4. 实验数据分类分级与合规映射

实验数据合规审计的第一道工程动作，不是去写审计规则，而是先把“数据是什么、有多敏感、从哪来、给谁用”说清楚。分类分级做不实，后续的追溯粒度、留存期限、访问控制、脱敏要求都会失去依据：要么把普通标定数据当成核心机密，审计成本高到无法落地；要么把含受试者身份信息的原始记录当成一般数据，追溯链断裂时无法自证合规。本节围绕三个分类维度（敏感度、来源、用途）建立分级模型，并把它映射为可执行的审计与追溯策略。

一、三个分类维度与分级定义

分类回答“它属于哪一类”，分级回答“它有多重要”。工程上建议采用“来源定归属、用途定流向、敏感度定强度”的组合方式，三个维度交叉后得到数据等级，而不是只看单一维度。

• 敏感度维度（S）：S0 公开数据（已发表图表、公开标准品参数）；S1 内部数据（仪器原始谱图、方法文件）；S2 受控数据（未发表的核心工艺参数、配方比例）；S3 高敏数据（受试者身份信息、临床样本关联信息、可识别个人的基因数据）。
• 来源维度（O）：O1 仪器自动采集（色谱、质谱、天平、温湿度记录仪）；O2 人工录入（称量记录、观察记录、偏差描述）；O3 外部引入（委托检测报告、第三方标准品证书、合作方数据）；O4 系统生成（审计追踪日志、电子签名记录、系统时间戳）。
• 用途维度（U）：U1 申报注册用（需长期留存、可追溯至原始记录）；U2 内部研发用（留存期可较短）；U3 质量放行用（需与批记录绑定）；U4 教学或方法开发用（可脱敏后使用）。

分级规则可写成：等级 = max(敏感度等级, 来源风险修正, 用途留存修正)。例如某受试者血样检测的原始谱图，敏感度 S3、来源 O1、用途 U1，最终定为 L3 级；而同一台仪器当天做的标准品系统适用性谱图，敏感度 S1、来源 O1、用途 U3，定为 L1 级。这样同一台仪器、同一天产生的数据可以有不同的审计强度，避免“一刀切”。

二、从分级到审计与追溯策略的映射

分级结果必须落到四类可配置参数上：追溯粒度、留存期限、访问与操作权限、审计追踪强度。下面给出一个可直接参考的映射表（参数为示例值，需按实验室实际质量体系和法规要求调整）。

映射的关键在于“追溯粒度”与“审计追踪强度”必须匹配。L3 数据如果只做到样品级追溯，当监管问“这次进样的原始文件是谁在什么时间修改过”时，就无法回答；反之，L1 数据如果开启全字段审计追踪，日志量会迅速膨胀，反而淹没真正需要关注的高风险事件。

三、落地时的三个关键判断

第一，来源维度决定“能不能自动追溯”。O1 仪器自动采集的数据，只要仪器时间同步、审计追踪开启，就能自动形成完整链路；O2 人工录入的数据，追溯依赖双人复核和录入时间戳，必须额外配置“录入人+复核人”字段；O3 外部引入的数据，追溯链在外部单位处断开，需要在接收时记录来源单位、接收人、接收时间、文件哈希值，形成外部数据接收记录。O4 系统生成的数据本身就是追溯证据，但要防止日志被覆盖，应设置独立存储或只读归档。

第二，用途维度决定“留多久、给谁看”。U1 申报注册数据必须按法规要求长期留存，且任何修改都要留痕；U2 内部研发数据可以在项目结题后按内部规定缩短留存期；U3 质量放行数据必须与批记录绑定，不能单独删除；U4 教学数据在脱敏后可以放宽访问限制，但脱敏过程本身要留记录，证明“脱敏后无法再识别到个人”。

第三，敏感度维度决定“要不要脱敏、要不要审批”。S3 数据在进入分析环境前应完成去标识化，直接标识符（姓名、身份证号、样本编号与身份对应表）与实验数据分开存储，对应表单独加密并限制访问。审计时不仅要看“谁访问了数据”，还要看“谁访问了对应表”。

四、一个可执行的分类分级记录示例

下面给出一条数据资产的分级记录样例，字段可直接用于实验室数据台账。示例中的参数为教学假设值，实际使用时按本机构质量体系填写。

数据资产编号：DA-2024-0173
数据名称：受试者血浆样本 LC-MS 原始谱图
来源类型：O1 仪器自动采集（Triple Quad 6500）
用途类型：U1 申报注册
敏感度：S3（样本编号可关联受试者身份）
分级结果：L4
追溯粒度：单次进样级 + 访问者级
留存期限：产品生命周期 + 5 年
审计追踪：全字段审计追踪 + 电子签名 + 访问审批
脱敏要求：进入分析环境前去除直接标识符，对应表单独加密
复核人：质量保证部 QA-03
复核日期：2024-06-12

这条记录的价值在于：任何人拿到它，都能立刻判断该数据需要多强的追溯、留多久、谁能看、修改时留什么痕。分类分级做到这一步，合规映射才算真正完成，后续的审计规则配置、追溯系统字段设计、权限矩阵才有稳定的输入。