4、数字档案管理要点：电子文件归档、格式规范、元数据、数字签名、长期保存策略
数字档案管理与传统纸质档案管理的本质差异，在于其管理对象从“物理实体”转变为“逻辑比特流”。电子文件不再受限于物理载体的寿命，却面临着格式过时、存储介质退化、元数据缺失、法律效力存疑等新型风险。本章围绕电子文件归档、格式规范、元数据管理、数字签名及长期保存策略五个核心要点展开，帮助档案管理人员建立一套可执行、可审计、可迁移的数字档案管理框架。
上图展示了数字档案管理五大核心要点的协同关系。电子文件归档是入口环节，决定了档案的完整性与初始质量；格式规范与元数据管理是贯穿全程的基础支撑；数字签名保障了档案的法律效力与真实性；长期保存策略则是所有前期工作的最终指向。五个要点环环相扣，任何一环缺失都会导致数字档案管理链条断裂。
4.1 电子文件归档：从“文件”到“档案”的质变
4.1.1 核心原理：归档不是复制，而是“捕获+固化”
电子文件归档的本质，是将业务系统中处于“活态”的电子文件，按照档案管理要求进行捕获、登记、分类、组卷，并固化其内容、背景与结构信息的过程。与纸质文件归档不同，电子文件归档必须同时捕获文件内容、元数据、格式信息、关联关系等四层信息。归档动作一旦完成，原文件即进入“冻结”状态，任何修改都应被禁止或严格审计。
4.1.2 归档范围与判定方法
归档范围应依据《机关文件材料归档范围和文书档案保管期限规定》（国家档案局令第8号）并结合本单位实际制定。判定一份电子文件是否需要归档，可参考以下流程清单：
- 业务价值判定：该文件是否反映了本单位主要职能活动？是否具有查考利用价值？
- 法律效力判定：该文件是否涉及权利义务关系、合同协议、审计凭证等法律要件？
- 时间维度判定：该文件是否属于定期（如30年）或永久保存范围？
- 技术可读性判定：当前系统能否导出符合归档格式要求的文件？若不能，需先行格式转换。
4.1.3 归档操作流程与实战场景
以某市行政审批局的电子证照归档为例，该局每日产生约2000份电子证照，原系统仅保存PDF文件，无元数据关联。归档改造后，操作流程如下：
业务系统触发归档 → 自动提取证照编号、申请人、有效期、签发人等15项元数据
→ 调用格式转换服务（DOCX→PDF/A） → 计算SHA-256哈希值
→ 封装为ZIP包（含PDF/A文件+元数据XML+哈希值文件）
→ 推送至档案管理系统 → 档案系统校验哈希值 → 登记入库 → 生成归档标识改造后，归档完整率从62%提升至99.3%，检索效率提升5倍。关键经验是：归档动作必须嵌入业务流程，而非事后补录。
4.2 格式规范：选择“能活100年”的文件格式
4.2.1 核心原理：格式即“语言”，语言不通则档案失读
电子文件格式决定了档案能否被未来系统读取。选择归档格式的核心原则是：开放标准优先、无损压缩优先、广泛支持优先。私有格式（如特定版本的WPS、旧版Office）存在厂商锁定和版本兼容风险，不应作为长期保存格式。
4.2.2 推荐归档格式对照表
| 文件类型 | 推荐归档格式 | 备选格式 | 不推荐格式 |
|---|---|---|---|
| 文本文件 | PDF/A-1b 或 PDF/A-2b | XML、TXT(UTF-8) | DOCX（需转换）、WPS |
| 表格数据 | PDF/A + CSV(UTF-8) | XLSX（需同时保存公式与值） | XLS（二进制旧版） |
| 图像文件 | TIFF (未压缩或LZW) | JPEG 2000 (无损模式) | JPEG（有损压缩） |
| 音频文件 | WAV (PCM编码) | FLAC | MP3（有损） |
| 视频文件 | MPEG-4 (H.264, 无损封装) | Motion JPEG 2000 | RMVB、FLV |
| 网页/邮件 | PDF/A 或 MHTML | XML + 附件分离 | HTML（依赖外部资源） |
4.2.3 格式转换的“双轨验证”策略
格式转换是高风险操作，必须执行“转换前哈希比对 + 转换后渲染验证”双轨检查。具体步骤：
- 转换前计算原文件SHA-256哈希值，记录文件大小、页数、创建时间等特征值。
- 执行格式转换（如DOCX→PDF/A），转换工具推荐使用Adobe Acrobat Pro或开源工具LibreOffice（需配置PDF/A导出选项）。
- 转换后重新计算哈希值，并打开PDF/A文件逐页检查文字、图片、表格、页眉页脚是否完整。
- 使用专业验证工具（如veraPDF）检查PDF/A合规性。
4.3 元数据：档案的“DNA”与“索引卡”
4.3.1 核心原理：没有元数据的数字档案等于“孤儿”
元数据是关于数据的数据，它记录了档案的来源、背景、结构、管理过程和使用信息。在数字环境中，元数据是档案真实性、完整性、可用性的重要保障。国际标准ISO 23081定义了元数据管理的框架，我国《文书类电子文件元数据方案》（DA/T 46-2009）规定了15项核心元数据。
4.3.2 核心元数据清单（DA/T 46-2009）
| 类别 | 元数据项 | 说明 |
|---|---|---|
| 描述类 | 题名 | 文件标题 |
| 文号 | 发文字号 | |
| 日期 | 文件形成日期 | |
| 责任者 | 发文单位或个人 | |
| 结构类 | 格式信息 | 文件格式、版本 |
| 数据量 | 文件大小 | |
| 关联关系 | 与其它文件的关联 | |
| 封装信息 | 封装包结构 | |
| 管理类 | 归档标识 | 归档号 |
| 保管期限 | 定期/永久 | |
| 处置动作 | 销毁/移交/续存 | |
| 权限管理 | 访问控制信息 | |
| 保存类 | 哈希值 | 完整性校验值 |
| 数字签名 | 签名值及证书信息 | |
| 保存历史 | 迁移、复制记录 |
4.3.3 元数据捕获的自动化实现
手工录入元数据效率低且易出错。推荐采用“自动捕获+人工补录”混合模式：
自动捕获来源：
- 业务系统API：直接读取系统字段（如审批编号、申请人）
- 文件属性解析：从DOCX/PDF中提取作者、创建时间、标题
- OCR识别：从扫描件中提取关键字段（需配置模板）
- 规则引擎：根据文件命名规则自动生成分类号
人工补录场景：
- 自动捕获置信度低于90%的字段
- 涉及跨部门协作的关联关系
- 特殊保管期限的判定4.4 数字签名：为电子档案“上锁”与“盖章”
4.4.1 核心原理：哈希值+非对称加密+时间戳
数字签名通过哈希算法（如SHA-256）生成文件指纹，再用签名者的私钥加密该指纹，形成签名值。验证时，用公钥解密签名值，比对哈希值是否一致。数字签名能确保：①文件未被篡改（完整性）；②签名者身份可确认（真实性）；③签名行为不可抵赖（不可否认性）。
4.4.2 数字签名实施要点
- 证书来源：应使用国家认可的CA机构（如CFCA、BJCA）签发的数字证书，避免自签名证书。
- 时间戳服务：必须接入可信时间戳服务（TSA），确保签名时间可验证。
- 签名格式：推荐使用PDF数字签名（符合PDF/A标准），或XML签名（用于元数据封装包）。
- 长期验证：数字证书有有效期（通常1-5年），需在证书过期前进行“再签名”或“时间戳更新”，否则未来无法验证。
4.4.3 数字签名验证失败排查流程
验证失败 → 检查证书是否过期 → 是：需联系原CA机构进行证书更新
→ 否：检查签名值是否被修改 → 是：文件已被篡改，需从备份恢复
→ 否：检查时间戳是否有效 → 否：需重新获取时间戳
→ 是：检查验证工具版本 → 更新验证工具后重试4.5 长期保存策略：让档案“活”过技术更迭
4.5.1 核心原理：长期保存的四大策略
| 策略 | 原理 | 适用场景 | 风险 |
|---|---|---|---|
| 格式迁移 | 定期将文件转换为新格式 | 格式即将过时 | 转换可能丢失信息 |
| 仿真 | 用软件模拟旧环境 | 依赖特定硬件/软件 | 仿真成本高、维护难 |
| 封装 | 将文件+元数据+验证信息打包 | 通用场景 | 封装格式本身需维护 |
| 技术保存 | 保留原始软硬件环境 | 极重要且无法转换 | 硬件老化、成本极高 |
4.5.2 OAIS参考模型与归档信息包
ISO 14721（OAIS模型）是长期保存的国际标准框架。其核心概念是三种信息包：
- SIP（提交信息包）：从业务系统接收的原始文件+元数据。
- AIP（归档信息包）：经过封装、验证后存入档案库的信息包，包含内容数据、保存描述信息、封装信息。
- DIP（分发信息包）：向利用者提供的查询、下载信息包。
4.5.3 存储介质与刷新策略
长期保存必须采用“在线+近线+离线”三级存储架构，并定期刷新介质：
在线存储（磁盘阵列）：保存最近3年高频利用档案，RAID 6冗余
近线存储（光盘库/磁带库）：保存3-10年档案，蓝光光盘建议每5年校验
离线存储（磁带/光盘异地）：保存永久档案，磁带每10年迁移一次
校验频率：在线存储每月抽检5%，近线每季度抽检10%，离线每年全量校验4.5.4 长期保存的“健康检查”机制
- 年度格式审计：检查所有归档格式是否仍在支持列表中，对即将过时的格式制定迁移计划。
- 季度完整性抽检：随机抽取档案计算哈希值，与归档时记录比对。
- 月度存储监控：监控存储设备健康状态（SMART数据、坏道扫描）。
- 实时访问测试：每月随机打开10份档案，验证可读性。