结果写入故障单 关闭确认 两条件缺一不关闭 复跑不通过：再补数 不可补齐的情形 登记数据空洞台账（对象、区间、原因、是否可补） 在相关数据集数据卡中声明空洞区间与影响评估 闭环之后 一级二级故障十个工作日内复盘，改进项按月跟踪 三个月内同类重复两次以上：视为改进未生效，重新分析 图 A9-7　数据来源：招标文件第五章 3.2.6.1.1.2.8 第（3）项数据运维要求（b1315 至 b1317）；关闭条件取本制度 7.5.1 条，空洞处置取 8.3.1 条。 #### 8.5 巡检项与阈值明细表 第 5.4.1 条规定的日巡检在此展开为可执行的巡检项。阈值的「配置值」一栏在首批对象积累两个月运行基线后填实，本表给出取值方式；巡检结果记入日报，异常项转告警或故障单。 表 A9-11a　日常巡检项与阈值明细 | 巡检对象 | 巡检项 | 判定方式 | 阈值取值方式 | 频次 | 异常处置 | |---|---|---|---|---|---| | 采集任务 | 昨日执行结果 | 统计失败与未执行任务数 | 零容忍 | 日 | 逐项定位，关键任务转一级告警 | | 采集任务 | 数据到达时点 | 实际到达与约定时限比较 | 按对象约定时限 | 日 | 延迟影响数据集交付的转一级告警 | | 采集任务 | 批次记录数 | 与近三十日同口径分布比较 | 偏离分位区间 | 日 | 偏离超阈值转数据量异常告警 | | 采集任务 | 水位线推进 | 水位线是否随成功批次推进 | 零容忍 | 日 | 未推进或跳跃推进的暂停任务并核查 | | 采集任务 | 隔离区累积 | 隔离记录数与占比 | 占比超配置值 | 日 | 转业务域判定是源数据问题或规则问题 | | 加工任务 | 执行时长 | 与基线时长比较 | 超基线倍数 | 日 | 超时告警，连续三日超时的做性能复核 | | 加工任务 | 依赖等待 | 因上游未完成而等待的任务数 | 超配置值 | 日 | 核查上游，必要时调整调度窗口 | | 加工任务 | 质量规则结果 | 阻断级规则不通过比例 | 超配置值 | 日 | 转一级告警并暂停下游 | | 加工任务 | 输出行数波动 | 与基线比较 | 偏离分位区间 | 日 | 核查输入批次与过滤条件 | | 数据服务接口 | 调用量 | 与基线比较 | 偏离分位区间 | 日 | 骤降核查调用方，骤升核查是否异常调用 | | 数据服务接口 | 错误率 | 错误调用占比 | 超配置值 | 日 | 按 SLA 级别定告警级别 | | 数据服务接口 | 响应时延 | 分位时延值 | 超配置值 | 日 | 核查资源与查询条件，必要时限流 | | 数据服务接口 | 配额使用 | 各调用方配额使用率 | 接近上限 | 日 | 提示调用方或走配额调整流程 | | 平台本体 | 服务状态 | 各服务进程与健康检查 | 零容忍 | 日 | 立即处置并记录 | | 平台本体 | 存储余量 | 剩余容量与增长速率 | 余量低于配置天数 | 日 | 触发容量规划，不以缩减日志应对 | | 平台本体 | 计算资源 | 高峰期资源使用率 | 超配置值 | 日 | 评估调度错峰或扩容 | | 平台本体 | 备份执行 | 备份任务结果与可恢复性抽验 | 零容忍 | 日（抽验按月） | 备份失败当日补做，抽验失败的核查备份策略 | | 质量规则 | 规则执行覆盖 | 应执行与实际执行规则数 | 零容忍 | 日 | 未执行的核查配置并补跑 | | 质量规则 | 新增不通过项 | 本日新增不通过记录数 | 与基线比较 | 日 | 转质量管理员分派 | | 分级与权限 | 临时分级标签逾期 | 临时状态超三十日的对象数 | 零容忍 | 周 | 转业务域完成正式标记 | | 分级与权限 | 待回收权限 | 清单内超时未处理项数 | 超配置天数 | 周 | 由安全管理岗直接执行回收 | | 外部数据 | 许可临期 | 到期前三个月内的台账条目 | 按日期 | 周 | 转采购归口部门启动续约或退出 | | 数据集加工 | 在产版本依赖状态 | 在产版本所依赖任务的整体状态 | 零容忍 | 日 | 任一依赖异常即通知版本责任方 | | 数据集加工 | 数据空洞 | 新识别空洞数与可补性 | 零容忍 | 日 | 登记台账并评估对在产版本的影响 | | 安全 | 被拒绝访问尝试 | 本日被拒绝次数与来源分布 | 超配置值 | 日 | 集中来源的转安全管理岗核实 | 巡检日报的填写要求是逐项记录检查结论，无异常项同样记录已检查，不以「一切正常」一句了事。这一要求的作用在事后：发生故障时需要确认该项在故障前是否被检查过，只有逐项记录才能回答。 #### 8.6 运维各项要求的验证口径 表 A9-11b　运维管理的验证口径 | 要求条款 | 要求内容 | 判定方法 | 不合格时的处置 | 复核周期 | |---|---|---|---|---| | 4.1.1 | 责任矩阵无空格 | 核对矩阵五类对象的五列责任是否均落到岗位 | 空缺的立即补齐并发文 | 季度 | | 4.4.1 | 值班交接完成 | 统计交接单签认率与在途故障移交记录 | 未签认的视为未移交，交班岗继续负责 | 月 | | 5.1.1 | 监控项覆盖已上线对象 | 比对已上线对象清单与监控配置清单 | 未纳入监控的对象限期配置，期间人工巡检 | 月 | | 5.3.1 | 新对象按期启用阈值告警 | 核查基线积累满两个月对象的告警启用状态 | 未启用的限期启用 | 月 | | 5.4.1 | 巡检逐项记录 | 抽取日报，核查巡检项的记录完整性 | 以「正常」概括的退回补填 | 月 | | 6.1.1 | 六类告警均有规则在运行 | 核查各类告警的命中记录 | 某类长期零命中的核查规则是否失效 | 月 | | 6.3.1 | 响应时限达标 | 分类统计响应时长分布 | 超时集中的核查值班安排与推送渠道 | 月 | | 6.4.1 | 抑制不等于不记录 | 抽取被抑制告警，核查是否在故障单中登记 | 未登记的补登并核查抑制逻辑 | 季度 | | 6.5.1 | 规则不由值班岗自行关闭 | 核查规则停用记录的审批 | 无审批停用的立即恢复并追溯 | 季度 | | 7.2.1 | 三分支并行定位 | 抽取故障单，核查三分支的核查结论填写 | 仅填一分支的退回补填 | 月 | | 7.4.1 | 降级有标注与撤回 | 核查降级启用与撤回记录及服务目录标注 | 未标注的补标；未撤回的立即撤回 | 月 | | 7.5.1 | 关闭两条件齐备 | 抽取已关闭故障单，核查补数与规则复跑记录 | 条件不齐的恢复为处置中状态 | 月 | | 8.1.1 | 补数有审批 | 核查补数记录与审批单对应关系 | 无审批补数的追溯操作账号 | 月 | | 8.3.1 | 空洞登记完整 | 比对识别到的缺口与空洞台账条目 | 未登记的补登 | 月 | | 8.4.1 | 空洞对数据集的影响已处置 | 核查受影响版本的数据卡记载 | 未记载的补记，必要时版本回退 | 按版本 | | 9.1.1 | 复盘按期 | 统计一级二级故障的复盘出具时点 | 逾期的在例会通报 | 季度 | | 9.2.2 | 直接原因写到可定位 | 抽取复盘报告，核查原因描述的具体性 | 以「系统异常」作结的退回重写 | 季度 | | 9.3.1 | 改进项闭环有验证 | 核查改进清单关闭记录的验证证据 | 无证据关闭的恢复为在办 | 季度 | | 10.1.1 | 八项月度指标齐备 | 核查月度报表 | 缺项的补齐 | 月 | #### 8.7 异常与边界情形的处理 告警风暴。上游故障引发大量下游告警时，按依赖关系抑制并仅推送根因对象，被抑制告警在故障单中一并登记。若依赖关系未登记导致无法抑制，处置方式是先按时间窗口合并同类告警，事后补登依赖关系。告警风暴本身作为一次事件复盘，复盘重点是依赖登记的完整性。 故障现象消失但原因未定位。此情形不作关闭，转为待观察状态并设定观察期。观察期内同一对象再次发生的，按重复故障处理并升级定位力度；观察期满未再发生的，关闭并在故障单中注明「原因未定位」。注明的作用是在后续同类故障时作为线索，而不是把未定位的问题记为已解决。 补数引发新的质量问题。补数后质量规则复跑不通过的，按两种情形处理：补数范围判断错误导致重复或缺失的，回退补数结果并重新执行；源数据本身有问题的，转质量整改需求并暂停该区间数据的下游使用。两种情形均在故障单中记录，补数不得反复试错——每次补数前的影响评估是必经步骤。 非工作时段一级故障。非工作日轮值岗无法独立处置时，按升级路径联系二线并通知数据治理办公室。若故障影响数据集交付节点，由办公室决定是否启用降级或调整交付节点，决定记录在故障单中。此类决定不由值班岗作出，但值班岗须在时限内完成止损动作。 源系统归口部门不响应。故障定位结论指向源系统而对方未在时限内响应时，按协调升级处理：第一次由运维岗对接人催办并记录；第二次由数据治理办公室协调；第三次升级至数据治理委员会。协调期间数据服务侧按降级策略维持可用性，并在服务目录中标注数据时点。此类故障的关闭条件不变——源头未修复则故障不关闭，但可转为「等待源头」状态并单独统计，避免占用处置时长指标。 同一问题在质量、运维、需求三条流程中重复登记。处理方式是以首次登记的单为主单，其余单关联主单并标注，不重复推进。关联规则为：质量规则不通过首先进质量问题单；由此引发的任务失败关联该问题单；需要系统改造的部分转需求单并关联。三者的关联关系在月度报表中体现，便于判断某一类问题的实际处理成本。 运维自动化与人工判断的边界。自动重试、自动补数与自动扩容三类动作可配置为自动执行，但三类动作的触发条件与执行记录须可审计，且不对 L4 与 L5 级数据的加工任务启用自动补数——高级别数据的补数涉及受控区操作与审批，不适合自动执行。自动动作连续触发超过配置次数即转人工。 #### 8.8 典型故障的情景处置手册 第 7.2.1 条规定了处置五步与三条定位分支，本节把本项目可预见的故障类型展开为处置要点，供值班岗按手册作业。项目期按实际发生情况补充，每新增一类故障即补一节。 情景一　采集任务成功但记录数骤减。最可能的原因是源系统接口字段或过滤条件变更，或增量水位线错位。定位顺序：先比对本批次与上批次的字段结构，结构变化即判定为源侧变更并通知源系统归口部门；结构未变则核查水位线取值与源表的更新时间戳分布；两者均正常则核查接口是否做了分页限制。处置：源侧变更的暂停任务待对方确认后适配；水位线错位的回退水位线并补数。关闭条件为记录数恢复基线区间且缺失区间已补齐。 情景二　加工任务连续失败且重试无效。定位顺序：核查依赖任务是否完成；核查资源是否耗尽；核查输入批次是否存在异常数据导致逻辑异常。处置：依赖未完成的调整调度或等待；资源不足的错峰或扩容；异常数据导致的隔离异常记录后重跑，并把该异常形态补入入口校验规则。关闭条件为任务连续两个周期正常且本次缺失批次已补齐。 情景三　时序数据缺段。定位顺序：核查现场采集链路（测点、网关、上传通道）；核查时间基准与时钟偏差登记；核查存储侧是否丢批。处置：采集链路故障的通知设备管理归口部门，缺段区间登记为数据空洞；时钟偏差导致的按登记偏差校正并重算对齐；丢批的按水位线重跑。关闭条件为缺段可补的已补齐，不可补的已登记空洞并评估对在产数据集版本的影响。此类故障的缺段多数不可补——炉次已过、焊道已焊，因此本情景的重点是登记而非修复。 情景四　图纸解析批次失败率骤升。定位顺序：核查本批次图纸的来源与形态（是否为扫描件、是否为非标准图幅、是否为旧版本图纸）；核查解析组件是否变更版本；核查图纸交换格式的版本兼容性。处置：形态导致的按三档分流（自动、人工复核、人工标注）并在数据卡中记录处理方式；组件变更导致的回退组件版本；格式不兼容的补充转换环节。关闭条件为失败率回落至基线或该批次已转人工路径并登记为高成本批次。 情景五　接口错误率升高且调用方投诉。定位顺序：核查错误码构成，区分业务错误与系统错误；系统错误核查资源与依赖服务；业务错误核查调用方请求是否超范围或参数不合法。处置：系统错误按容量或依赖修复处理，期间按 SLA 级别降级；业务错误向调用方说明并提供契约文档，必要时调整限流配额。关闭条件为错误率回落且调用方确认。 情景六　质量规则阻断级大面积不通过。定位顺序：先判断是规则侧变更还是数据侧变化——核查规则是否在近期被修改；未修改则核查源数据的取值分布变化。处置：规则误配的回退规则版本并重跑；数据侧确实变化的，暂停下游、通知业务归口部门判定是否为业务规则调整；业务规则已调整的，走规则变更流程更新规则而非放宽阈值。关闭条件为不通过比例回落至阈值内且已重跑受影响批次。 情景七　数据集加工在交付窗口内遭遇上游故障。定位与处置并行：定位按三分支进行；同时由运维岗立即通知数据集版本责任方，由其判断是缩小本版本范围、延后发布还是以上一可用批次替代。三种选择均须在数据卡中记录，不得默默调整样本构成。关闭条件为版本处置方案确定并执行、故障本身闭环。 情景八　平台存储余量告急。处置顺序有先后：先清理已过期的中间结果与临时文件；再将历史日志与归档数据转低成本存储；仍不足的启动扩容。顺序中不含「缩减日志要素」或「降低日志覆盖范围」——这两项会使该期间的追溯能力不可恢复。容量不足期间暂停非必要的大批量加工任务，暂停清单由数据治理办公室确认。 情景九　补数后数据重复。原因通常是任务不满足幂等。定位：核查任务的写入方式是覆盖还是追加。处置：按业务主键与批次标识去重，恢复数据正确性；该任务列入幂等改造清单，改造完成前禁止再次补数。关闭条件为数据恢复正确且改造计划已排期。 情景十　源系统归口部门确认数据内容错误。此情形的处置责任在源系统侧，运维岗的动作是：确定错误数据的影响范围（下游任务、数据集子集、已发布版本）；通知受影响方；在源侧修正后按水位线重跑并复跑质量规则；已发布数据集版本受影响的转数据集瑕疵处置。关闭条件为源侧修正完成、下游补齐、受影响版本已处置。 #### 8.9 按源系统的故障协调责任与降级策略 第 4.3.1 条划定了源系统侧故障的责任边界。本节按招标文件所列的外围系统（b0804r02）给出协调对接方与降级策略，作为故障处置时的查表依据。源系统的运维方与日志能力须在实施启动阶段逐系统核实（待补材料清单第 9 项）。 表 A9-11c　源系统故障的协调责任与降级策略 | 源系统 | 故障对本项目的直接影响 | 协调对接方 | 降级策略 | 影响数据集交付的判定 | |---|---|---|---|---| | 客户关系管理系统 | 客户与售后工单样本中断 | 营销管理数据归口部门 | 保留上一可用批次并标注数据时点 | 影响设备健康诊断场景验证的样本时效 | | 企业资源计划系统 | 物料、库存、成本类样本中断 | 【待填：信息运维归口部门】 | 库存类按上一日快照维持查询；成本类暂停更新 | 影响库存控制场景与决策问答场景 | | 供应链管理系统 | 采购订单与价格样本中断 | 采购与供应链归口部门 | 保留上一可用批次 | 影响库存控制场景的提前期样本 | | 质量管理系统 | 检验与无损检测样本中断 | 质量管理数据归口部门 | 暂停更新，质检规则对该对象临时停用 | 影响焊接与热处理场景的配对样本 | | 仓储管理系统 | 出入库流水中断 | 仓储物流数据归口部门 | 按日结快照维持 | 影响库存控制场景 | | 制造执行系统 | 工单、报工、工序参数中断 | 生产制造数据归口部门 | 工单类保留上一批次；工序参数登记空洞 | 影响备料工艺与过程控制类场景 | | 实验室管理系统 | 力学与硬度结果中断 | 质量管理数据归口部门 | 暂停更新 | 影响热处理场景的结果侧样本 | | 能源管理系统 | 能耗样本中断 | 设备管理数据归口部门 | 暂停更新 | 一般不影响数据集交付 | | 服务运维支撑系统 | 服务工单与维修闭环记录中断 | 设备管理数据归口部门 | 保留上一可用批次 | 影响健康诊断场景的事件侧样本 | | 企业资产管理系统 | 设备台账与维修记录中断 | 设备管理数据归口部门 | 台账类保留上一版本 | 一般不影响，台账变化慢 | | 产品生命周期管理系统 | 图纸与物料清单采集中断 | 研发设计数据归口部门 | 按图号批次续作，不跳批 | 影响选型与备料工艺场景的图纸侧样本 | | 数据采集与监控系统 | 时序样本缺段 | 生产制造、设备管理数据归口部门 | 无降级可用，缺段登记为数据空洞 | 直接影响过程控制类场景，且缺段不可追补 | | 办公自动化系统 | 制度与规程文档中断 | 数据治理办公室 | 保留上一版本并标注版本时点 | 影响制度与标准问答场景的语料更新 | | 财务核算系统 | 成本与费用样本中断 | 财务管理数据归口部门 | 暂停更新 | 影响决策问答场景 | | 主数据管理平台 | 主数据与审批流程记录中断 | 数据治理办公室 | 保留上一版本；新增主数据暂挂 | 影响多场景的维度一致性 | | 热处理群控系统 | 炉次曲线缺段 | 生产制造数据归口部门 | 无降级可用，缺段登记为数据空洞 | 直接影响热处理过程控制场景 | | 安全监管平台 | 安全检查与作业许可记录中断 | 【待填：安全环保归口部门】 | 暂停更新 | 一般不影响数据集交付 | 表中两行写明「无降级可用」：数据采集与监控系统与热处理群控系统承载的是时序数据，缺段不可追补——炉次已过、焊道已焊、工况已变。这两类故障的处置重点不是恢复数据而是及时登记空洞并评估对在产数据集版本的影响，处置方式见本制度 8.3.1 条与 8.4.1 条。其余系统多为状态类或台账类数据，可按上一可用批次降级维持，降级期间须在服务目录中标注数据时点。 #### 8.10 与本项目业务的结合点 本制度有两处落点与本项目的交付节奏直接相关。 第一处是数据延迟告警与数据集交付节点的挂钩。本项目的数据集按版本交付，每一版本的加工有确定的起止窗口。采集或加工环节的数据延迟若发生在窗口内，影响的不是某张报表而是该版本能否按期发布。因此本制度把「影响数据集交付的数据延迟」定为一级告警，响应时限一小时，并要求在故障单中登记受影响的数据集子集。这一安排使运维侧的优先级判断与交付节奏一致，而不是按任务重要性的静态标注排序。 第二处是数据空洞与样本分布的关系。本项目的时序类样本来自热处理炉次、焊接过程与在役装备测点，这类数据一旦缺段就不可追补——炉次已过、焊道已焊、工况已变。本制度 8.3.1 条要求不可补的空洞在数据卡中声明而不隐去，8.4.1 条要求空洞区间占样本时间跨度比例超过约定阈值时该批次不进入正式版本。这两条的实际作用是在数据集发布之前暴露缺口，而不是在场景验证阶段由模型表现反推出缺口。时序样本的缺段在质检的完备性维度上会被捕获，但捕获时已在加工后端，代价高于在运维环节登记。 #### 8.11 评审与修订 本制度由数据治理办公室起草，我方项目组运维与开发侧、招标方信息运维归口部门、九个业务域数据归口部门会签。附录 A 的责任矩阵须逐行确认到岗位，这一项是本制度能否执行的关键——矩阵中任一格空缺，对应情形发生时即无人响应。 定期复核每半年一次。告警阈值按季度复核，复核输入为误告警统计与漏报情况；阈值调整不构成本制度的版本变更，但须在附录 B 中留记录。源系统接入范围扩大或平台功能变更时即时复核第 5 章与第 6 章。 修订通知的同步范围包含平台的告警规则配置、值班安排、故障单与补数单表单配置、月度报表统计口径以及运维岗培训材料。告警类型增减时，历史告警统计按原分类保留，新分类从生效月起统计，报表中标注分类口径的生效区间，避免告警构成的趋势图出现无法解释的断点。 ### 九、《数据退役管理规范》V1.0 样章 本节回应招标文件数据生存周期规划要求第（4）项数据退役与第（5）项输出要求（b1318、b1319、b1320、b1321）。 #### 9.1 文件标识与适用范围 表 A9-12　《数据退役管理规范》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 数据退役管理规范 | | 文件编号 | GHY26691-GV-07-0008-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 内部 | | 编制依据 | GB/T 40685—2021《信息技术服务 数据资产 管理要求》；GB/T 41479—2022《信息安全技术 网络数据处理安全要求》数据销毁相关要求；本项目《数据安全分级标准》《数据资产管理办法》；招标方档案管理与保密制度【待填：现行制度名称与文号】 | | 适用范围 | 适用于本项目纳管数据对象、数据集版本、中间加工结果与备份副本的退役评估、归档与销毁；适用于 9 个业务域的数据对象与四类数据集的历史版本 | | 不适用情形 | 招标方纸质档案的归档与销毁按其档案与保密制度执行；本规范规定其电子副本的处置要求与两者的衔接方式 | | 生效条件 | 经业务评审与数据治理委员会审议通过，由招标方正式发文后生效 | | 失效条件 | 被新版本替代或被明令废止 | | 归口部门 | 数据治理办公室；销毁作业由安全管理岗监督 | | 复核周期 | 每年一次 | | 配套表单 | 附录 A 至附录 F（见本节 9.4） | #### 9.2 章节结构 1　范围 2　规范性引用文件 3　术语和定义 3.1 数据退役 3.2 归档 3.3 销毁 3.4 复活 3.5 副本 4　退役的触发 4.1 四种触发情形 4.2 触发的发起主体 4.3 到期提醒机制 5　资产评估 5.1 四个评估维度 5.2 评分标尺与权重 5.3 合规义务的否决权 5.4 复建成本的判定 5.5 评估结论的四种取值 6　审批 6.1 审批层级 6.2 审批要素 6.3 下游引用的确认 6.4 异议与暂缓 7　归档 7.1 归档的基本要求 7.2 归档台账 7.3 格式解析说明 7.4 复活流程 7.5 归档数据的再评估 8　销毁 8.1 销毁的基本要求 8.2 副本清单的逐项确认 8.3 销毁方式与级别对应 8.4 监督与销毁证明 8.5 销毁后的核验 9　记录同步 9.1 三处记录的同步要求 9.2 血缘与下游引用的处理 9.3 质量规则的停用 10　数据集版本的退役 10.1 数据集版本退役的特别情形 10.2 已对外提供版本的处置 10.3 数据卡与资产台账的更新 附录 A　退役评估记分表（规范性） 附录 B　退役申请与审批单模板（规范性） 附录 C　归档台账模板（规范性） 附录 D　销毁申请与副本清单模板（规范性） 附录 E　销毁证明模板（规范性） 附录 F　复活申请模板（规范性） #### 9.3 关键条款 4.1.1　数据退役的触发情形为四种：保留期限到期；业务下线导致数据不再产生且不再使用；系统替换后旧数据已完成迁移；资产评估判定为无保留价值。 4.2.1　退役的发起主体按触发情形确定：保留期限到期与闲置筛查由数据治理办公室发起；业务下线由业务域数据归口部门发起；系统替换由信息运维归口部门发起；数据集版本退役由数据治理办公室发起。发起方负责填写退役申请并组织评估。 4.3.1　保留期限到期的提醒由平台按对象的留存期限字段自动生成，提醒时点为到期前三个月。闲置判定按使用热度自动筛查，筛查结果每半年汇总一次形成待评估清单。待评估清单由数据治理办公室分发至对应业务域数据归口部门。 5.1.1　评估按四个维度执行：使用热度，取近一年的访问与引用次数；业务价值，判断是否仍为某项业务判断的依据；合规义务，判断法规、合同、审计是否要求保留；复建成本，判断销毁后若需要是否还能重新获得。 5.2.1　四个维度按附录 A 记分，记分结果用于形成评估建议，不作为唯一依据。记分之外须由业务域数据归口部门给出文字意见，意见与记分结论不一致时以文字意见为准并说明理由。 5.3.1　合规义务维度具有否决权。存在法规、合同或审计保留义务的数据不进入销毁路径，无论其使用热度多低。否决情形须写明依据的法规条款、合同条款号或审计要求编号。 5.4.1　复建成本按三档判定：可低成本复建（可从源系统重新获取）；可高成本复建（需重新采集、重新标注或重新加工）；不可复建（源头已不存在、现场工况已变、原始载体已销毁）。不可复建的数据倾向归档而非销毁。 5.5.1　评估结论取四值：继续保留；转归档；销毁；暂缓并再评估（写明暂缓理由与再评估时点）。 5.5.2　评估结论为暂缓并再评估的，再评估时点不得超过一年。暂缓理由消失后提前发起再评估。连续两次暂缓的对象，由数据治理办公室组织会商确定结论，不允许长期挂账——长期挂账的对象既占用存储，又不在任何一方的管理视野内。 6.1.1　审批层级按数据级别与结论类型设定：转归档结论由业务域数据归口部门审批；L1 至 L3 级数据的销毁由业务域数据归口部门审批并经安全管理岗复核；L4 级数据的销毁由业务域数据归口部门与信息安全归口部门会签；L5 级数据的销毁报数据治理委员会审定。数据集版本的销毁一律经数据治理办公室复核。 6.2.1　审批要素为八项：退役对象与范围、触发情形、安全级别、四维度评估记分与文字意见、下游引用确认结论、建议结论、处置方式与时限、异议记录。要素缺项的申请不予审批，其中下游引用确认结论与异议记录两项最常缺失。 6.3.1　审批前须确认下游引用情况。下游仍有引用的数据对象不得直接退役，须先完成下游改造或由下游责任方书面确认可接受数据缺失。确认结论作为审批单附件，无确认结论的申请不予审批。 6.4.1　任一业务域对退役申请提出异议的，结论改为暂缓并再评估。异议须写明理由；无理由的异议不成立，但须记录提出异议的部门与沟通结果。 7.1.1　归档的基本要求是「可检索、可复活」。可检索指归档后仍能按业务标识定位到数据；可复活指在需要时能够按既定流程恢复为可用状态。 7.2.1　归档台账按附录 C 维护，字段写入在归档执行完成后五个工作日内完成。台账中的存储位置与介质字段须与实际存放一致，介质更换或迁移时同步更新台账，并重新校验归档数据的可读性。 7.2.2　归档数据的可读性按年抽样校验，校验内容为能否按检索方式定位、能否按解析说明打开、关键字段能否正确识别。校验不通过的归档数据列为待处置项，处置方式为转换格式后重新归档或在台账中标注不可读并说明影响。 7.3.1　归档数据的格式解析说明为必填项。私有格式的归档数据须同时归档格式说明文件，或在归档前转为通用格式。本项目涉及的图纸交换格式文件、时序数据二进制包、标注结果文件均属须附解析说明的类型。这一要求决定了若干年后归档数据还能不能读——缺少解析说明的归档数据，在形式上是已归档，在事实上已不可用。 7.4.1　复活按申请执行，申请要素包含复活对象与范围、复活事由、使用期限、使用人员范围、涉及级别与脱敏要求。复活后的数据按原级别管控；原级别已不适用的，重新定级后管控。复活记录登记入归档台账。 7.5.1　归档数据每三年再评估一次，再评估的维度与首次评估一致。再评估结论可为继续归档、销毁或恢复为在线数据。 8.1.1　销毁的基本要求是「可证明、不可恢复」。可证明指销毁过程有监督并出具证明；不可恢复指采用的销毁方式使数据无法通过技术手段还原。 8.2.1　销毁范围须包含全部副本。销毁申请中逐项列出副本清单并逐项确认，清单覆盖主库、历史备份、离线介质、测试与开发环境副本、导出件与外部提供件。仅销毁主库而遗留备份不算完成销毁。副本清单的完整性由平台的存储位置登记与运维侧的备份记录共同核对。 8.3.1　销毁方式按级别选择：L1 与 L2 级可采用逻辑删除并覆写；L3 及以上须采用不可恢复的方式，由安全管理岗监督执行；L5 级数据的销毁在受控区内完成，执行与监督由不同岗位分别承担。 8.3.2　销毁作业的执行与监督由不同岗位分别承担，不得由同一岗位兼任。L5 级数据的销毁在受控区内完成，销毁过程留存影像或系统操作记录作为证据，证据与销毁证明一并归档。 8.4.1　销毁完成后出具销毁证明，证明内容包含销毁对象与范围、副本清单的逐项销毁确认、销毁方式、执行人岗位、监督人岗位、销毁时间与归档编号。销毁证明留存期限不短于项目期加质保期。 8.5.1　销毁后由安全管理岗按抽样方式核验不可恢复性，核验方式与抽样比例按级别设定。核验发现可恢复痕迹的，重新执行销毁并分析原因。 9.1.1　退役处置须同步更新三处记录：数据资源目录中该对象的状态；元数据与血缘中的下游引用关系；相关质量规则的启用状态。三处同步在处置完成后五个工作日内完成，同步结果由数据治理办公室核对。 9.2.1　血缘中的下游引用关系在退役处置后更新：失效引用标注失效时点而不删除血缘记录。保留失效血缘的理由是历史数据集的样本来源需要可追溯，删除血缘会使已发布数据集的来源说明断链。 9.3.1　退役对象相关的质量规则同步停用，停用记录保留。规则不停用会在后续稽核中持续产生对不存在对象的不通过结果，使质量指标失真。 10.1.1　数据集版本的退役有两种特别情形：被新版本替代且无使用方在用；因合规瑕疵被撤回。前者按常规流程评估与处置；后者按《数据合规管理制度》的瑕疵处置条款执行，不适用保留期限到期的提醒机制。 10.2.1　已对外提供的数据集版本退役时，按授权记录通知全部受众，通知内容包含退役原因、替代版本、已交付件的处置方式与处置时限。受众的处置结果回收登记，无法联系到的受众登记为未确认项并在资产台账中保留记录。 10.3.1　数据集版本退役后，其数据卡标记为已退役状态并保留全文，不删除；数据集资产台账中登记退役时点、退役原因与替代版本。数据卡保留的理由是历史版本的评测结论与场景验证结论仍被引用，删除数据卡会使这些结论失去依据。 10.3.2　数据集版本退役后，其评测结论与场景验证结论随数据卡保留。后续版本的对比分析引用历史版本结论时，须标注该版本已退役及其退役原因，避免引用方误以为该版本仍可取用。 #### 9.4 附表与附录 附录 A　退役评估记分表（规范性） | 维度 | 分档与取值 | 权重 | 评分说明 | |---|---|---|---| | 使用热度 | 近一年访问或引用零次取 0 分；一至十次取 1 分；十一至五十次取 2 分；五十次以上取 3 分 | 30% | 访问与引用取自访问日志与血缘下游记录 | | 业务价值 | 不再作为任何业务判断依据取 0 分；偶发参考取 1 分；常规参考取 2 分；关键依据取 3 分 | 30% | 由业务域数据归口部门判定并写明业务环节 | | 合规义务 | 无保留义务取 0 分；存在保留义务取 3 分并否决销毁 | 否决项 | 须写明依据条款 | | 复建成本 | 可低成本复建取 0 分；可高成本复建取 2 分；不可复建取 3 分 | 40% | 按 5.4.1 条三档判定 | 建议结论的形成规则：合规义务为否决项时结论不得为销毁；加权得分低于约定下限且复建成本为可低成本复建的，建议销毁；加权得分低于下限但复建成本为不可复建的，建议转归档；加权得分在下限以上的，建议继续保留。 附录 B　退役申请与审批单模板（规范性） 字段包含：申请编号、申请部门、退役对象与范围（对象标识、时间区间、数据量）、触发情形、安全级别、四个维度的记分与文字意见、建议结论、下游引用确认结论与确认方、异议记录、业务域归口意见、安全管理岗复核意见、信息安全归口会签意见、委员会审定意见、最终结论、处置方式（归档或销毁）、处置时限、关联归档台账或销毁申请编号。 附录 C　归档台账模板与样例行（规范性） | 台账编号 | 数据对象 | 归档范围与时间区间 | 数据量 | 存储位置与介质 | 数据格式 | 解析说明文件 | 检索方式 | 安全级别 | 复活流程与责任岗位 | 归档时间 | 下次评估时点 | |---|---|---|---|---|---|---|---|---|---|---|---| | GD-0005 | 已停产机型全套零部件图纸 | 该机型全部图号，自投产至停产 | 【待填】 | 【待填：归档存储位置】 | 图纸交换格式文件与影像文件 | 图幅与标题栏字段对照说明 | 按图号与机型检索 | L3（全套聚合时按 L5） | 按复活申请，由研发设计归口部门审批 | 【待填】 | 归档后三年 | | GD-0011 | 已退役热处理炉的炉次曲线 | 该炉台全部历史炉次 | 【待填】 | 【待填】 | 时序二进制包 | 测点编码表与采样周期说明 | 按炉台与时间区间检索 | L5（按炉型聚合） | 按复活申请，由生产制造归口部门审批并经安全管理岗复核 | 【待填】 | 归档后三年 | | GD-0018 | 指令微调数据集 V1.0 历史版本 | 该版本全量样本与数据卡 | 【待填】 | 【待填】 | 自描述封装包 | 封装结构与数据字典 | 按数据集标识与版本指纹检索 | L3 | 按复活申请，由数据治理办公室审批 | 【待填】 | 归档后三年 | 附录 D　销毁申请与副本清单模板（规范性） 销毁申请字段包含：申请编号、关联退役审批单号、销毁对象与范围、安全级别、销毁理由、销毁方式、计划执行时间与地点、执行岗位与监督岗位、下游引用确认结论、副本清单（见下）、审批意见栏。 副本清单字段包含：副本序号、副本类型（主库／历史备份／离线介质／测试环境／开发环境／导出件／外部提供件）、存储位置、数据量、责任岗位、是否在销毁范围内、销毁确认、确认人岗位与时间。外部提供件一栏须结合授权记录逐受众核对，不能确认已处置的登记为未确认项。 附录 E　销毁证明模板（规范性） 字段包含：证明编号、关联销毁申请编号、销毁对象与范围、安全级别、销毁方式与技术要点、副本清单逐项销毁确认汇总、执行人岗位与签认、监督人岗位与签认、销毁开始与结束时间、销毁地点、不可恢复性核验结论与核验方式、归档编号。 附录 F　复活申请模板（规范性） 字段包含：申请编号、关联归档台账编号、复活对象与范围、复活事由、使用方式、使用期限、使用人员范围、涉及级别与脱敏要求、是否需要重新定级、审批意见、复活执行记录（执行时间、恢复位置、校验结果）、使用期满后的处置方式与执行确认。 图 A9-8　退役评估、审批签批链与三处记录同步 触发 到期提醒／闲置筛查 业务下线／系统替换 四维度评估（附录 A） 热度 30％　价值 30％　复建 40％ 合规义务为否决项 下游引用确认 仍有引用须先改造 无确认结论不予审批 审批签批链 L3 复核　L4 会签 L5 报委员会审定 归档路径（可检索、可复活） 归档台账＋格式解析说明＋复活流程 三年一次再评估 销毁路径（可证明、不可恢复） 副本清单逐项确认＋监督＋销毁证明 销毁后抽样核验不可恢复性 不可复建或存在保留义务 → 归档 得分低且可低成本复建 → 销毁 处置完成后五个工作日内同步三处记录（由数据治理办公室核对） 一　数据资源目录中该对象的状态改为已归档或已销毁 二　元数据与血缘中的下游引用关系更新，失效引用标注失效时点 三　相关质量规则停用并保留停用记录，避免对不存在对象持续产生不通过结果 图 A9-8　数据来源：招标文件第五章 3.2.6.1.1.2.8 第（4）项数据退役要求（b1318、b1319）；评估维度与权重取本规范附录 A，记录同步取 9.1.1 条。 #### 9.5 销毁方式、监督与证明留存明细 第 8 章的要求在此展开到载体与方式。本表是销毁申请中「销毁方式」一栏的取值依据，也是销毁证明中技术要点的填写依据。 表 A9-12a　销毁方式与监督要求明细 | 数据级别 | 载体类型 | 销毁方式 | 技术要点 | 监督要求 | 证明内容 | 事后核验 | |---|---|---|---|---|---|---| | L1、L2 | 在线数据库 | 逻辑删除并覆写 | 删除后对所在存储区执行覆写或由存储系统回收 | 执行人自检 | 执行人、时间、对象、记录数 | 抽样核查记录不可查询 | | L1、L2 | 文件存储 | 删除并清空回收区 | 含临时目录与缓存 | 执行人自检 | 同上 | 抽样核查路径不可访问 | | L3 | 在线数据库 | 不可恢复删除 | 多次覆写或密钥销毁方式，按存储类型选择 | 安全管理岗监督 | 执行人、监督人、方式、副本逐项确认 | 抽样核查并出具核验记录 | | L3 | 文件与对象存储 | 不可恢复删除 | 覆写或整卷加密密钥销毁 | 安全管理岗监督 | 同上 | 同上 | | L3 | 离线介质 | 介质格式化并消磁，或物理破坏 | 可复用介质按消磁处理，不可复用的物理破坏 | 安全管理岗监督 | 含介质编号与处置方式 | 核查介质台账状态 | | L4 | 在线数据库与文件存储 | 不可恢复删除并销毁密钥 | 加密存储的以销毁密钥为主，辅以覆写 | 安全管理岗现场监督 | 含密钥销毁记录 | 抽样技术核验并留存核验证据 | | L4 | 离线介质 | 物理破坏 | 介质破碎或粉碎至不可读 | 安全管理岗现场监督 | 含破坏方式与影像或系统记录 | 核查影像与介质台账 | | L4 | 导出件与外部提供件 | 按授权记录逐受众处置 | 要求删除并取得删除确认 | 安全管理岗跟踪 | 含受众清单与回执情况 | 未取回执的登记未确认项 | | L5 | 全部载体 | 受控区内不可恢复销毁 | 执行与监督岗位分离；密钥销毁与覆写并用 | 执行与监督由不同岗位分别承担 | 含受控区记录、双岗签认、影像或系统操作记录 | 技术核验并由信息安全归口部门确认 | | L5 | 映射表与密钥 | 单独销毁并单独出证 | 映射表与被映射数据分别销毁、分别出证 | 同上 | 单独出具销毁证明 | 单独核验 | | 全级别 | 备份与快照 | 随主数据同步销毁 | 含历史备份、快照与异地副本 | 随主数据监督要求 | 副本清单逐项销毁确认 | 核查备份台账状态 | | 全级别 | 测试与开发环境副本 | 删除并清理构建缓存 | 含脱敏样本与测试数据集 | 执行人自检，L4 及以上由安全管理岗核查 | 含环境清单 | 抽样核查 | 销毁证明的留存要求有三点须单独说明。其一，证明的留存期限不短于项目期加质保期，L4 与 L5 级的销毁证明按招标方档案要求长期留存。其二，销毁证明与退役审批单、副本清单三者编号互相引用，缺任一份则销毁事实无法完整还原。其三，映射表与被映射数据分别出证的原因是两者的销毁时点可能不同——被映射数据销毁后，映射表仍可能因其他数据的追溯需要而保留，此时须明确映射表的保留依据与期限。 #### 9.6 退役管理各项要求的验证口径 表 A9-12b　退役管理的验证口径 | 要求条款 | 要求内容 | 判定方法 | 不合格时的处置 | 复核周期 | |---|---|---|---|---| | 4.3.1 | 到期提醒与闲置筛查按期运行 | 核查提醒生成记录与半年度待评估清单 | 未运行的核查配置并补做 | 半年 | | 5.2.1 | 记分与文字意见并存 | 抽取评估记录，核查两者是否齐备 | 仅有记分的退回补充文字意见 | 季度 | | 5.3.1 | 合规义务否决权被执行 | 核查销毁结论对象中是否存在有保留义务的 | 发现即撤销销毁结论，已销毁的作为重大事件处置 | 按申请 | | 5.4.1 | 复建成本分档有依据 | 抽取判为可低成本复建的对象，核查复建路径是否真实存在 | 依据不成立的重新评估 | 季度 | | 6.2.1 | 审批要素八项齐备 | 核查审批单要素填写率 | 缺项不予审批 | 月 | | 6.3.1 | 下游引用确认齐备 | 核查血缘下游清单与确认记录的对应关系 | 无确认结论的申请退回 | 按申请 | | 6.4.1 | 异议按暂缓处理 | 核查异议记录与结论变更 | 异议未体现在结论中的重新审批 | 季度 | | 7.2.1 | 归档台账字段完整 | 统计台账字段填写率，重点核查解析说明 | 解析说明缺失的补齐，补不齐的标注不可读风险 | 季度 | | 7.2.2 | 归档可读性年度抽样校验 | 核查校验记录与不通过项处置 | 未校验的补做；不通过未处置的列入待处置项 | 年 | | 7.4.1 | 复活有申请与记录 | 核查复活记录与台账登记 | 无申请复活的追溯操作账号 | 季度 | | 8.2.1 | 副本清单覆盖全部副本 | 以存储位置登记与备份记录交叉核对清单 | 清单不全的补齐后重新审批 | 按申请 | | 8.3.2 | 执行与监督岗位分离 | 核查 L5 销毁记录的双岗签认 | 同岗兼任的，该次销毁作为流程违规登记并复核效果 | 按申请 | | 8.4.1 | 销毁证明内容完整 | 核查证明的七项内容 | 缺项的补齐并由监督人复签 | 按申请 | | 8.5.1 | 销毁后抽样核验 | 核查核验记录与方式 | 未核验的补做；发现可恢复痕迹的重新销毁 | 按申请 | | 9.1.1 | 三处记录五日内同步 | 抽取已处置对象，核对三处状态 | 未同步的限期更正并分析通知链路 | 月 | | 9.3.1 | 质量规则同步停用 | 核查退役对象相关规则的启用状态 | 未停用的立即停用并修正质量统计口径 | 月 | | 10.2.1 | 已提供版本的受众通知完成 | 核查通知记录与回执情况 | 未通知的立即通知；无回执的登记未确认项并按季跟踪 | 按版本 | | 10.3.1 | 数据卡保留并标注退役 | 核查已退役版本的数据卡状态 | 被删除的从历史版本恢复并追溯操作 | 季度 | #### 9.7 异常与边界情形的处理 保留期限未约定。存量数据中相当一部分没有明确的留存期限约定。处理方式是先按同类数据的法规最低期限与合同约定取较长者作为暂定期限并登记，再由法务与档案归口部门在年度复核中确认。暂定期限内不发起销毁，仅可转归档。 归档数据被频繁复活。同一归档对象在一年内被复活三次以上的，说明该对象实际仍在使用，归档判定有误。处理方式是将其恢复为在线数据并重新定级，而不是继续按复活流程逐次审批。恢复决定由数据治理办公室作出并登记原因，作为退役评估维度取值的改进输入。 销毁范围内存在尚未取回的外部提供件。处理方式不是推迟销毁主数据，而是分两段执行：主数据与内部副本按计划销毁并出证，外部提供件的处置单独登记为未确认项并按季跟踪。销毁证明中注明外部提供件的处置状态，不以「已完成销毁」笼统表述——两者分开记录，使责任范围清晰。 退役对象的血缘下游是已发布数据集。此情形下不得直接退役，须先判断该数据集是否仍在流通：仍在流通的，保留数据对象至数据集版本退役；已不流通的，可退役但血缘记录保留并标注失效时点。判断依据为数据集资产台账中的授权状态，而非数据集的发布时间。 业务下线但数据可能用于追溯。例如停产机型的质量追溯在产品寿命周期内仍可能发生。处理方式是以法规与合同的追溯期限为保留依据，按归档处置并在归档台账中注明追溯用途与预计需求时点，不进入销毁路径。此类对象的再评估时点设在追溯期限届满后。 介质报废与数据销毁的衔接。存储介质报废、设备更换或租用存储退租时，须先完成其上数据的销毁并出证，再办理介质或设备处置。处理顺序不可颠倒，平台运维岗在设备处置流程中设置前置检查。租用存储的退租还须取得服务方的数据清除确认。 评估结论与业务部门意愿冲突。业务部门不愿销毁而评估结论为可销毁的情形，按暂缓处理并要求业务部门说明保留理由；理由成立的调整评估维度取值，理由不成立但部门坚持的，提交数据治理委员会决定。本规范不以行政方式强制销毁——强制销毁一旦出错不可挽回，而多保留的代价是存储成本。 #### 9.8 首批待评估资产的评估试算 本节以首批待评估对象为例给出评估记分的实际结果，用于说明附录 A 的记分表在本项目上的判别力，并为附录 A 加权下限的取值提供试算依据。表中得分为按附录 A 权重计算的加权值，满分 3 分。 表 A9-12c　首批待评估资产的评估试算（示例） | 对象 | 使用热度 | 业务价值 | 合规义务 | 复建成本 | 加权得分 | 建议结论 | 理由要点 | |---|---|---|---|---|---|---|---| | 已停产机型全套零部件图纸 | 0 | 1 | 无 | 3（不可复建） | 1.5 | 转归档 | 与工艺卡片成对，是图纸—工艺监督样本的主要来源 | | 已停产机型的工艺卡片 | 0 | 1 | 无 | 3（不可复建） | 1.5 | 转归档 | 同上 | | 已退役热处理炉的炉次曲线 | 0 | 1 | 无 | 3（不可复建） | 1.5 | 转归档 | 炉次已过不可重现，是热处理参数样本的历史基线 | | 十年前的通用耗材库存流水 | 0 | 0 | 无 | 0（可低成本复建） | 0 | 销毁 | 无业务价值，源系统仍可导出同类数据 | | 已下线旧办公系统的流程审批记录 | 0 | 0 | 存在（审计保留义务） | 2 | 否决销毁 | 转归档 | 合规义务否决，按保留期限归档 | | 早期试制件的试验记录 | 1 | 2 | 无 | 3（不可复建） | 2.1 | 继续保留 | 仍为选型校核的参照依据 | | 已结项项目的客户联系人信息 | 0 | 0 | 存在（个人信息处理期限） | 0 | 按期限销毁 | 销毁 | 用途终止，按个人信息处理期限销毁 | | 旧版数据集 V1.0 全量样本 | 1 | 1 | 无 | 2（可高成本复建） | 1.4 | 转归档 | 历史版本的评测结论仍被引用，数据卡一并保留 | | 三年前的供方报价明细 | 0 | 1 | 存在（合同保留义务） | 2 | 否决销毁 | 转归档 | 合规义务否决 | | 测试环境的脱敏样本副本 | 0 | 0 | 无 | 0 | 0 | 销毁 | 可随时由脱敏任务重新生成 | | 已更换设备的点检记录 | 0 | 1 | 无 | 1 | 0.7 | 转归档 | 设备已报废但维修知识样本仍有价值 | | 重复采集产生的冗余批次 | 0 | 0 | 无 | 0 | 0 | 销毁 | 与主批次内容一致，去重后无保留必要 | 试算的结论有两点值得在业务评审中讨论。其一，加权得分低于 0.5 且复建成本为可低成本复建的，销毁结论较为可靠；得分在 0.5 至 1.5 之间的对象几乎全部指向归档而非销毁，原因是本项目的历史数据复建成本普遍很高。其二，合规义务的否决权在十二个样本中触发三次，占四分之一，说明否决项的设置不是形式条款——若按加权得分机械判定，这三项都会被判为可销毁。 加权下限的建议取值由招标方在业务评审中按本试算确定；本样章不预填取值，以免在评审前形成既定口径（待补材料清单第 12 项）。 #### 9.9 与本项目业务的结合点 本规范在本项目上的落点有两处，两处都指向历史数据的保留取向。 第一处是历史图纸与工艺卡片的处置取向。本项目所用的 63 万张历史工艺样本中，相当一部分来自已停产机型。按使用热度判断，这些数据在业务系统中的访问次数很低，常规的资产清理逻辑会把它们列入销毁候选。但这类数据的复建成本是不可复建——原设计人员的判断、当时的工艺条件与试制记录都已无从追溯，而历史图纸与配套工艺卡片恰好构成天然成对的监督样本，是预训练与指令微调数据集中「图纸—工艺」对应关系的主要来源。本规范把复建成本的权重定为四成并把不可复建单列一档，就是为了让这类数据走归档而非销毁路径。 第二处是已对外提供数据集版本的退役。本项目的数据集会进入运营流通环节，版本被替代或因瑕疵撤回时，已交付给受众的副本须按授权记录逐一处置。本规范 8.2.1 条把外部提供件列入副本清单、10.2.1 条要求按授权记录通知全部受众并回收处置结果，是为了让「销毁完成」这一结论站得住。无法联系到的受众登记为未确认项并在资产台账中保留，不作已处置处理——这一笔记录在后续发生未授权扩散时是判断责任的依据。 #### 9.10 评审与修订 本规范由数据治理办公室起草，九个业务域数据归口部门、信息安全归口部门、档案归口部门与我方项目组会签。附录 A 的分档取值与加权下限须在业务评审中确认，这一项直接决定多少数据会被判为可销毁，确认时建议用首批待评估清单做一次试算，按试算结果调整分档。 定期复核每年一次，复核输入为上一年度的评估结论分布、异议情况与复活申请次数。复活申请次数偏高说明归档与销毁的判定偏严，须回看评估维度的取值；复活申请为零且归档量很大，说明归档的检索与复活流程未被知晓，须补充宣导。 修订通知的同步范围包含平台的到期提醒配置、闲置筛查规则、退役与销毁表单配置、归档台账字段以及档案归口部门的衔接约定。评估维度或权重修订时，在途申请按原规则办理，新发起的申请按新规则执行；已归档数据的下次再评估按新规则执行。 ### 十、《外部数据引入管理办法》V1.0 样章 本节回应招标文件数据应用流通规划要求第（2）项外部数据管理与第（5）项输出要求（b1325、b1326、b1330），并落实数据来源合法性与不可商用内容核查要求（b1869）。 #### 10.1 文件标识与适用范围 表 A9-13　《外部数据引入管理办法》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 外部数据引入管理办法 | | 文件编号 | GHY26691-GV-07-0009-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 内部 | | 编制依据 | GB/T 40685—2021《信息技术服务 数据资产 管理要求》；GB/T 36344—2018《信息技术 数据质量评价指标》；GB/T 45654—2025《网络安全技术 生成式人工智能服务安全基本要求》；本项目《数据合规管理制度》《数据安全分级标准》；招标方采购管理制度【待填：现行制度名称与文号】 | | 适用范围 | 适用于本项目从招标方以外来源引入的全部数据，包含采购引入、协议获取、公开获取与供应商随货提供四种取得方式；覆盖引入前的采购与评估、引入中的接入与核验、引入后的使用边界管理、到期与退出处置 | | 不适用情形 | 招标方内部各单位之间的数据共享按《数据开放共享管理规范》执行，不属本办法所称外部数据 | | 生效条件 | 经业务评审与数据治理委员会审议通过，由招标方正式发文后生效 | | 失效条件 | 被新版本替代或被明令废止 | | 归口部门 | 【待填：采购与供应链归口部门】；合规审查由法务与合规归口部门承担，技术核验由我方项目组承担 | | 复核周期 | 每半年一次 | | 配套表单 | 附录 A 至附录 E（见本节 10.4） | #### 10.2 章节结构 1　范围 2　规范性引用文件 3　术语和定义 3.1 外部数据 3.2 引入 3.3 许可范围 3.4 衍生品 3.5 退出 4　外部数据的范围与分类 4.1 四类外部数据 4.2 取得方式与管控强度的对应 4.3 引入必要性的判断 5　引入流程 5.1 四个阶段与阶段交付物 5.2 采购阶段 5.3 接入阶段 5.4 核验阶段 5.5 评估阶段 6　合法性核查 6.1 核查要素 6.2 许可条款的逐项判读 6.3 未约定情形的处理 6.4 核查结论的记录位置 7　使用边界与约束 7.1 六个约束维度 7.2 约束的记录位置 7.3 约束的技术落实 7.4 违反约束的处理 8　台账管理 8.1 台账的字段与维护责任 8.2 字段的写入时点 8.3 台账与数据卡的对应关系 9　到期与退出 9.1 到期提醒 9.2 到期处置的四种方式 9.3 退出的清除范围 9.4 衍生品的处置约定 10　合同条款要求 10.1 必谈条款清单 10.2 条款缺失的处理 附录 A　外部数据台账模板（规范性） 附录 B　合法性核查要素表（规范性） 附录 C　使用边界约束登记表（规范性） 附录 D　合同必谈条款清单（规范性） 附录 E　引入评估报告模板（规范性） #### 10.3 关键条款 4.1.1　本项目可能引入的外部数据分四类：国家与行业标准文本及其附带数据；市场行情与价格指数；公开的地质与煤炭行业统计数据；供应商提供的材料质保书与检测数据。四类数据的来源合法性要求与管控强度不同，按附录 B 分别核查。 4.2.1　取得方式与管控强度的对应为：采购与协议获取的数据按合同条款管控；公开获取的数据按获取时点的许可声明管控，并留存声明原文；供应商随货提供的数据在取得使用确认前仅用于内部质量追溯。三类的共同要求是来源可追溯、许可可查证。 4.3.1　引入必要性的判断在采购阶段完成，判断要点为三项：招标方内部是否已有同类数据；该数据服务于哪一类数据集或哪一个验证场景；不引入时的替代方案与影响。三项缺一不得进入采购环节。 5.1.1　引入按采购、接入、核验、评估四个阶段执行，各阶段的交付物为：采购阶段出具引入必要性说明与合同条款确认；接入阶段出具接入方式说明与首批样本；核验阶段出具合法性核查结论与质量核验结论；评估阶段出具引入评估报告。 5.2.1　采购阶段须把许可范围、许可期限、到期后衍生品处置、再分发条件、署名要求五项写入合同或协议。公开获取的数据无合同可依时，留存获取时点的许可声明原文与获取记录。 5.3.1　接入阶段的要求有三项：外部数据落入独立的接入区，不直接写入贴源层；接入时标注来源标识与批次标识，标识随数据流转至下游；接入前完成格式与编码的归一化，归一化规则登记在接入任务配置中。 5.3.2　外部数据的接入区与本项目加工区之间设放行检查。放行条件为三项：合法性核验结论为通过；质量核验结论为通过；台账中的核验阶段字段已完整写入。三项缺一不予放行，未放行的批次保留在接入区并登记原因。 5.4.1　核验阶段分合法性核验与质量核验两部分。合法性核验按第 6 章执行，由法务与合规归口部门出具结论。质量核验按完整性、准确性、一致性、及时性、有效性与唯一性六个维度抽样检查，抽样方案与判定门限引用《数据质量校验规则库》对应规则，结论为不通过的批次不进入加工环节。 5.4.2　质量核验的抽样方案按批次数据量确定，抽样与判定依据 GB/T 2828.1—2012 的计数抽样检验程序。核验结论为不通过的批次按两种方式处理：供方可更正的，退回更正后重新核验；不可更正的，该批次不予接收并在台账中记录，作为续约评估的依据。 5.5.1　评估阶段出具引入评估报告（附录 E），报告内容包含实际获得的数据内容与合同约定的差异、质量核验结论、可用性判断、后续批次的接收建议与价格合理性意见。评估报告是续约与否的依据。 6.1.1　合法性核查的要素为八项：权属主体、取得方式、许可范围（内部使用、衍生加工、模型训练、商业使用、对外提供逐项）、许可期限、再分发条件、署名要求、内容安全、是否含个人信息。核查结论逐项记录，不作整体性的「合法」结论。 6.1.2　核查结论的有效期与许可期限一致。许可期限内供方变更许可条款的，重新核查并更新台账；供方主体发生变更（合并、注销、权属转移）的，重新确认许可的承继关系，确认前暂停新增批次接入。 6.2.1　许可条款的判读遵循一条规则：条款未明确授予的权利视为未授予。本项目的产出是用于大模型训练并进入流通的数据集，许可范围是否覆盖「用于模型训练」与「衍生品商业使用」两项须单独判读，不以「允许使用」笼统带过。 6.3.1　许可条款未约定衍生品能否用于模型训练或对外提供时，按《数据合规管理制度》的疑则从严原则处理：列为待澄清项，由采购或业务归口部门向供方书面确认；确认未取得前该数据不进入训练数据集，可用于内部分析与口径参考。 6.4.1　核查结论记录在外部数据台账中，并在使用该数据的数据集的数据卡中声明所含外部数据的来源与许可范围。两处记录不一致时以台账为准。外部数据一旦混入数据集而其许可范围不覆盖训练与商业使用，整份数据集的合法性都会受牵连，因此本条不设简化通道。 7.1.1　使用边界按六个维度约束：存储、加工、共享、署名与引用、期限、退出。各维度的约束内容与记录位置见附录 C。 7.2.1　外部数据在数据集中的占比按版本记录，记录粒度到数据集子集。占比的用途有两项：发布前核对该占比下的流通方式是否在许可范围内；发生许可争议时判断影响范围。占比超过约定比例的子集，其对外流通须单独审查。 7.3.1　约束的技术落实方式为三项：接入区与加工区之间设置放行检查，未通过合法性核验的批次不予放行；不允许进入训练数据集的外部数据在元数据中标注禁用标记，加工任务读取时校验该标记；按来源标识统计外部数据在各数据集中的占比，占比随版本记录。 7.4.1　违反使用边界的情形按《数据安全管理办法》的安全事件流程处理，同时评估对已发布数据集的影响，必要时按《数据合规管理制度》的瑕疵处置条款执行。 8.1.1　外部数据台账由采购与供应链归口部门维护主数据部分，我方项目组维护接入与核验部分，数据治理办公室维护关联数据集与占比部分。三方各自对其字段的准确性负责，台账的整体完整性由数据治理办公室按月核对。核对发现字段缺失的，按 8.2.1 条的写入时点判断责任方。 8.2.1　台账字段的写入时点分四处：采购阶段写入来源与合同约定字段；接入阶段写入接入方式与批次字段；核验阶段写入核查结论与质量结论字段；使用阶段写入关联数据集与占比字段。字段写入时点固定，便于判断某一字段缺失是流程未走到还是执行遗漏。 8.3.1　台账与数据卡的对应关系为一对多：一条台账记录可被多个数据集版本引用，每个引用在数据卡中声明。台账记录变更时，按引用关系通知相关数据集的责任方，必要时更新数据卡；数据卡已发布的，以修订记录方式补充说明。 9.1.1　许可到期提醒由平台按台账的许可期限字段生成，提醒时点为到期前三个月。提醒对象为采购归口部门与数据治理办公室。 9.2.1　到期处置取四种方式之一：续约；停止接收新批次但按约定继续使用已获数据；停止使用并下架相关数据集版本；按约定清除。采用哪一种取决于合同中到期后衍生品处置条款的约定。 9.3.1　退出时的清除范围按合同约定执行，包含原始件、接入区副本、备份、衍生中间结果与已交付的衍生品。清除执行按《数据退役管理规范》的销毁要求办理，出具清除确认并提供给供方。衍生品无法清除的（已对外流通的数据集版本），按约定方式处置并书面说明。 9.4.1　衍生品的处置约定须在引入时谈定。未事先约定时，到期将面对两难——继续使用可能越权，停止使用则已交付的数据集要召回。因此本办法把「许可到期后衍生品的处置方式」列为合同必谈条款（附录 D），并要求约定结果同时写入台账与数据卡。 10.1.1　必谈条款的确认情况在采购阶段形成条款确认表，逐项标注已约定、未约定或供方拒绝。条款确认表作为引入审批的附件，未附条款确认表的引入申请不予审批。 10.2.1　供方不接受必谈条款中任一项的，由采购归口部门与法务会商后决定是否引入；决定引入的，在台账中标注该项未约定并记录对应的使用限制，该数据的使用范围按未授予处理。 图 A9-9　外部数据四阶段引入流程与台账字段的写入时点 一　采购 必要性说明＋条款确认 二　接入 独立接入区＋来源标识 三　核验 合法性＋质量六维抽样 四　评估 引入评估报告＋续约建议 外部数据台账（附录 A）——字段按阶段写入，缺字段即可判断流程停在何处 来源与合同约定　｜　接入方式与批次　｜　核查结论与质量结论　｜　关联数据集与占比 放行检查（接入区至加工区） 未过合法性核验不予放行 禁用标记由加工任务校验 数据卡声明 所含外部数据来源与许可范围 与台账不一致时以台账为准 到期与退出 到期前三个月提醒 四种处置按合同条款择一 许可条款未明确授予的权利视为未授予；未约定事项列为待澄清项，确认前不进入训练数据集。 数据来源：招标文件第五章 3.2.6.1.1.2.9 第（2）项（b1325、b1326）与项目安全合规建设要求（b1869）。 图 A9-9　外部数据四阶段引入流程与台账字段的写入时点。数据来源：招标文件第五章 3.2.6.1.1.2.9 第（2）项外部数据管理要求（b1325、b1326）与项目安全合规建设要求（b1869）。 #### 10.4 附录内容 附录 A　外部数据台账模板与样例行（规范性） | 字段 | 写入阶段 | 必填 | 填写要求 | |---|---|---|---| | 台账编号 | 采购 | 是 | WB 加四位顺序号 | | 数据名称 | 采购 | 是 | 按供方提供的正式名称 | | 数据类别 | 采购 | 是 | 四类之一 | | 权属主体 | 采购 | 是 | 供方或原始权属方 | | 取得方式 | 采购 | 是 | 采购／协议／公开获取／随货提供 | | 合同或协议编号 | 采购 | 条件必填 | 公开获取时填获取记录编号 | | 许可范围 | 采购 | 是 | 五项权利逐项标注允许／不允许／未约定 | | 许可期限 | 采购 | 是 | 起止日期 | | 再分发条件 | 采购 | 是 | 允许／需供方同意／不允许／未约定 | | 署名要求 | 采购 | 是 | 要求及引用格式 | | 到期衍生品处置 | 采购 | 是 | 合同约定的处置方式 | | 接入方式 | 接入 | 是 | 接口／文件／介质 | | 接入区位置与批次标识 | 接入 | 是 | 批次标识随数据流转 | | 归一化规则 | 接入 | 是 | 引用接入任务配置 | | 合法性核查结论 | 核验 | 是 | 八要素逐项结论 | | 可商用性结论 | 核验 | 是 | 可商用／不可商用／存疑 | | 禁用标记 | 核验 | 是 | 是否禁止进入训练数据集 | | 质量核验结论 | 核验 | 是 | 六维度结论与抽样方案编号 | | 安全级别 | 核验 | 是 | 引用分级标准 | | 关联数据集与版本 | 使用 | 是 | 使用该数据的数据集清单 | | 在数据集中的占比 | 使用 | 是 | 按版本记录 | | 到期提醒状态 | 使用 | 是 | 未到期／已提醒／已处置 | | 处置结论与时间 | 退出 | 条件必填 | 到期或退出时填写 | 样例行（示意填写粒度）：WB-0004｜煤炭行业产能与产量统计年度数据｜公开的地质与煤炭行业统计数据｜【待填：发布机构】｜公开获取｜获取记录 QD-0021｜内部使用允许、衍生加工允许、模型训练未约定、商业使用未约定、对外提供不允许｜【待填：起止日期】｜不允许｜要求署名并注明发布机构与年份｜到期后衍生品处置未约定｜文件｜接入区 EXT-02，批次 20270315｜字段名与计量单位归一化规则 GN-0007｜权属明确、取得方式合规、内容安全通过、不含个人信息｜存疑｜是（禁止进入训练数据集）｜六维度抽样通过，抽样方案 CY-0012｜L1｜暂无｜—｜已提醒｜待供方书面确认模型训练许可 附录 B　合法性核查要素表（规范性） | 外部数据类别 | 核查重点 | 常见风险 | 本项目的处理取向 | |---|---|---|---| | 标准文本及其附带数据 | 著作权状态；正文全文与事实性内容的区分 | 整段原文纳入语料超出许可范围 | 以术语、字段定义、取值域等事实性内容为引用对象，不整段纳入语料，并在数据卡声明引用方式 | | 市场行情与价格指数 | 再分发条件；衍生品使用约定 | 数据服务协议禁止二次分发 | 用于内部分析与库存控制场景的口径参考，衍生指标是否可随数据集流通须按条款逐项确认 | | 地质与煤炭行业统计数据 | 发布方的使用声明；署名要求 | 署名缺失构成违约 | 在数据卡与成果文档中按要求署名，署名格式登记在台账 | | 供应商材料质保书与检测数据 | 供方是否授权用于模型训练；是否含供方商业秘密 | 未经授权将供方检测数据纳入可流通数据集 | 引入时签署数据使用确认，未取得确认的仅用于内部质量追溯 | 附录 C　使用边界约束登记表（规范性） | 约束维度 | 约束内容 | 记录位置 | |---|---|---| | 存储 | 存储位置与期限；是否允许留存原始件；备份范围 | 外部数据台账 | | 加工 | 是否允许衍生加工；衍生品权属；是否允许进入训练数据集 | 台账与数据卡 | | 共享 | 可共享的对象范围；是否允许对外提供；二次提供是否需供方同意 | 台账与开放授权记录 | | 署名与引用 | 是否要求署名；引用格式 | 数据卡与成果文档 | | 期限 | 许可有效期；到期处置方式 | 台账，到期前触发提醒 | | 退出 | 终止引入时的清除范围，含衍生品处置约定 | 台账与退役处置单 | 附录 D　合同必谈条款清单（规范性） 必谈条款为八项：数据内容与交付形态的明确描述；许可范围逐项列明（含是否允许用于模型训练与商业使用）；许可期限与续约方式；到期后衍生品的处置方式；再分发与二次提供的条件；署名与引用要求；数据质量的约定与不达标的处理；供方对数据来源合法性的承诺与违约责任。八项中第四项与第八项最易被忽略，而这两项在发生争议时决定我方的处置空间。 附录 E　引入评估报告模板（规范性） 报告章节为六节：引入背景与必要性回顾；实际获得的数据内容与合同约定的比对；质量核验结论（六维度实测结果与抽样方案）；合法性核查结论与待澄清项；可用性判断（服务于哪些数据集与验证场景、实际贡献）；续约建议与价格合理性意见。 #### 10.5 四类外部数据的引入要点与台账样例 表 A9-13a　四类外部数据的引入要点明细 | 类别 | 本项目的具体对象 | 取得方式 | 核查重点 | 可用范围的典型约定 | 质量核验重点 | 到期处置取向 | |---|---|---|---|---|---|---| | 标准文本及附带数据 | 技术制图、机械制图、焊接术语、焊缝符号、无损检测、力学性能试验、矿用圆环链等系列标准 | 采购或协议获取 | 著作权状态；正文与事实性内容的区分；电子版的使用授权范围 | 允许内部使用与引用事实性内容；不允许整段原文纳入可流通语料 | 版本有效性；是否被新版替代；条款编号可定位 | 续订；标准被替代时更新引用版本并保留历史版本记录 | | 市场行情与价格指数 | 钢材、链条、减速机等主要物料的价格指数与行情数据 | 采购（数据服务） | 再分发条件；衍生指标能否随数据集流通；服务中断时的数据可得性 | 允许内部分析；衍生指标的流通须逐项确认 | 时间连续性；口径变更记录；缺失值处理方式 | 续约或停止接收新批次而保留历史数据 | | 地质与煤炭行业统计数据 | 产能产量统计、行业装备保有量、煤层赋存条件的公开统计 | 公开获取 | 发布方使用声明；署名要求；是否允许商业使用 | 多数允许使用并要求署名；再分发常受限 | 发布口径与统计年度；与其他来源的一致性 | 按发布方声明；新年度数据发布后补充接入 | | 供方质保书与第三方检测数据 | 钢材材质证明、链条检测报告、外购件出厂检验数据 | 随货提供或协议获取 | 供方是否授权用于模型训练；是否含供方商业秘密；检测机构成果的权属 | 取得使用确认前仅用于内部质量追溯 | 项目与方法的完整性；量纲与标准方法一致；与入厂复验结果的一致性 | 随供货合同期；合同续签时同步续签数据使用确认 | 表 A9-13b　外部数据台账样例行（示意填写粒度） | 台账编号 | 数据名称 | 类别 | 取得方式 | 许可范围（内部／衍生／训练／商用／对外） | 可商用性结论 | 禁用标记 | 质量核验 | 级别 | 到期状态 | 处置结论 | |---|---|---|---|---|---|---|---|---|---|---| | WB-0001 | 焊接与无损检测系列标准电子版 | 标准文本 | 采购 | 允许／允许／未约定／未约定／不允许 | 存疑 | 是 | 通过，版本现行 | L2 | 未到期 | 以事实性内容引用，已书面询问训练用途 | | WB-0002 | 机械制图与尺寸公差系列标准电子版 | 标准文本 | 采购 | 允许／允许／未约定／未约定／不允许 | 存疑 | 是 | 通过 | L2 | 未到期 | 同上 | | WB-0003 | 钢材与链条价格指数 | 市场行情 | 采购（数据服务） | 允许／允许／不允许／不允许／不允许 | 不可商用 | 是 | 通过，口径有一次变更 | L2 | 已提醒 | 仅用于库存控制场景口径参考 | | WB-0004 | 煤炭行业产能与产量年度统计 | 行业统计 | 公开获取 | 允许／允许／未约定／未约定／不允许 | 存疑 | 是 | 通过 | L1 | 已提醒 | 待发布方书面确认训练用途 | | WB-0005 | 低合金高强度结构钢供方材质证明 | 供方质保书 | 随货提供 | 允许／允许／待确认／待确认／不允许 | 存疑 | 是 | 通过，与入厂复验一致 | L3 | 随供货合同 | 已发出数据使用确认函 | | WB-0006 | 矿用圆环链第三方检测报告 | 第三方检测 | 协议获取 | 允许／允许／允许／允许／需供方同意 | 可商用 | 否 | 通过 | L3 | 未到期 | 可进入质量域数据集，署名按协议格式 | | WB-0007 | 工作面地质赋存条件公开统计 | 行业统计 | 公开获取 | 允许／允许／允许／允许／要求署名 | 可商用 | 否 | 通过，粒度为矿区级 | L1 | 未到期 | 可用于工况区间化的参照分布 | | WB-0008 | 外购减速机出厂检验数据 | 供方数据 | 随货提供 | 允许／待确认／不允许／不允许／不允许 | 不可商用 | 是 | 不通过，检验项不完整 | L3 | 随供货合同 | 该批次不接收，已反馈供方补充 | 样例中六条的可商用性结论为「存疑」或「不可商用」，这不是示意数值的巧合，而是外部数据在本项目中的真实分布形态：多数许可条款写于生成式模型训练成为普遍需求之前，对训练与衍生品商用两项并无约定。因此本办法把「未约定视为未授予」写成硬规则，并把待澄清项的推进作为复核的重点。 #### 10.6 外部数据管理各项要求的验证口径 表 A9-13c　外部数据管理的验证口径 | 要求条款 | 要求内容 | 判定方法 | 不合格时的处置 | 复核周期 | |---|---|---|---|---| | 4.3.1 | 引入必要性三项齐备 | 核查引入必要性说明的三项内容 | 缺项不进入采购环节 | 按申请 | | 5.2.1 | 五项条款写入合同 | 抽取已引入数据，核对合同条款确认表 | 缺项的按未授予处理并限制使用范围 | 季度 | | 5.3.1 | 接入区独立且标识随行 | 核查外部数据的落地位置与来源标识字段 | 直接写入贴源层的回退并重做接入 | 月 | | 5.3.2 | 放行检查三条件 | 核查放行记录与三项结论 | 未过检查而已放行的，追溯批次并撤出 | 月 | | 5.4.1 | 合法性与质量两项核验齐备 | 核查核验结论的出具方与记录 | 缺任一项的批次不进入加工 | 按批次 | | 5.4.2 | 抽样方案有依据 | 核查抽样方案编号与样本量计算 | 无方案的重做核验 | 按批次 | | 5.5.1 | 引入评估报告出具 | 核查报告的六节内容 | 未出具的不得续约 | 按引入 | | 6.1.1 | 八要素逐项结论 | 核查核查表的填写完整性 | 以整体性「合法」作结的退回重做 | 按批次 | | 6.2.1 | 训练与商用两项单独判读 | 抽取核查表，核查两项是否单列结论 | 未单列的补做判读 | 季度 | | 6.3.1 | 未约定项列为待澄清并推进 | 统计待澄清项数量与推进记录 | 挂账超过约定期限的明确推进责任与时限 | 季度 | | 6.4.1 | 台账与数据卡声明一致 | 两处逐项比对 | 不一致的以台账为准更正数据卡 | 按版本 | | 7.2.1 | 占比按版本记录 | 核查数据集版本的外部数据占比记录 | 未记录的补记 | 按版本 | | 7.3.1 | 禁用标记在加工中被校验 | 以带禁用标记的对象做验证性加工，核对是否被拦截 | 未拦截的限期修复，期间人工核查 | 季度 | | 8.1.1 | 台账三方维护且按月核对 | 核查台账字段的分段填写情况与月度核对记录 | 缺字段的按写入时点判断责任方并补填 | 月 | | 9.1.1 | 到期提醒按期生成 | 核查临期条目与提醒记录 | 未提醒的核查配置 | 月 | | 9.3.1 | 退出清除范围完整 | 核查清除确认与副本范围 | 清除不全的补做并重新出证 | 按退出 | | 10.1.1 | 条款确认表随审批 | 核查引入审批单的附件 | 未附的退回 | 按申请 | #### 10.7 异常与边界情形的处理 供方主体变更。供方被合并、注销或权属转移时，许可的承继关系须重新确认。确认前暂停新增批次接入，已引入数据的继续使用按原合同条款执行；无法确认承继关系的，该数据按未授予处理，不进入新版本数据集。 公开获取数据的许可声明事后变更。发布方修改使用声明的情形确实存在。处理方式是在获取时留存声明原文与获取时点，作为按当时声明使用的依据；发布方新声明更严格的，新增批次按新声明执行，已引入批次按获取时点的声明执行，并在台账中记录两个版本的声明。 外部数据与内部数据难以区分。混合加工后的衍生对象若无法区分其中的外部成分占比，按整体适用外部数据的最严约束。为避免此情形，本办法 5.3.1 条要求来源标识随数据流转至下游，加工任务不得丢弃来源标识字段——丢弃来源标识的任务在测试评审中不予通过。 供方提供的数据质量持续不达标。连续两个批次质量核验不通过的，暂停接收并由采购归口部门与供方沟通；沟通后仍不达标的，在引入评估报告中建议终止并提出替代来源。替代来源不可得而该数据为必需的，降低对该数据的依赖——例如以入厂复验数据替代供方质保书作为主要样本来源，供方数据仅作交叉验证。 许可到期而衍生数据集已交付。处理方式按合同中到期后衍生品处置条款执行。条款约定衍生品可继续使用的，数据集无需处理但台账中记录许可已到期；条款未约定的，按本办法 6.3.1 条的疑则从严处理：停止新增使用，已交付版本按《数据开放共享管理规范》的回收流程通知受众并协商处置，同时向供方书面确认。此类情形的预防手段就是 10.1.1 条的必谈条款。 开源来源的许可与外部采购数据混同管理。开源语料与开源模型的许可判读在《数据合规管理制度》中规定，其台账登记并入本办法的外部数据台账，但「取得方式」取值为公开获取并在备注中标注开源许可类别。统一台账的理由是：数据集发布前需要一份完整的外部成分清单，分散在两处会漏项。 外部数据涉及个人信息。外部引入的客户或人员信息（例如行业名录、供方联系人清单）同样适用《数据合规管理制度》的个人信息条款，须确认处理的合法性基础。无法确认的不予引入——外部来源的个人信息在合法性基础上通常比内部数据更难说明。 #### 10.8 与本项目业务的结合点 本办法在本项目上的落点集中在标准文本的处理方式上，这是本项目外部数据中占比最大且风险最隐蔽的一类。 本项目的数据集建设需要大量引用矿山装备制造相关的国家标准与行业标准：图纸解析依据技术制图与机械制图系列标准，焊接相关样本依据焊接术语、焊缝符号表示法与无损检测系列标准，材料性能数据依据拉伸试验与硬度试验方法标准，链条类样本依据矿用高强度圆环链标准。这些标准的术语、字段定义、取值域与判定等级是标注标签体系与字段校验规则的来源，必须引用；但标准正文受著作权保护，整段原文写入预训练语料的许可依据并不充分。本办法附录 B 给出的处理取向是以事实性内容为引用对象、不整段纳入语料，并在数据卡中声明引用方式。这一取向对数据集的影响须说明清楚：预训练子集中与标准相关的语料量会低于「全文纳入」的方案，相应的补偿办法是以标准为依据生成规则性样本与问答样本，样本的事实依据可追溯至标准条款编号，这部分工作属数据加工环节，其方法在技术方案相应章节论述。 供应商材料质保书与检测数据是第二处需要特别处理的类别。刮板输送机关键零部件的材质牌号、力学性能与热处理状态数据，相当一部分来自供应商随货提供的质保书与第三方检测报告。这类数据在质量域数据集中价值很高，但其权属属于供应商与检测机构。本办法要求引入时签署数据使用确认，未取得确认的仅用于内部质量追溯而不进入可流通数据集——这一区分在引入阶段做比在数据集发布前做代价低得多。 #### 10.9 评审与修订 本办法由采购与供应链归口部门起草，法务与合规归口部门、信息安全归口部门、研发设计与质量管理业务域归口部门、我方项目组会签。附录 D 的必谈条款清单须经法务确认，这一项将直接写入后续采购合同的条款模板。 定期复核每半年一次，复核输入为台账中的待澄清项数量、到期处置情况与质量核验不通过的批次比例。待澄清项长期挂账说明供方确认推进不力，须在复核时明确推进责任与时限。 修订通知的同步范围包含采购合同条款模板、平台的接入区放行检查规则、禁用标记校验逻辑、数据卡的外部数据声明分区与到期提醒配置。核查要素增减时，已引入数据按新要素补充核查，补充核查在三个月内完成；未完成补充核查的外部数据暂停新增批次接入，已进入数据集的部分不追溯撤回，但在下一版本发布前完成核查结论的更新。 ### 十一、《数据开放共享管理规范》V1.0 样章 本节回应招标文件数据应用流通规划要求第（3）项数据开放、第（4）项数据服务与第（5）项输出要求（b1327、b1328、b1329、b1330）。按技术方案数据治理段的安排，数据服务标准与服务目录作为本规范的附件交付，相关内容见本节附录 E。 #### 11.1 文件标识与适用范围 表 A9-14　《数据开放共享管理规范》文件标识 | 项 | 内容 | |---|---| | 文件名称 | 数据开放共享管理规范 | | 文件编号 | GHY26691-GV-07-0010-V1.0 | | 版本号 | V1.0（首版） | | 文件密级 | 内部 | | 编制依据 | GB/T 40685—2021《信息技术服务 数据资产 管理要求》；GB/T 36345—2018《信息技术 通用数据导入接口》；GB/T 41479—2022《信息安全技术 网络数据处理安全要求》；本项目《数据安全分级标准》《数据权限管理规范》《数据合规管理制度》 | | 适用范围 | 适用于三层开放对象的数据申请、审批、授权、使用监测与回收：招标方内部跨部门共享；面向招标方关联单位的共享；面向外部使用方的数据集流通。适用对象包含数据对象、数据服务与数据集版本三类 | | 不适用情形 | 本项目内部加工环节之间的数据流转按《数据设计开发规范》执行，不属本规范所称开放共享；数据集挂牌展示与交易的业务形态在技术方案数据集运营平台一节论述，本规范规定其管理流程 | | 生效条件 | 经业务评审与数据治理委员会审议通过，由招标方正式发文后生效 | | 失效条件 | 被新版本替代或被明令废止 | | 归口部门 | 数据治理办公室；对外流通事项由【待填：数据资产运营归口部门】承担 | | 复核周期 | 每半年一次 | | 配套表单 | 附录 A 至附录 F（见本节 11.4） | #### 11.2 章节结构 1　范围 2　规范性引用文件 3　术语和定义 3.1 开放共享 3.2 授权凭据 3.3 受众 3.4 二次提供 3.5 回收 4　开放对象与分层 4.1 三层开放对象 4.2 分层与管控强度的对应 4.3 可开放范围的界定 5　开放目录 5.1 目录的内容与来源 5.2 目录的登记与下架 5.3 目录与数据资源目录的关系 6　申请 6.1 申请要素 6.2 申请渠道与受理 6.3 不予受理的情形 7　审批 7.1 审批层级 7.2 审批要素 7.3 审批时限 7.4 对外流通的附加审批 8　授权 8.1 授权凭据的三项绑定要素 8.2 脱敏策略的绑定 8.3 水印策略的绑定 8.4 凭据的签发与交付 8.5 二次提供的约定 9　使用监测 9.1 监测项 9.2 异常判定 9.3 计量数据的三个用途 10　回收 10.1 五种触发情形 10.2 回收的执行 10.3 已导出数据的处置 10.4 回收记录与复核 11　争议与违约 11.1 争议处理 11.2 违约情形与处理 附录 A　开放目录登记表（规范性） 附录 B　数据开放申请单模板（规范性） 附录 C　授权凭据字段表（规范性） 附录 D　回收记录模板（规范性） 附录 E　数据服务标准与服务目录（规范性附件） 附录 F　使用监测报表模板（规范性） #### 11.3 关键条款 4.1.1　开放对象分三层，管控强度依次提高：第一层为招标方内部跨部门共享；第二层为面向招标方关联单位的共享；第三层为面向外部使用方的数据集流通。 4.2.1　三层的管控差异体现在四处：审批层级；可开放的最高数据级别；是否允许二次提供；是否要求签署使用协议。第三层须签署使用协议并明确二次提供的条件，第一层与第二层按授权凭据的范围限定执行。 4.3.1　可开放范围按两条规则界定：数据级别在该层允许的上限之内；该数据所含外部数据的许可范围覆盖本次开放方式。两条规则同时满足方可登记入开放目录。 5.1.1　开放目录登记可申请的数据对象、数据服务与数据集版本，登记内容见附录 A。目录与数据资源目录互相引用：使用方可从数据对象找到可用服务，也可从服务找到其数据来源。 5.1.2　开放目录的内容来源为三处：数据资源目录中标注为可开放的条目；服务目录中已登记的数据服务；数据集资产台账中已发布且允许流通的版本。三处的条目进入开放目录前按 4.3.1 条核对可开放范围，核对结论记录在目录条目中。 5.2.1　目录条目的下架情形为四种：数据对象退役；数据集版本被替代或撤回；级别调整后超出该层开放上限；所含外部数据许可到期。下架时在目录中保留历史记录并标注下架原因，不直接删除条目。 5.3.1　目录与数据资源目录的关系是互相引用而非内容复制：开放目录登记可开放性与开放条件，数据内容的字段说明、血缘与质量状态引用数据资源目录与质检结论。两处内容不一致时以数据资源目录为准，并更正开放目录的引用。 6.1.1　申请要素为十项，缺项不予受理：申请主体与联系通道、申请层级、申请对象、字段或子集范围、使用用途、使用方式、使用期限、使用人员或系统范围、是否需要导出、是否需要二次提供。使用用途须写明具体业务动作与产出，「研究使用」一类表述不予受理。 6.2.1　申请渠道统一走平台提交，不受理线下口头申请。受理时限为两个工作日，受理内容为要素齐备性与申请对象是否在目录内，不在受理环节判断必要性。第三层申请的受理另需确认申请主体的资格材料。 6.3.1　下列情形不予受理：申请对象不在开放目录内；申请层级与主体不符；用途涉及不在许可范围内的使用方式；申请主体在违约记录中且未完成整改。 7.1.1　审批层级按申请层级与涉及的最高数据级别共同确定：第一层按《数据权限管理规范》的审批层级执行；第二层在前项基础上经数据治理办公室复核；第三层在前项基础上报数据资产运营归口部门审批，涉及 L4 级数据的报数据治理委员会审定，L5 级数据原则上不对外流通。 7.2.1　审批要素为七项：申请要素的齐备性与真实性；申请对象的可开放层级与本次层级是否相符；用途是否在数据的可用用途范围内；拟授权范围是否为用途所必需；脱敏与水印策略是否已确定；使用期限是否与用途相称；是否存在在途的同受众授权可以合并。第四项与第七项是审批的实质内容，前者防范范围过宽，后者避免同一受众持有多张范围重叠的凭据。 7.3.1　审批时限按层级设定：第一层三个工作日；第二层五个工作日；第三层十个工作日，涉及委员会审定的按会议周期顺延并告知申请方预计时点。超期未办理的在数据治理办公室月度例会上通报。 7.4.1　对外流通的附加审批要素为四项：使用协议条款的确认；数据卡中可用用途与禁止用途的声明与本次用途的一致性；外部数据许可范围对本次流通方式的覆盖情况；合规审查结论。四项齐备方可授权。 8.1.1　授权凭据须与三项要素一并绑定，缺一则后续无法管控：数据范围（对象与子集）、字段范围、时间范围。不签发无范围限定的凭据。 8.2.1　脱敏策略按受众与级别绑定在凭据上。同一数据对象对不同受众返回不同的脱敏结果，脱敏规则编号记录在凭据中，便于事后判断受众实际看到了什么。 8.3.1　水印策略按级别绑定。L3 及以上级别的导出件带水印，水印可反查到授权凭据。数据集类交付的隐式水印按批次嵌入，批次标识与凭据编号对应。 8.4.1　凭据的交付方式按受众类型确定：系统类受众以接口凭据形式交付；人员类受众以账号授权形式交付；数据集交付以下载授权与封装包形式交付。三种方式均记录交付时点与接收确认。 8.4.2　凭据交付时同步提供三项说明：数据的质量状态声明、脱敏处理对数据可用性的影响说明、禁止用途清单。第二项说明是本项目的特有要求——脱敏会损失信息，受众须知道拿到的数据在哪些分析上不适用，否则会得出错误结论并归因于数据质量。 8.5.1　二次提供须在授权时明确。允许二次提供的，须约定二次受众的范围、二次提供的记录义务与我方的知悉方式；未约定即视为不允许。涉及外部数据的，二次提供还须符合该外部数据的再分发条件。 9.1.1　使用监测的监测项为五项：调用或下载次数与时点；访问的数据范围与返回量；访问的来源地址与通道；超范围访问的尝试；凭据的使用频次与分布。监测记录与访问日志合并保存。 9.2.1　异常判定按三类：范围异常，实际访问范围超出凭据授权范围；频次异常，使用频次显著偏离申请时声明的使用方式；时点异常，在非约定时段或凭据失效后发起访问。命中任一类生成告警并进入回收评估。 9.2.2　异常判定命中后的处置分三步：生成告警并通知受众对接人；核实是配置问题、使用方理解偏差还是实质越权；按核实结论决定是提示纠正、收紧凭据范围还是进入回收。核实结论与处置记录与凭据编号关联。 9.3.1　计量数据有三个用途：按受众统计使用情况，作为数据资产价值评估的输入；识别异常调用，作为安全审计的输入；度量服务实际负载，作为容量规划的输入。三个用途共用同一套计量记录，不另行采集。 10.1.1　回收的触发情形为五种：授权到期；申请用途变更或终止；监测发现越权访问；发生违规事件；申请人岗位变动或主体资格变化。 10.2.1　回收执行后凭据立即失效。接口类凭据作废并拒绝后续调用；账号类授权撤回并记录；下载类授权关闭并在目录中标注该受众的授权已回收。回收执行时点与失效确认一并记录。 10.2.2　回收执行后向受众发送回收通知，通知内容包含回收原因、失效时点、已交付数据的处置要求与处置回执时限。回执逾期未收到的，列为未确认项并按季度跟踪，跟踪三次仍无回执的记入受众的违约记录。 10.3.1　已导出或已下载的数据按约定方式处置。处置方式在授权时即约定，内容为删除并出具删除确认、继续使用至约定时点后删除、或按协议保留但不得二次提供三种之一。处置结果回收登记，无法确认的登记为未确认项并在资产台账中保留。 10.4.1　回收记录与原申请单关联，便于复核同一受众的历史授权情况。每半年复核一次回收记录，复核内容为未确认项的跟踪情况与同一受众的重复授权情形。 11.1.1　争议处理的路径为三级：对接人协商；数据治理办公室协调；按使用协议约定的争议解决方式处理。争议期间，涉及数据安全风险的凭据先行暂停，暂停不构成对争议结论的预判，这一点在使用协议中写明。 11.2.1　违约情形列举四类：超出授权范围访问或使用；未经约定二次提供；未按约定处置已交付数据；伪造或转借授权凭据。违约情形按使用协议约定处理，并记录在受众的违约记录中；记录在案且未完成整改的主体，后续申请不予受理。 图 A9-10　授权凭据、脱敏与水印策略、回收记录的绑定关系 开放申请（附录 B） 十项要素齐备方受理 对象须在开放目录内 分层审批 层级＋级别共同定审批线 对外流通加四项附加审批 授权凭据（附录 C）——三项绑定要素缺一不签发 数据范围　｜　字段范围　｜　时间范围 附加绑定：脱敏规则编号（按受众与级别）　｜　水印策略（L3 起） 凭据交付与接收确认 接口／账号／下载三种方式 使用监测 范围／频次／时点三类异常 计量记录 同一套记录，三个用途 计量数据的三个用途（不另行采集） 资产价值评估输入　｜　安全审计输入　｜　容量规划输入 按受众、按对象、按时段三个维度汇总 回收（五种触发：到期／用途变更／越权／违规／主体变化） 凭据立即失效　→　已导出数据按约定处置　→　处置结果回收登记 无法确认的登记为未确认项，在资产台账中保留 回收记录与原申请单关联，每半年复核未确认项与同一受众的重复授权；水印可由导出件反查至凭据编号。 图 A9-10　数据来源：招标文件第五章 3.2.6.1.1.2.9 第（3）项数据开放要求（b1327、b1328）与第（4）项数据服务要求（b1329）；三项绑定要素取本规范 8.1.1 条，回收触发取 10.1.1 条。 #### 11.4 附录内容 附录 A　开放目录登记表（规范性） | 字段 | 必填 | 填写要求 | |---|---|---| | 目录条目编号 | 是 | KF 加四位顺序号 | | 条目类型 | 是 | 数据对象／数据服务／数据集版本 | | 名称 | 是 | 引用数据资源目录或数据集台账名称 | | 内容说明 | 是 | 包含的数据范围与字段概要 | | 所属业务域 | 是 | 9 个业务域 | | 安全级别 | 是 | 引用分级标签 | | 可开放层级 | 是 | 第一层／第二层／第三层，可多选 | | 脱敏策略 | 是 | 按层级分别写明脱敏规则编号 | | 是否允许导出 | 是 | 按层级分别标注 | | 是否允许二次提供 | 是 | 按层级分别标注 | | 所含外部数据与许可范围 | 条件必填 | 含外部数据时必填 | | 质量状态声明 | 是 | 引用最近一次质检或评测结论 | | 服务标识 | 条件必填 | 条目类型为数据服务时必填 | | 数据来源说明 | 是 | 指向数据资源目录条目 | | 责任部门与联系通道 | 是 | 引用组织目录 | | 上架时间与版本 | 是 | — | | 下架时间与原因 | 条件必填 | 下架时填写，条目保留 | 附录 B　数据开放申请单模板（规范性） 字段包含：申请单号、申请主体与联系通道、申请层级、目录条目编号、申请对象与子集范围、字段范围、使用用途（具体业务动作与产出）、使用方式（在线查询／批量取数／数据集训练／场景验证）、使用期限、使用人员或系统范围、是否需要导出、是否需要二次提供及二次受众范围、涉及的最高数据级别、所含外部数据的许可确认、审批意见栏（分层级）、使用协议签署情况、授权凭据编号、已导出数据的约定处置方式。 附录 C　授权凭据字段表（规范性） | 字段 | 含义 | 必填 | 取值要求 | |---|---|---|---| | 凭据编号 | 凭据唯一标识 | 是 | PJ 加年份加四位顺序号 | | 关联申请单号 | 对应申请 | 是 | — | | 受众标识 | 受众主体 | 是 | 内部部门、关联单位或外部使用方 | | 受众类型 | 受众形态 | 是 | 人员／系统／机构 | | 开放层级 | 本次开放所属层级 | 是 | 第一层／第二层／第三层 | | 数据范围 | 授权的对象与子集 | 是 | 不接受空值或「全部」 | | 字段范围 | 授权的字段清单 | 是 | 逐字段列出 | | 时间范围 | 数据的时间区间与凭据有效期 | 是 | 两项分别填写 | | 安全级别 | 涉及的最高级别 | 是 | 引用分级标签 | | 脱敏规则编号 | 绑定的脱敏规则 | 条件必填 | L3 及以上必填 | | 水印策略 | 绑定的水印方式 | 条件必填 | L3 及以上必填 | | 允许的操作 | 查询／导出／下载／调用 | 是 | 逐项标注 | | 频次与配额上限 | 使用上限 | 条件必填 | 系统类受众必填 | | 是否允许二次提供 | 二次提供约定 | 是 | 未约定即为不允许 | | 交付方式与交付时间 | 凭据交付记录 | 是 | 含接收确认 | | 失效条件 | 到期与提前失效情形 | 是 | 引用回收触发情形 | | 状态 | 凭据状态 | 是 | 生效／已回收／已到期／已作废 | 附录 D　回收记录模板（规范性） 字段包含：回收记录编号、关联凭据编号与申请单号、受众标识、回收触发情形、回收决定部门与时间、凭据失效执行时间与确认方式、已导出数据的处置方式与处置确认、未确认项说明、受众通知时间与通知方式、是否进入违约记录、复核结论与复核时点。 附录 E　数据服务标准与服务目录（规范性附件） 本附件按技术方案数据治理段的安排，作为本规范的附件交付，内容为三部分。 第一部分，服务形态与适用场合。 | 形态 | 适用场合 | 技术要点 | 适用级别 | |---|---|---|---| | 接口服务 | 应用系统在线查询，单次返回量小 | 契约化、鉴权、限流、幂等、元信息随返 | L1 至 L4，L4 返脱敏结果 | | 文件服务 | 批量取数、数据集交付 | 批次标识、校验值、清单文件、水印 | L1 至 L5，L4 与 L5 逐事项审批 | | 视图服务 | 分析与报表直连 | 只读、行列级权限、动态脱敏 | L1 至 L3 | | 订阅服务 | 变更驱动的下游同步 | 变更事件格式、顺序保证、重放能力 | L1 至 L3 | 第二部分，服务目录的登记要素。每一项数据服务登记：服务标识与名称；提供的数据对象与字段；调用方式与契约文档编号；更新频率与延迟；质量状态声明；安全级别与脱敏策略；服务等级协议级别；责任部门与联系通道；版本与变更记录。 第三部分，服务等级协议的分级原则。按三级设定：一级服务供数据集加工与关键场景使用，可用性与时延要求最高，故障按一级响应；二级服务供常规业务查询使用；三级服务供分析探索使用，允许在资源紧张时降级。各级的具体指标值与系统非功能指标相关，在技术方案非功能性一节给出，本附件规定分级原则与登记要求。 附录 F　使用监测报表模板（规范性） 报表内容为四部分：按受众的使用量排名与趋势；按数据对象与数据集版本的被申请次数与实际使用量；异常事件清单（三类异常的发生与处置）；凭据状态统计（生效、到期、已回收数量与到期临期提醒情况）。报表按月出具，季度汇总时增加一节「授权与实际使用的偏差分析」，用于发现申请范围远大于实际使用范围的情形——这类情形说明申请环节的范围界定过宽，应在后续审批中收紧。 #### 11.5 申请、审批与出域的字段级管控 开放共享的管控落点在字段。本节把申请、审批与出域三个环节对字段的处理逐项规定，平台侧按本节生成校验与变换逻辑。 表 A9-14a　三个环节的字段级管控要求 | 环节 | 管控动作 | 作用对象 | 具体要求 | 不符合时的处置 | |---|---|---|---|---| | 申请 | 字段清单显式列举 | 申请单的字段范围 | 逐字段列出并引用数据元标识，不接受「全部字段」或表名代替 | 不予受理 | | 申请 | 字段与用途的匹配性自述 | 申请单的用途说明 | 对每一组字段说明其在用途中的作用 | 退回补充 | | 申请 | 敏感字段单独声明 | L4 及以上字段 | 申请中单列敏感字段并说明是否接受脱敏结果 | 不予受理 | | 审批 | 字段必要性逐项核减 | 申请的字段清单 | 审批人对每一字段给出保留或核减结论，核减须写理由 | 整体同意而未逐项结论的退回重审 | | 审批 | 脱敏规则按字段绑定 | 保留字段 | 逐字段指定脱敏规则编号或标注不脱敏 | 未绑定的不予授权 | | 审批 | 字段级别复核 | 保留字段 | 核对字段的分级标签与申请层级的开放上限 | 超上限字段核减或整体驳回 | | 审批 | 关联敏感组合核查 | 保留字段的组合 | 核查是否构成关联敏感组合，构成的按组合级别审批 | 未核查的退回重审 | | 出域 | 字段白名单校验 | 实际返回或导出的字段 | 仅返回凭据字段范围内的字段，白名单之外的字段不返回 | 平台拦截并记录 | | 出域 | 动态脱敏按凭据执行 | 返回值 | 按凭据绑定的规则逐字段变换 | 变换失败则整体拒绝返回 | | 出域 | 行级范围校验 | 返回记录 | 按凭据的数据范围与时间范围过滤 | 超范围请求拒绝并告警 | | 出域 | 返回量与频次校验 | 单次与累计 | 超单次上限的拒绝；超配额的拒绝并提示 | 拒绝并记录 | | 出域 | 水印嵌入 | 导出件与数据集包 | L3 及以上按级别嵌入可见与隐式水印 | 嵌入失败则不生成导出件 | | 出域 | 清单与校验值生成 | 文件与数据集交付 | 生成清单文件与摘要校验值随件交付 | 缺失则不予交付 | | 出域 | 出域记录 | 每次出域 | 记录凭据编号、字段范围、记录数、水印批次与接收确认 | 记录缺失视为日志不完整并计入统计 | 表中「审批环节逐字段核减」是本规范要求最高的一处，也是最容易被简化为整体同意的一处。设置这一要求的原因是开放共享的风险主要来自范围过宽而非来自审批缺失：申请方倾向于多要字段以备后用，审批方若只看整体用途是否正当，范围就会逐次放大。配套的度量是使用监测报表季度分析中的「授权与实际使用偏差」，偏差持续偏大说明核减环节未起作用。 表 A9-14b　典型开放场景的字段处理示例 | 场景 | 申请字段 | 审批结论 | 出域处理 | |---|---|---|---| | 内部跨部门：按机型统计一次交检合格率 | 机型、工序、检验项、判定结果、检验员、客户 | 核减检验员与客户（与用途无关） | 返回四字段，行级限本年度 | | 内部跨部门：备件需求预测 | 机型、备件编码、消耗量、矿方名称、矿井位置 | 核减矿井位置；矿方名称改为代号 | 矿方字段动态脱敏为代号 | | 关联单位：装备运行状况分析 | 设备编号、测点、时序值、工况参数、矿方标识 | 保留设备编号与测点；工况参数区间化；矿方标识代号化 | 两字段按规则变换，返回量设上限 | | 对外流通：质量域指令微调数据集 | 数据集全量样本与数据卡 | 保留；核查外部成分许可覆盖本次流通 | 数据集包加隐式水印，生成清单与校验值 | | 对外流通：工艺设计域基准子集 | 基准样本与标注 | 保留；核减含参数窗口的样本 | 按子集清单交付，水印批次与凭据对应 | #### 11.6 开放共享各项要求的验证口径 表 A9-14c　开放共享的验证口径 | 要求条款 | 要求内容 | 判定方法 | 不合格时的处置 | 复核周期 | |---|---|---|---|---| | 4.3.1 | 可开放范围两条规则 | 抽取目录条目，核对级别上限与外部成分许可 | 不符合的下架条目 | 季度 | | 5.1.1 | 目录条目来源可追溯 | 核查条目与资源目录、服务目录、资产台账的引用 | 无引用来源的条目下架 | 季度 | | 5.2.1 | 下架保留历史记录 | 核查已下架条目的留存与原因标注 | 被删除的从记录恢复并追溯操作 | 季度 | | 6.1.1 | 申请要素十项齐备且字段显式列举 | 统计受理单的要素齐备率与字段列举情况 | 以表名代替字段的不予受理 | 月 | | 7.2.1 | 审批逐字段核减 | 抽取审批单，核查字段级结论的覆盖率 | 整体同意的退回重审 | 月 | | 7.3.1 | 审批时限分层达标 | 按层级统计审批时长 | 超期在例会通报 | 月 | | 7.4.1 | 对外流通四项附加审批齐备 | 核查第三层授权的四项结论 | 缺项不予授权 | 按授权 | | 8.1.1 | 凭据三项绑定齐备 | 统计凭据的三项范围填写率 | 缺项凭据作废重签 | 月 | | 8.2.1 | 脱敏规则按受众绑定 | 抽取同一对象的多份凭据，核对脱敏规则差异 | 未按受众区分的重新核定 | 季度 | | 8.3.1 | 水印可反查凭据 | 抽取导出件，由水印反查凭据编号 | 不可反查的核查嵌入与登记链路 | 季度 | | 8.4.1 | 交付有接收确认 | 核查凭据交付记录的确认情况 | 无确认的补办确认 | 月 | | 8.5.1 | 二次提供未约定即不允许 | 核查允许二次提供凭据的约定记录 | 无约定而实际发生的按违约处理 | 季度 | | 9.1.1 | 五项监测项运行 | 核查监测记录的完整性 | 缺项的核查采集配置 | 月 | | 9.2.1 | 三类异常判定有效 | 核查异常命中与处置记录 | 长期零命中的核查规则是否失效 | 季度 | | 10.1.1 | 回收触发后及时执行 | 抽取到期、变更、违规记录，核对回收时点 | 未回收的立即执行并分析通知链路 | 月 | | 10.3.1 | 已导出数据处置有回执 | 统计回执取得率与未确认项 | 未确认项按季跟踪，三次无回执记入违约 | 季度 | | 10.4.1 | 回收记录与申请单关联 | 核查关联字段填充率 | 缺失的补齐 | 季度 | | 11.2.1 | 违约记录影响后续受理 | 抽取在案主体的新申请，核查是否被拦截 | 未拦截的核查受理校验逻辑 | 季度 | #### 11.7 异常与边界情形的处理 受众要求超出目录条目的字段。处理方式不是直接扩大授权，而是回到目录：核查该字段为何未列入可开放范围——因级别超限的，不予开放；因未评估的，补做可开放性评估后更新目录条目，再按新条目受理申请。绕过目录直接授权会使目录失去作用。 同一受众持有多张范围重叠的凭据。此情形使回收与审计复杂化。处理方式是在审批环节核查在途凭据并合并：合并后的凭据取各申请范围的并集并重新设定期限，原凭据作废。本规范 7.2.1 条把「是否存在可合并的在途授权」列为审批要素，即为此。 授权期内数据集版本更新。受众获得的是特定版本的授权。版本更新时按两种方式处理：凭据中约定「随版本更新」的，新版本自动纳入授权范围并通知受众；未约定的，新版本需重新申请。两种方式在凭据中显式标注，不以默认处理——数据集版本间的样本构成可能变化，自动纳入须是双方明确的约定。 监测发现异常但受众不配合核实。第三层受众尤其可能出现此情形。处理方式是按风险处置优先：核实请求发出后在约定时限内未获回应的，先暂停凭据再继续沟通；暂停不构成对违约的认定，在通知中说明。暂停期间受众提出异议的，按争议流程处理。 数据集已对外流通后发现合规瑕疵。按《数据合规管理制度》第十九条第三级处置，本规范的配合动作有三项：按授权记录确定全部受众；逐受众发出停止使用与处置通知；回收处置回执并在资产台账登记事件。处置期间该数据集条目在开放目录中下架，替代版本可用时再上架。 内部跨部门共享被视为审批负担。第一层的审批若被认为增加工作量，解决办法不是取消审批，而是把高频需求固化为服务：同一类跨部门取数在一个季度内发生三次以上的，转为视图服务或接口服务登记入目录，后续按凭据模板快速办理。这一安排使审批工作量随服务化程度下降而不是靠放宽管控下降。 受众主体为招标方关联单位但人员来自第三方。此情形按实际使用人所属主体判定层级：使用人不属关联单位的，按第三层处理并要求签署使用协议。按名义主体判定会使管控强度与实际风险不匹配。 计量数据用于资产价值评估时的口径争议。同一次下载被多次重试计为多次使用会高估使用量。处理方式是在计量中区分有效使用与重试：同一凭据在短时间窗口内对同一对象的重复请求合并计一次，合并规则在计量口径中写明并随报表附注说明。 #### 11.8 按业务域与开放层级的开放上限 第 4.3.1 条规定可开放范围按级别上限与外部成分许可两条规则界定。本节给出各业务域在三个开放层级上的级别上限，是开放目录登记时「可开放层级」一栏的取值依据。上限之外的对象不登记入目录，需要开放的按本规范 11.7 节第一条回到目录评估。 表 A9-14d　各业务域在三层开放对象上的级别上限 | 业务域 | 第一层（内部跨部门） | 第二层（关联单位） | 第三层（对外流通） | 典型不可开放对象 | |---|---|---|---|---| | 人力资源 | L2（人员信息去标识后） | L2 | 不开放 | 身份与薪酬信息、个人技能画像 | | 研发设计 | L3 | L3 | L3（区间化后） | 整机全套图纸与物料清单、选型校核公式与修订参数 | | 生产制造 | L3 | L3 | L3（参数区间化后） | 全工序工艺卡片集合、关键焊缝工艺规程、按炉型聚合的温度曲线 | | 仓储物流 | L3 | L2 | L2 | 关键备件的实际库存与缺件记录 | | 财务管理 | L3 | L1 | L1 | 成本构成、费用明细、未披露财务数据 | | 设备管理 | L3 | L3（矿方代号化后） | L3（代号化并区间化后） | 含矿方现场标识的原始测点数据 | | 采购管理 | L3 | L2（供方代号化后） | L2（供方代号化后） | 全量采购价格与供方份额、未公开的供方资质细节 | | 营销管理 | L3 | L3（矿方代号化后） | L3（工况区间化后） | 客户联系人信息、报价与合同关键条款、精确矿井位置 | | 质量管理 | L3 | L3（工件代号化后） | L3（代号化后） | 顾客投诉责任判定与索赔费用 | | 跨域 | L2 | L2 | L1 | 审计日志、授权记录、受众清单 | 表中三列上限的差异主要来自两类处理：代号化处理解决主体可识别性，区间化处理解决参数精确性。两类处理都不是为了降低数据价值，而是为了在不携带可识别信息与精确参数的前提下保留样本的结构与分布——这是本项目数据集既能流通又不泄露底牌的前提。 两处上限值得单独说明。财务管理域在第二层与第三层只开放 L1，即仅限已对外披露口径的数据，原因是成本与费用数据的聚合敏感度升级触发条件宽、单项开放也易被反推。跨域的审计日志与授权记录在三层均不开放原始内容，仅可提供统计口径的使用计量——使用计量是资产价值评估的输入，而日志原文涉及访问行为本身。 开放上限随分级结论变化而调整。某业务域的对象级别整体上调时，其开放上限在十个工作日内复核，已签发凭据按本规范 11.10 节的修订通知安排重新核定。 #### 11.9 与本项目业务的结合点 本规范在本项目上的落点集中在第三层，即数据集对外流通。 本项目交付的四类数据集是可流通的数据资产，数据集运营服务管理平台含数据集权限管理、数据集下载、登记注册、确权、挂牌展示与全流程审计等功能模块（b0804r04）。这些功能的管理依据就是本规范：平台实现的是授权凭据的签发与校验、脱敏与水印的执行、使用计量与审计留痕，而凭据绑定哪三项要素、脱敏按什么规则、回收在什么情形下触发，由本规范规定。两者的边界在本规范适用范围中写明，避免验收时把管理规范与平台功能混为一事。 隐式水印与回收的配合是第三层管控的关键。一份数据集被授权给多个使用方后，若出现未授权扩散，判断来源的依据是隐式水印与凭据编号的对应关系。本规范 8.3.1 条要求水印批次标识与凭据编号对应，10.3.1 条要求已下载数据的处置结果回收登记、无法确认的登记为未确认项——未确认项的存在本身是风险信息，在后续发生扩散时是判断责任范围的起点。 第一层的内部跨部门共享则有另一个落点。招标方当前的跨部门数据获取多以人工导出与传递方式进行，口径与范围不留记录。本规范把第一层也纳入授权凭据管理，目的不是增加审批环节，而是让跨部门的数据流动留下范围与用途的记录。配套安排是把常用的跨部门数据需求固化为视图服务或接口服务登记入开放目录，使使用方按目录申请而不是逐次找人导出；目录化之后，审批可按凭据模板快速办理，审批时限不会成为业务阻碍。 #### 11.10 评审与修订 本规范由数据治理办公室起草，数据资产运营归口部门、法务与合规归口部门、信息安全归口部门、九个业务域数据归口部门与我方项目组会签。附录 E 的服务形态适用级别须与《数据权限管理规范》附录 B 的分级管控矩阵对齐，两处的接口与文件服务取值在评审中逐格核对。 定期复核每半年一次，复核输入为使用监测报表的季度偏差分析、回收记录中的未确认项与违约记录。偏差分析显示申请范围显著大于实际使用范围的，复核时调整审批中对范围界定的要求。 修订通知的同步范围包含平台的授权凭据配置、脱敏与水印策略映射、开放目录字段、使用协议模板与监测报表口径。凭据字段增减时，在途凭据按原字段继续有效至到期，新签发凭据按新字段执行；涉及管控强度提高的修订，在途凭据在三个月内重新核定，核定期间维持原授权范围但不受理同受众的范围扩大申请。 ### 十二、交付节点、验收口径与技术方案口径对照 本节给出十份文档的交付节点与验收口径，并列出本附件与技术方案各段的口径对照关系，便于评标时逐项核对，也便于实施期按节点交付。 #### 12.1 交付节点 交付节点按技术方案数据治理段确定的三阶段安排。制度与标准的基础件须在数据汇聚与首批数据集加工开始前发布，否则加工过程无规范可依；运营类规范与办法在首批数据服务与对外流通启动前发布。 表 A9-15　十份文档的交付节点与前置条件 | 清单序号 | 文件名称 | 交付阶段 | 前置条件 | 单元 id | |---|---|---|---|---| | 28 | 数据合规管理制度 | 规划期第一阶段 | 现状评估的制度差距清单完成 | b1333r29 | | 29 | 数据安全管理办法 | 规划期第一阶段 | 治理组织架构已发文设立 | b1333r30 | | 30 | 数据安全分级标准 | 规划期第一阶段 | 9 个业务域的数据主题划分完成 | b1333r31 | | 31 | 数据权限管理规范 | 规划期第一阶段 | 分级标准定稿；岗位与角色对应关系确认 | b1333r32 | | 32 | 数据需求管理规范 | 规划期第一阶段 | 数据资源目录首版可检索 | b1333r33 | | 33 | 数据设计开发规范 | 规划期第一阶段 | 数据模型分层架构与数据元标准首批定稿 | b1333r34 | | 34 | 数据运维管理制度 | 规划期第二阶段 | 首批任务与接口上线，监控指标可采集 | b1333r35 | | 35 | 数据退役管理规范 | 规划期第二阶段 | 数据资产台账运行；留存期限字段已登记 | b1333r36 | | 36 | 外部数据引入管理办法 | 规划期第二阶段 | 首批外部数据引入需求明确 | b1333r37 | | 37 | 数据开放共享管理规范 | 规划期第二阶段 | 数据集运营服务管理平台授权与审计功能可用 | b1333r38 | 第一阶段六份文档中，《数据安全分级标准》与《数据权限管理规范》的发布顺序不可调换，也不宜同期分别评审——分级标准定义级别，权限规范按级别取值，分开评审会出现两边各自修改而失去对应关系的情形。本附件的安排是两份文档与《数据安全管理办法》三份一并提交评审，评审意见统一处理。 #### 12.2 验收口径 表 A9-16　十份文档的验收口径 | 文件名称 | 验收口径 | |---|---| | 数据合规管理制度 | 经招标方评审通过并发布；合规义务清单覆盖四层依据且逐条有责任部门与证据形式；与现行保密制度无冲突条款；数据源登记表与数据卡的合规字段已按本制度设为必填 | | 数据安全管理办法 | 经招标方评审通过并发布；日志要素按附表 3-1 在平台落地；审计分析规则已配置并产生告警记录；安全事件分级与响应时限已落入值班安排 | | 数据安全分级标准 | 经招标方评审通过并发布；纳管数据元的分级标签登记完整；L4 与 L5 定级有审批记录；附录 A 实例清单经九个业务域逐行确认；标记落地四处的一致性校验可运行 | | 数据权限管理规范 | 经招标方评审通过并发布；分级管控矩阵已转为平台策略且逐格对应；季度复核有记录；权限台账、审批单与访问日志三者可关联 | | 数据需求管理规范 | 经招标方评审通过并发布；需求池运行并有完整流程记录；月度运行指标可出具；采集扩展与接口协调两张清单在按月推进 | | 数据设计开发规范 | 经招标方评审通过并发布；新上线任务按五个检查点评审且例外有记录；血缘登记达字段级；接口契约与实现一致 | | 数据运维管理制度 | 经招标方评审通过并发布；告警配置覆盖已上线任务与接口；一级故障有复盘报告；故障关闭的两个条件在故障单中逐项留痕 | | 数据退役管理规范 | 经招标方评审通过并发布；首批到期闲置资产完成一轮评估；归档台账含格式解析说明；销毁有副本清单与销毁证明 | | 外部数据引入管理办法 | 经招标方评审通过并发布；已引入外部数据的台账与授权凭证齐备；待澄清项有推进记录；禁用标记在加工任务中可校验 | | 数据开放共享管理规范 | 经招标方评审通过并发布；授权凭据均带三项范围限定；回收有记录；使用监测报表按月出具 | 验收口径中「经招标方评审通过并发布」是共同要求，其余各项为该文档特有的可核查项。可核查项的设计取向是看记录而不是看文档本身——文档写得完整但无执行记录，说明制度未生效，这一点在数据管理能力成熟度评估中同样是判定依据。 #### 12.3 与技术方案各段的口径对照 表 A9-17　本附件与技术方案各段的口径对照 | 本附件内容 | 技术方案对应段落 | 对照关系 | |---|---|---| | L1 至 L5 分级定义与实例 | 数据治理（二）数据安全规划 | 同一套口径。本附件给出判定规则、字段定义与实例清单，技术方案给出分级工作的方法论述 | | 分级管控矩阵 | 数据治理（二）数据安全规划 | 同一套取值。两处如有差异以本附件附录 B 为准并同步更正 | | 日志要素 | 数据治理（二）数据安全规划；技术方案安全方案 | 本附件给出字段级定义与必填性，安全方案给出技术实现 | | 脱敏与水印 | 技术方案安全方案 | 本附件规定管理要求与分级对应，技术实现与强度在安全方案论述 | | 国密算法、等级保护测评、密码应用评估 | 技术方案安全方案 | 不在本附件规定，本附件仅在条款中引用其结论作为修订触发条件 | | 需求单与评审四角度 | 数据治理（二）数据生存周期规划 | 本附件给出字段表与状态定义，技术方案给出流程设计理由 | | 采集、加工、接口规范 | 数据治理（二）数据生存周期规划；技术方案数据加工主线 | 本附件给出命名规则、配置要素与检查表，加工主线给出环节划分与门控设置 | | 告警规则与故障闭环 | 数据治理（二）数据生存周期规划；技术方案非功能性 | 本附件给出判定规则与时限，非功能性给出系统指标 | | 退役评估与归档销毁 | 数据治理（二）数据生存周期规划；数据治理（一）数据资产 | 本附件给出记分表与表单，资产段给出台账与价值评估办法 | | 外部数据台账与许可核查 | 数据治理（二）数据应用流通规划 | 本附件给出字段写入时点与核查要素表 | | 授权凭据与回收 | 数据治理（二）数据应用流通规划；技术方案数据集运营平台 | 本附件规定管理流程，运营平台一节论述功能模块与业务形态 | | 数据服务标准与服务目录 | 数据治理（二）数据应用流通规划；技术方案非功能性 | 本附件以附录 E 形式交付，分级指标值在非功能性一节 | | 文档编号与五段式编码 | 附录佐证卷标准规范与模板一节 | 沿用同一编号规则，本附件不另行定义 | | 版本五件套与数据卡 | 附录佐证卷标准规范与模板一节 | 本附件多处引用数据卡的安全与合规分区，字段定义以该节为准 | | 治理文档总清单 37 份 | 数据治理（二）数据治理规划成果交付 | 本附件覆盖第 28 至 37 项，其余由附录佐证卷其他附件分别出具 | ### 十三、本附件与其他附件的边界、评委索引 #### 13.1 与治理文档其他附件的分工 治理文档清单共 37 份（b1332、b1333r02 至 b1333r38），分散在附录佐证卷的若干附件中出具样章，本附件覆盖第 28 至 37 项。为便于核对不重不漏，分工关系如下：第 1 至 4 项数据战略类、第 5 至 8 项数据治理类、第 9 至 11 项数据架构类、第 12 至 16 项数据资产与元数据类、第 17 至 22 项数据标准类、第 23 至 27 项数据质量类分别由其他附件出具，第 28 至 37 项安全与生存周期、应用流通类由本附件出具。 本附件与其他附件存在三处引用关系，引用而不重复规定：其一，本附件各份文档的编号规则、装订与归档口径引用附录佐证卷标准规范与模板一节的五段式编号；其二，本附件多处引用数据卡的安全与合规分区（分级结论、流通范围声明、所含外部数据来源与许可范围、脱敏信息损失说明、数据空洞区间），字段定义以该节为准，本附件不另立字段；其三，本附件引用的质量规则编号与质量类附件的《数据质量校验规则库》统一编号体系，本附件只给出与采集加工环节直接相关的部分。 #### 13.2 评委索引表 表 A9-19　招标文件要求与本附件章节的对应索引 | 招标文件要求 | 单元 id | 对应文档 | 本附件章节 | 关键条款位置 | 验证口径位置 | |---|---|---|---|---|---| | 数据合规管理：分类分级治理，识别重要数据与敏感数据，按 L1 至 L5 制定分级标准 | b1301、b1302、b1303 | 数据合规管理制度、数据安全分级标准 | 第二节、第四节 | 2.3 第七条至第九条；4.3 第 5、6 章 | 2.6、4.6 | | 数据安全防护：权限管控、脱敏、水印、访问审批 | b1304、b1305 | 数据安全管理办法、数据权限管理规范 | 第三节、第五节 | 3.3 第六条至第九条；5.3 第 4、6、7 章 | 3.5、5.6 | | 数据安全审计：全链路操作日志，操作留痕可追溯 | b1306、b1307 | 数据安全管理办法 | 第三节 | 3.3 第十一条至第十五条 | 3.5 | | 输出数据合规管理制度、数据安全管理办法、数据安全分级标准、数据权限管理规范 | b1308、b1309 | 四份 | 第二至五节 | 各节 X.3 | 十二节 12.2 | | 数据需求：提交、评审、排期、反馈闭环，完整留存流程记录 | b1311、b1312 | 数据需求管理规范 | 第六节 | 6.3 第 5 至 10 章 | 6.5 | | 数据设计与开发：采集、加工、数据模型、接口开发要求 | b1313、b1314 | 数据设计开发规范 | 第七节 | 7.3 第 5 至 8 章 | 7.6 | | 数据运维：责任、告警机制、故障闭环处置流程 | b1315、b1316、b1317 | 数据运维管理制度 | 第八节 | 8.3 第 4 至 9 章 | 8.6 | | 数据退役：归档、销毁、审批处置流程，到期闲置资产评估 | b1318、b1319 | 数据退役管理规范 | 第九节 | 9.3 第 4 至 10 章 | 9.6 | | 输出数据需求管理规范、数据设计开发规范、数据运维管理制度、数据退役管理规范 | b1320、b1321 | 四份 | 第六至九节 | 各节 X.3 | 十二节 12.2 | | 外部数据管理：采购、接入、核验、评估流程，存储加工共享的使用边界与约束 | b1325、b1326 | 外部数据引入管理办法 | 第十节 | 10.3 第 5 至 9 章 | 10.6 | | 数据开放：申请、审批、授权、回收流程 | b1327、b1328 | 数据开放共享管理规范 | 第十一节 | 11.3 第 6 至 10 章 | 11.6 | | 数据服务：构建数据服务标准 | b1329 | 数据开放共享管理规范附录 E | 第十一节 11.4 | 附录 E 三部分 | 11.6 | | 输出外部数据引入管理办法、数据开放共享管理规范 | b1330 | 两份 | 第十、十一节 | 各节 X.3 | 十二节 12.2 | | 治理文档不少于 25 份，清单列明 37 份 | b1332、b1333r29 至 b1333r38 | 第 28 至 37 项 | 全附件 | 表 A9-1 | 表 A9-15、A9-16 | | 核查不可用于商业用途的建设内容，承诺数据集来源合法性 | b1869 | 数据合规管理制度、外部数据引入管理办法 | 第二、十节 | 2.3 第十条至第十一条；10.3 第 6 章 | 2.6、2.8、10.6 | | 对个人信息、敏感地理信息、重要行业数据、企业秘密数据去标识化或脱敏 | b1870 | 数据合规管理制度、数据安全分级标准 | 第二、四节 | 2.3 第八条、第十二条、第十三条；4.3 6.4 条 | 2.6、2.8 | | 平台具备全流程审计和日志记录、严格的权限校验与访问名单控制 | b1871 | 数据安全管理办法、数据权限管理规范 | 第三、五节 | 3.3 第十一条至第十五条；5.3 第 8 章 | 3.5、5.6 | | 评测依据的四层文件不冲突 | b1894 至 b1908 | 数据合规管理制度 | 第二节 | 2.3 第二条；2.5 清单 | 2.6 | | 等级保护 2.0 测评与商用密码应用安全性评估 | b1880 | 数据安全管理办法（引用） | 第三节 | 3.3 第二十四条 | 3.5 | 索引表的用法是从招标文件的某一条要求出发，定位到对应文档、条款与验证口径三处。三处齐备才构成对该要求的完整应答：条款说明做什么，验证口径说明怎么证明做到了。 ### 十四、本稿待补材料清单 本附件的结构与条款已按正式口径写出，下列材料须由招标方提供或在实施启动阶段共同确认后填入。清单中的编号对应正文中的【待填】标记。 表 A9-18　待补材料清单 | 序号 | 待补内容 | 出现位置 | 需提供方 | 用途 | |---|---|---|---|---| | 1 | 招标方现行保密与信息安全制度的名称与文号 | 表 A9-3、表 A9-5、表 A9-12 编制依据 | 招标方保密与信息安全归口部门 | 作为编制依据层级的第三层，并用于差距分析 | | 2 | 招标方现行信息系统运维管理规定的名称与文号 | 表 A9-10 编制依据 | 招标方信息运维归口部门 | 衔接本项目运维制度与招标方既有规定 | | 3 | 招标方采购管理制度的名称与文号 | 表 A9-13 编制依据 | 招标方采购归口部门 | 外部数据采购流程的衔接 | | 4 | 法务与合规、信息安全、采购与供应链、数据资产运营、档案五类归口部门的正式名称 | 十份文档的归口部门栏 | 招标方 | 确定各文档的归口与审批主体 | | 5 | 九个业务域数据归口部门的正式名称与对口岗位 | 附表 2-2、附录 A 角色目录、附录 A 运维责任矩阵 | 招标方 | 责任矩阵与会签范围逐行落实 | | 6 | 招标方岗位编码体系 | 附录 C 受控区名单、附录 E 权限台账 | 招标方人力资源归口部门 | 名单与台账的岗位标识取值 | | 7 | 招标方现行密级设置与核心商密认定程序 | 附录 D 与现行密级的对应关系 | 招标方保密归口部门 | 本标准五级与现行密级的对应确认 | | 8 | 重要数据报备的主管部门意见与报备口径 | 第七条、附表 2-2 报备情况栏 | 招标方 | 重要数据目录与报备程序的落实 | | 9 | 各源系统的日志能力现状说明 | 第十一条、3.5 节 | 招标方各源系统归口部门与运维方 | 确定审计日志的可采集范围与缺口清单 | | 10 | 归档存储位置、介质与档案管理衔接要求 | 附录 C 归档台账 | 招标方档案归口部门 | 归档台账的存储位置与介质字段 | | 11 | 日志、销毁证明与流程记录的留存期限要求 | 第十五条、8.4.1 条、10.2.1 条 | 招标方法务与档案归口部门 | 确定不低于法规要求的具体期限 | | 12 | 退役评估的加权下限取值 | 附录 A 退役评估记分表 | 招标方 | 建议以首批待评估清单试算后确认 | | 13 | 受控区的物理位置、终端数量与准入条件 | 第十条、附录 C | 招标方 | L4 与 L5 级数据加工的环境落实 | | 14 | 首批外部数据的供方与合同条款 | 附录 A 外部数据台账样例行 | 招标方采购归口部门 | 台账的来源与许可字段填写 | | 15 | 关联单位范围与对外使用方的资格条件 | 4.1.1 条三层开放对象 | 招标方 | 第二层与第三层开放的主体界定 | | 16 | 数据服务等级协议的具体指标值 | 附录 E 第三部分 | 与技术方案非功能性一节统一 | 服务目录的 SLA 字段取值 | 清单中第 4、5、6 三项是量最大也最影响执行的一类。十份文档的条款中凡出现责任主体的地方，最终都要落到招标方的正式部门名称与岗位编码上；这一项在实施启动阶段的组织架构发文完成后一次性补齐，补齐后对十份文档统一出 V1.1 版本，不逐份单独修订。