制药企业档案室的全生命周期工程与数据治理

摘要

制药档案室保存证明产品质量、设施适用性和质量决策过程的证据。对 FDA、MHRA、NMPA 检查公开材料和行业审计清单的分析显示：数据完整性审计关注记录的产生过程——同步记录、权限、审计追踪与备份恢复；原始记录的物理保存，包括库房环境、水湿、霉虫与介质老化，要由工厂自己负责，没有外部体系替它兜底。保存要求在指南中并不缺位——GLP 与 GCP 的检查指南明确要求核查档案设施的物理条件；缺的是 GMP 生产质量一侧把它转译为日常工程项的现成做法。本文面向中国境内制药企业内部档案室，依据中国药品生产和档案管理要求、欧美 GMP 数据治理要求、建筑消防规范和人工智能研究进行定向证据综合，先刻画这个三体系接口盲区及其成因，再提出以“记录对象—风险场景—控制措施—验收证据—责任人”为最小控制单元的实施框架。框架将保存期限和原始记录属性转化为容量、承载、环境、权限、恢复和供应商退出六类工程需求，并以阶段门衔接工程建设与质量体系。既有档案室按分期改造实施：先控制人身安全、结构、火灾、水损和证据丢失风险，再按实测结果配置环境与数字化能力。人工智能接入限定于以受控原始记录为依据、按用户权限检索、逐项引用并允许拒答的辅助用途。文中给出设备比较、需求追踪、搬迁核对、成本测算和运行评价五类模板。本文未使用企业原始项目数据；算例用于说明方法，不构成成本优势、监管接受度或人工智能性能的实证证明。

Abstract

Pharmaceutical archives preserve evidence supporting product quality, facility suitability and quality decisions. An analysis of publicly available inspection findings from the FDA, MHRA and NMPA, together with industry audit checklists, shows that data integrity audits concentrate on how records are produced: contemporaneous recording, access control, audit trails and backup restoration. The physical preservation of original records — storage environment, water exposure, mould, pests and media ageing — is the manufacturer’s own responsibility, with no external system acting as a safety net. Preservation requirements exist in guidance — GLP and GCP inspection frameworks explicitly require archive facilities to be checked for physical protection; what is missing on the GMP manufacturing side is an established way of translating them into routine engineering work. Targeting in-company archives of pharmaceutical manufacturers in China, this article synthesises selected Chinese pharmaceutical and archival requirements, European and US GMP data governance expectations, building and fire safety provisions and recent artificial intelligence research. It first characterises this three-way assurance blind spot and its causes, then proposes an implementation framework built on a minimal control unit linking each record object to failure scenarios, controls, acceptance evidence and accountable owners. Retention obligations and original-record properties are converted into six classes of engineering requirements: capacity, structural assessment, environmental control, access management, recovery and supplier exit. Stage gates connect engineering delivery with the pharmaceutical quality system. Existing archives are retrofitted in phases, first controlling risks to life safety, structure, fire, water damage and loss of evidence, then adding environmental and digital capabilities based on measurements. Artificial intelligence integration is limited to assisted uses grounded in controlled original records, with permission-aware retrieval, source-level attribution and explicit abstention. The article provides five reusable templates covering equipment comparison, requirements traceability, relocation reconciliation, cost estimation and operational evaluation. No proprietary project dataset was used; worked examples illustrate the method and do not establish empirical savings, regulatory acceptance or AI performance. 关键词： 制药档案室；GMP；数据完整性（DI）；ALCOA+；建筑安装工程；消防；既有档案室改造；项目管理；电子档案；检索增强生成（RAG）。

1 档案室的保存没有外部兜底：一个三体系接口盲区

一份批生产记录可以没有损坏，却已经失去证明力。附件不全、扫描件与原件不符、修改历史缺失、记录依赖的软件已停用，都属于这种情形。一间档案室也可以温湿度正常，却处在不可接受的风险里：楼板承载未复核，上方管道持续渗漏，搬迁期间档案去向不明。档案室验收的对象不只是房子和设备，而是十年之后某份记录能否取得、能否解释。^1–9 经历过 GMP 检查的人，对数据完整性审计的常规路径并不陌生：账号是否共用，审计追踪是否开启并有人审核，备份是否做过恢复测试，记录是否当场填写。一份对 FDA 2025 年警告信的逐封行业分析显示，470 封中 469 封含有文档或记录管理类引用，具体类别是程序缺失、调查失败、验证失败和数据篡改删除——在该分析的编码口径下，未见单列的库房物理保存类别；这不能直接推断 FDA 所有检查均不关注物理保存，只能与下列证据相互印证。⁴⁶ 中国的检查口径同构。对原 CFDA 时期（2016—2017 年）飞行检查通报的学术统计显示，45 家被通报企业 43 家存在数据可靠性缺陷，前两位是记录不真实（41.3%）和操纵数据（18.7%），再往后是记录缺失与计算机系统管理——在该样本中，缺陷同样集中在流程侧。⁴⁷ 行业自审清单沿用同一结构。一份 2025 年的 DI 审计指南，执行层条目是访问控制测试、审计追踪测试、数据一致性测试、备份恢复测试，库房环境、水湿、霉虫不在其中。⁴⁸ 这些材料对工厂的含义是直接的：库房的物理保存状况，不会有人替工厂盯着。记录的产生过程有审计管，库房的安全保存要工厂自己管。 需要先限定“保存”的含义。DI 审计也谈归档：备份是否做过恢复测试、归档数据能否取回，都在清单上。但那是电子数据的可恢复性。原始记录放在什么样的房间里、会不会漏水、有没有霉虫、楼板承不承得住，不在其中。本文所说的保存，指后者——原始记录的物理保存与库房环境。 保存要求其实并不缺位。MHRA 的数据完整性指南要求归档记录防止火灾或虫害等意外损坏，并在全部保存期内可恢复、可读取。⁹ PIC/S 的检查指南要求档案访问限权、存取登记、异地归档和恢复程序定期测试，并要求纸质质量记录归档于防止损坏或丢失的安全场所。⁸ WHO 的指南要求设独立归档员、建索引、做定期检索测试。¹⁷ GMP 文本家族本身也有这类条款：协调化的 GMP 要求综述写明，关键记录的存储场所须防止丢失、损毁与篡改，并防止火灾、水浸等损害；工程指南同样建议生产文件要有防火储存。⁶⁸ 缺的不是规定，是把既有保存要求稳定转译为工厂日常工程项和自查项的现成做法：条款散落在 DI 指南和 GMP 文件章的边角，写的是“应防止火灾、水浸”这样的结果要求，没有落成温湿度限值、承载复核、恢复演练这类可以验收的工程条目。产生过程有成套的检查方法，保存过程要工厂自己把要求变成工程。流程有审计，保存靠工厂自己立规矩。 保存并非没有归口。问题是归口分在三个体系，各管一段。质量审计问“能不能证明”：记录是否同步、可归属、未篡改、可重建，它假定记录存在且可读。保险工程问“会不会着火、能不能扑灭”：以 FM Global 的库房防损数据表为例，全部设计变量是商品危险等级、堆垛形式和喷淋水力计算，火灾是它的设计核心。⁵² 保险对记录的专门要求止于业务连续性：其制药业专属数据表要求重要记录复制并异地存放，不评价库房的保存条件。⁶⁴ 档案与记录管理这一侧问“十年后还读不读得到”：温湿度、霉虫、酸化、介质寿命、检索演练，《档案馆建筑设计规范》、ISO 11799、档案馆空调设计标准与 ISO 15489 的记录管理框架都属于这一侧。^12,18,2365 中国 2020 年修订的《档案法》新增了监督检查一章：档案主管部门可以检查企业的档案库房、设施、设备，发现档案安全隐患可责令限期整改。⁶⁶ 但常态化监督以档案馆和机关、国有企业事业单位为主，且不评价记录的 GMP 证据价值。⁶⁷ 三个体系各有执法、费率或标准背书，档案一侧甚至已有法律上的检查通道；但交集处——制药企业内部档案室的保存——没有一个体系替工厂承担责任。这就是盲区：不是没人研究保存，而是研究保存的不面向制药，面向制药的关注点各在别处。工厂如果自己不把这间房管好，损失和后果没有谁替它承担。 GxP 家族内部有一个现成的对照组。GLP 合规检查的检查清单要求检查员核查档案设施：是否指定了档案责任人，检索与出入登记程序是否建立，记录和材料是否在要求期限内保存并被保护免受火灾和不利环境条件的损害。⁵⁷ GCP 一侧，EMA 的临床试验主文件指南要求存储条件能维持文件在整个保存期内完整可读，MHRA 的检查问答同样如此。^58,59 同一套质量体系里，GLP 和 GCP 档案有物理保存的检查通道，GMP 生产质量档案没有。两类记录的证据地位不同：GLP 研究报告本身就是注册证据，GMP 生产记录多数不会被外部调阅，检查强度差异有其设计理由。但它至少证明，把物理保存写成可核查的清单是可行的。GMP 一侧没有成文清单，工厂要按工程判断自己建立。盲区不是 GxP 的共性，是 GMP 这一侧的特性。 盲区在制药企业内部的对应物，是四个部门之间的接口。生产规模和留存要求在增长，旧库房仍沿用原办公空间的条件。工程部门管安装质量，质量部门管记录真实性，档案管理员管日常出入库，IT 管系统和备份。各自做完了自己的工作，不等于某份记录十年后仍然完整可用。接口处的失败，往往没有明确的责任人。 档案室项目要管的，是同一个设计决定如何同时改变建筑风险、质量风险和长期管理成本。移动密集架增加容量，也改变荷载和通道。扫描提高访问效率，也带来原件状态、图像质量和系统留存的新问题。人工智能（AI）让查询更自然，也可能掩盖版本错误和无依据的回答。这些影响要在投资决定之前，进入同一份需求与风险台账。 本文的核心主张是：制药档案室要按“长期保存并可验证使用的证据系统”来定义项目边界。最小控制单元是五样事物的明确对应：记录对象、失效场景、控制措施、验收证据、责任人。这套框架是工程综合建议，不是新创设的法规名称，也没有经过多中心项目验证。 沿此边界，档案室项目要回答四个问题。第一，必须保存什么，保存到何时。第二，建筑、消防和机电条件怎么支持这种保存。第三，既有设施怎么用有限投入解决主要风险。第四，AI 在什么条件下能改善检索，又不削弱证据控制。第 2 章先回答盲区为什么存在，第 3 至第 12 章按上述顺序展开工程做法，第 13 章讨论这套做法如何检验。 适用范围先界定。本文面向中国境内制药企业的内部档案室，存放纸质 GMP 记录、工程与验证文件及其电子对应物，并考虑产品供应欧盟和美国时的适用要求。企业内部档案室不能等同于国家综合档案馆、洁净生产区、服务器机房或 GLP 档案设施。临床试验、药物警戒、生物样本、危险化学品和特殊载体，各有专项要求。不同辖区的规则要按产品、场地、记录类型和承诺确定适用性，不能机械叠加成一张“全球通用参数表”。全文区分四类证据：规范性依据、外部事实、作者建议、探索性假设，口径见文末说明。

2 保存风险的非对称性：迟发、哑、不可逆

保存风险为什么被漏掉？安全科学给这类条件起过名字。James Reason 在研究组织事故时提出潜伏状况（latent conditions）：它们可以在系统内潜伏多年，直到与某个主动失效叠加才触发事故，而事故预防的注意力通常集中在主动失效上。⁶⁰ 保存风险正是档案室的潜伏状况。它不是因为后果小才被漏掉，而是因为它的时间结构、暴露机制、后果结构和注意力结构，全都与审计的工作方式错开。

迟发：失效与暴露隔着整个保存期

GMP 批记录保存到药品有效期后至少一年，EU 规则下部分记录取一年与五年的较长者，工程与验证档案动辄十年至长期。^1,6,13 今天发生的一次渗漏、一段霉菌、一次介质老化，后果要等数年后的某次调阅、某次检查、某次诉讼才暴露。问责落在未来，而工厂每天看得见的指标全在当下。 电子载体的时钟比保存期走得更快。磁光介质的档案寿命约 20 年，之后可读性持续衰减；读取设备与软件格式的市场生命周期只有 5 到 10 年。⁴⁹ 一份 2020 年归档的电子批记录，到 2030 年就同时面对介质衰减与读取环境消失的双重倒计时，而这只是它保存期的中段。注意一个对照：电子介质的迟发风险已经被 DI 指南翻译成迁移、恢复测试等有明确动作和验收标准的条款，工厂照做即可；纸质与环境风险在指南里只有“应防止损坏”这样的结果要求，从要求到动作这一步要工厂自己走。后面十章要做的，正是这一步翻译——翻译成工程需求和验收证据，不是翻译成检查项。

哑：没有中间态告警

流程失效每天都有信号：检验结果超标（OOS）、偏差、审计追踪告警、批放行延迟。保存失效是哑的。纸张酸化逐年推进，不产生报错；数字介质的位错误不触发任何告警；霉菌在密闭柜架内长期不可见。档案保护的实证结论是，绝大部分影响档案的灾害都包含水灾因素，而水浸之后 48 小时即可长霉。⁵⁶ 等到霉斑可见，处置成本已成倍上升。 不发生，就永远不会成为议题——因为没有日常指标让它显形。能让哑风险提前开口的工程手段只有两类：把风险改造成可监测指标，温湿度、水浸、介质抽检都在此列；或者定期演练，用模拟事件测试响应。这为第 11 章的运行评价定下基调：演练不是合规表演，是哑风险的开口测试。

不可逆：证明力不能投保

保存失效一旦暴露，后果是证据责任的终结，且不可逆。中国法里有现成的对应规则。最高人民法院《关于民事诉讼证据的若干规定》第 95 条确立证明妨碍规则：控制证据的一方无正当理由拒不提交，对方主张该证据内容不利于控制人的，法院可以认定该主张成立；《关于知识产权民事诉讼证据的若干规定》第 25 条进一步把“毁灭证据或者实施其他致使证据不能使用的行为”列入推定范围。⁷⁰ 行政侧同样直接：国家药监局 2024 年公布的典型案例中，一家药房无法提供真实完整的购销记录，被吊销药品经营许可证并列入严重违法失信名单。⁷⁴ 该案对象是经营环节的购销记录；生产环节的对应义务，是批记录的保存。 美国判例提供相近的证据保全对照。Woodruff v. American Optical 一案中，企业在 2017 年销毁历史业务档案，法院认定其明知未来相关诉讼可预期却未做最基本的数字化备份，构成对保全义务的有意识漠视，维持不利推定——陪审团可以推定，缺失的证据对毁损方不利。⁵⁰ 物理损失可以投保，证明力的损失不行。保险界把声誉损失、监管风险这类无形风险列为可保性的边界之外。⁶¹ 厂房烧了可以重建，批记录烧了，这一批的历史永久不可重建，附着其上的放行决定、偏差结论和验证状态全部失去支撑。 灭失实例在公开通报里就有。档案主管部门的以案说法记录过两起：一家银行省分行的档案库房设在地下二层，2005 年强降雨致两个库房共约五万卷（盒）档案全部被淹，国家档案局科研单位两次书面指导、派员到场；⁷¹ 一家外贸运输企业把 24 箱会计档案存放在有渗漏的地下室，发现时积水已深达 1.7 米，档案或成砖块或成纸浆，被认定为责任事故。⁷² 2023 年涿州洪涝中，出版企业库房整层泡水，一家企业的图书库存损失预估超过 3000 万码洋——这是纸质载体库房的损失形态类比，不是药品质量记录事件。⁷³ 企业披露文件中也有旁证（不直接证明药品质量档案后果）：一家印度药企披露，2004 年 10 月其孟买办公室的一场大火烧毁了存放于此的财务、法律和人事记录，没有副本可补，招股书的相关披露因此受限。⁶⁹ 卡特里娜飓风造成数千份病历永久灭失，医生无法查证患者的过敏史与既往用药。⁵⁴ 一次灭失事件，足以让企业多年积累的质量信用失去支撑。

注意力为什么偏向火灾

火灾是急性、可视化、有明确归口的风险。事件有新闻性，规范有强制性，保险工程调查把它直接挂钩费率。慢性保存风险四项都不具备：霉变不构成新闻事件，规范散在档案标准与 GMP 文件章的边角，保险公司按财产价值评估库房、不按证据价值评估记录；档案主管部门的监督检查以档案馆和机关、国有企业事业单位为常态对象，制药企业的内部库房不是它的重心。即便在档案这一侧，企业内部档案室也是弱势对象：企业档案研究反复记录档案部门的边缘化——效益难以量化，管理层投入不足，保管被当作不产生利润的辅助工作。^62,63 档案行政的以案说法与应急演练话语覆盖档案馆和国有企业事业单位，^71,72,75 到不了药企的工程与质量体系。保管的一侧长期弱势，外部体系各有各的重心，盲区就此闭合。 损失结构数据提示了这种错配的可能。美国住宅保险统计中，水损与冻裂赔案占比五年均值为 24.1%，高于火灾与雷击的 21.1%；商业物业的一项五年赔案研究给出水损占全部赔案 47% 的结论。^51,53 认知与事实之间的缺口同样有调查：水损造成住宅室内财产损失的 45%，超过火灾与盗窃之和，但只有 24% 的受访者答对它是最大损失来源。⁵⁵ 人们担心的是火，实际造成更多财产损失的是水。 灭火行为本身也是档案的水损源。一起银行金库火灾中，唯一的灭火方式是向混凝土金库注水。火灭了，保存百年的档案被灭火用水浸泡损毁，靠专业修复公司才挽回一部分。⁵⁴ 火灾受控的另一面，是水、霉、虫、老化这条慢性曲线没有归口。第 6 章评价灭火方案时，这一点必须进入比较。 盲区因此不是谁的失职，而是制度激励结构的自然产物。它不会自行消失。能对冲它的只有工程：把保存义务翻译成工程需求，把哑风险改造成指标和演练，把迟发后果折算成当下的验收证据。这是第 3 章开始的全部内容。

3 保存义务定义工程需求

立项以记录地图为起点

保存义务在各国指南里写得明白，却没有进入 DI 审计的检查条目，也不在保险工程的防损变量里。把义务翻译成工程需求，是这道没有归口的接口上的第一项工作。立项第一件事因此不是察看建筑，而是会同档案管理员和 QA 盘点保存对象，画出一张记录地图。 部门名称不能代替记录分类。同一个工程项目里，施工照片、计量校准记录、验证方案和批次支持文件，质量重要性和保存规则可能完全不同。记录地图至少覆盖六类对象，每类固定写明必须能回答的问题。

表 1 记录对象与保存策略。以下管理方式为作者建议，保存期限须逐类核准。

保管和所有权是两回事。档案管理员可以接收并保管批记录，不因此获得批放行权。IT 维护数据库，不因此获得改写归档结果的业务权力。档案服务一旦集中，授权与移交协议要写清楚。^3,6–9 工程档案在 GMP 里有明文位置。中国 GMP 第 45 条要求保存厂房、公用设施和固定管道建造或改造后的竣工图纸；第 72—73 条涉及设备操作、采购、安装和确认等文件记录。¹ 工程交付文件因此要按实际用途评价质量影响。归工程部门管，不等于普通行政资料。

保存期限是一套规则，不是一个数

每类记录存多久，回到规则原文。中国 GMP 第 162 条要求批记录保存至药品有效期后至少一年；质量标准、工艺规程、操作规程、稳定性考察报告，以及确认、验证、变更等重要文件应长期保存。¹ 美国 21 CFR 211.180 对特定批次记录规定了有效期后的留存要求，对符合条件的免标示有效期 OTC 产品等另有规定。⁴ EU GMP 第 4 章对批记录采用有效期后一年、或质量受权人批认证后至少五年，两者取较长。这套规则无法压缩为所有工程档案统一“五年”。⁶ 每类记录写清五件事：规则来源、触发日期、期限、责任人、禁止销毁条件。可确定日期的记录，最早可处置日要覆盖所有实际适用的保留义务。“长期”“永久”不得被软件默认换算成某个固定年限。投诉、调查、诉讼、监管要求或未关闭的质量问题形成留置时，例行销毁暂停。到期只意味着进入鉴定流程。删除不会自动发生。 建筑和安装档案另有一条。设备退役、房间用途变更、厂区转让，都不自动让相关记录失去价值。要问的是：它们是否仍支持现役设施、历史产品调查、结构与消防合法性、长期责任或技术追溯。保管期限表与工厂资产状态之间，需要受控关联。¹³

原始记录、真实副本、OCR 与备份的区分

纸质记录扫描之后，文件名加上“已归档”，不会让它变成可替代原件的真实副本。要证明内容及必要上下文被准确、完整地转移，并经受控流程核验、批准和保存。动态电子记录的门槛更高：单一 PDF 或打印件，可能保不住重新处理、筛选、重建结果所需的功能和元数据。判断依据只有记录的实际用途。^3,7–9 OCR 是从图像生成的派生文本，适合搜索和辅助提取。原始签名、批注、划改、表格关联和印章，要回到受控图像或原始记录核实。OCR 识别出一个看似正常的数值，不代表这个数值的原始填写、修改或批准已被证实。 备份和归档是两件事。备份为了恢复数据和服务；归档为了在整个保存期内维持可解释、可追溯、可取得的记录。两者可以共用部分基础设施，但目的、保留规则和测试要分别定义。一条“备份成功”的日志，替代不了归档检索演练，也证明不了退役软件的数据仍可读。^7,8 这是工程功能上的区分，不能推定各监管文本用同一套术语。FDA 2018 年指南解释 21 CFR 211.68(b) 中“备份”（backup）一词时，包含在整个保存期内维护真实副本的含义；短期滚动灾备本身满足不了这种长期保存目的。³ 中国《药品记录与数据管理要求（试行）》已于 2020 年 12 月 1 日施行。题名里的“试行”不等于尚未生效；其要求同样要落到归档、元数据、备份恢复及升级或退役后的可追溯性上。² 国内档案标准按对象分三类引用即可。纸质数字化参照 DA/T 31—2017；电子文件归档和管理参照 GB/T 18894—2016；电子档案单套管理见 DA/T 92—2022，但不能单凭这一名称，就认定扫描原生纸质记录后可以销毁纸质原件。^14–16 WHO 2021 年数据完整性指南从纸质、电子及混合系统的生命周期讨论管理责任，可作国际实践比较材料。¹⁷

4 数据完整性的日常操作化

ALCOA+ 属性的现场转化

DI 审计查的是流程层的账号、审计追踪和权限；同一套属性落到库房日常的接收、借还、销毁上，没有一份清单会核对。本章把属性翻译成这三条链路上能检查的动作。 ALCOA+ 概括九条属性：可归属、清晰可读、同步记录、原始、准确，以及完整、一致、持久和可获得。^3,8,9 停在口号层面的属性没有用处，要变成现场能检查的九件事。表 2 是作者建议的控制映射，不是监管机构规定的统一实施清单。

表 2 数据完整性属性的现场转化。

接收、借还与销毁的最小闭环

接收是第一道线。移交要说明记录标识、类型、范围、载体、数量或页数、版本、附件、保存规则、保密等级、原件状态和交接双方。接收人发现缺件、不可读或标识矛盾，登记为待处理并追踪责任。不得为了让目录“对得上”而改写源记录。纸质档案用受控台账加条码即可完成这一步，未必需要复杂平台。 借阅分三种：现场查阅、原件借出、授权副本使用。原件借出要记具体对象、借出及预计归还时间、使用人、批准和归还核对。高频使用的原件，可以提供经批准的访问副本减少搬动。副本上要显示身份和适用范围；一旦进入现场执行流程，不能被当作最新受控规程。 销毁按单一路径执行：规则到期、业务鉴定、法律或质量留置检查、授权批准、受控执行、销毁证明、目录状态更新。纸质原件、扫描件、系统副本、备份及 AI 索引，按各自批准的生命周期规则联动。合法保存和合法处置要一致。为了“彻底删除”而破坏仍适用的留存义务，是本末倒置。^1,4,6,13 这三条链路同时是后续章节的输入。房间动线、功能分区与系统设计，第 5 至第 7 章均由此导出。

兼任场景下的独立复核

中小工厂常见兼任：同一个工程师既是项目负责人，又是档案管理员和规程负责人。兼任本身不等于失控。四种权力不能集于一人：提出需求、执行变更、检验结果、批准自己工作中的重大偏差。高风险处置、真实副本替代、关键系统权限和工程质量放行，都要有明确的独立复核者。交接班、休假和人员离职后的授权接替，在项目移交前安排到位。

5 新建库房的选址、容量与结构审查

选址调查与容量测算同步进行

楼板能不能承住密集架、房间会不会中途满库，这类问题在 DI 审计清单上没有条目，也不归消防验收管。新建库房的选址、容量与结构审查，落在这段没有归口的接口上。 新建项目的顺序是固定的：选址调查，容量测算，楼板验算，密集架选型放在最后。选址调查覆盖十二项：规划用途、竣工资料、改造历史、结构体系、楼面现状、上层和相邻空间、水源、热源、电源、消防系统、运输路径、应急可达性。“房间一直在用”“以前摆过很多柜子”，证明不了它承得起新增档案荷载。地下、屋面下、潮湿外墙旁、管线密集处，风险各异，要查实际条件和适用要求。风险无法经济地控制时，迁址进入方案比较。^13,18–21 容量按延米测算，箱体和特殊载体的体积同时记录。规划期为 H 的项目，需求可以这样写： 所需有效架长 L = max_t[现有占用 L0 + 截至时点 t 的累计新增量 − 截至时点 t 已计划且获准处置的累计量] / 目标利用率 u 时点 t 覆盖规划期内各年，加上集中移交、搬迁、批量处置等重要事件，取库存峰值。只看期末净库存，会漏掉先集中归档、后实施处置造成的中途满库风险。已批准但可能延期的处置，另作情景计算。u 是规划参数（作者建议），反映分类预留、插卷空间和操作需要，不能当作法定指标。尚未获准处置的记录，不得提前计入腾退收益。 既有库房中期管理示例：现有 180 延米，未来五年每年新增 24 延米，暂不计销毁，按 85% 利用率规划，所需有效架长为 (180 + 5 × 24) / 0.85 = 352.9 延米。这个数只回答保存容量。房间面积、柜架数量、楼板承载，都推不出来。 新建库房另有容量底线。《企业档案管理规定》第 16 条要求新建档案库房面积满足未来至少十年的档案存放需要。¹³ 前述五年算例因此不能直接作新建项目的设计依据。同一组增长假设延长到十年，所需有效架长 494.1 延米。能不能容纳，仍要通过实际布置、通道和安全空间验证。

密集架选型以结构审查为前置

柜架选型先取得六项结构输入：实际自重、满载质量、支点或轨道反力、最不利移动组合、固定方式、楼板资料。总重除以房间面积得到的只是平均值，代表不了局部受力、轨道线荷载、构件承载和变形。开槽、钻孔和固定件，也可能损伤结构和防水。 《企业档案管理规定》第 21 条规定，档案库房楼面均布活荷载标准值不应小于 5 kN/m²，采用密集架时不应小于 12 kN/m²，并要求装具与之匹配。JGJ 25 可为档案馆建筑提供专业依据，企业内部改造要核定标准适用范围。^13,18 这两个数值是规定的设计条件，不能反过来宣布一块既有楼板已经达到相应能力。楼板资料缺失、用途变更过、承载有疑问的，先由相应专业人员按既有建筑评价要求完成调查、验算或鉴定，再批准采购和安装。^21,22 固定架和移动架的取舍看条件。固定架可能牺牲部分容量，但少了移动机构、轨道施工和故障维护。移动密集架只有在结构、疏散、消防覆盖、操作空间和长期维护同时成立时，才进入价格比较。机械止挡、防倾倒、夹人防护、断电操作和紧急开启，写进采购和验收条件。密集架验收以楼板验算为前置。以总重除以面积代替验算的，不予通过。

6 消防、水湿与电气的系统接口验收

消防审查管点火与控火，DI 审计管流程与记录，水、电、清洁与消防之间的接口没有哪一家归口。系统验收因此不能停在单台设备上。消防、水、电和清洁的接口要连起来查，每次改造都重新核对。

消防按完整系统验收

消防设计先核适用依据：建筑类别、用途、规模、储存特征和改造范围。GB 55037—2022《建筑防火通用规范》和 GB 55036—2022《消防设施通用规范》是强制性工程底线，配套标准和地方实施要求仍要核对适用关系。^19,20“纸遇水会坏”，不是删去依法需要设置的消防设施的理由。 审核把系统串起来看：防火分隔、门和封堵、探测报警、灭火设施、消防供电、联动控制、疏散、救援。新增柜架可能挡住探测或灭火设施。穿墙电缆和空调管线可能破坏原有分隔。门禁与疏散控制不协同，平时能走的门，故障时可能成为障碍。 灭火方案进入比较前，先逐项回答表 3 的问题。

表 3 灭火方案进入比较时需要回答的问题。此表不是适用性结论或设计处方。

“无水损”不足以成为选气体灭火的理由。“配置了灭火器”，也证明不了档案室消防合规。误动作、水损和恢复能力一并进方案评价。生命安全和法定消防要求同时满足，缺一不可。 外资企业内部的保险或财产保护标准可以提出附加要求。附加要求之间或与法定要求冲突时，不能择低执行，交有权专业方解决。 保险工程有自己的边界。FM Global DS 8-9 是保险工程的库房防损数据表，设计变量均为商品危险等级、堆垛形式、喷淋类型和水力计算，水损另册 DS 1-24 处理。⁵² Aon 2023 年加拿大商业物业赔案的行业研究里，水损占全部赔案 47%，是财产损失的首要原因。⁵³ 一份行业材料记录了一个案例：某银行金库起火，以向混凝土金库注水的方式灭火，保存百年的档案因灭火用水浸泡损毁。⁵⁴ 保险工程与消防审查一样，止于点火与控火，不解决水、霉、虫、老化；灭火用水本身就是档案水损源。

水损控制先于设备配置

水损先查来源，不是先装探测器。屋面、外墙、窗框、上层卫生间、给排水、消防水、空调冷凝水和清洁作业，逐项排查。仍可能发生的泄漏，配套现场责任、通知、隔离措施和应急物资。探测器能发信号，不等于水损已经受控。夜间报警后由谁到场、水源能否隔离、原件临时转移至何处，这三项决定实际后果。 布置不符合要求，报警补救不了。《企业档案管理规定》第 17—18 条限制档案库房与水房、厨房、变配电室等危险场所毗邻，并规定库房不应设置非消防给水点，其他给排水管道不应穿越库房。¹³ 管线用途和穿越现状逐项辨识，形成符合性及设计处置结论。接水盘、报警和巡检，代替不了这些约束的落实。 温湿度目标不套用通用数值。先核载体、保管期限、适用标准和既有损伤。纸张、照片、热敏纸、磁介质和光盘，不默认共用一套环境参数。目标范围、允许波动、预警阈值、报警阈值、超限时长和处置规则，分别写进用户需求。需要具体数值时，引用适用条款或保存专业意见，并记录选择理由。^12,13,18 温湿度范围有技术来源，适用性要先判断。DA/T 87—2021《档案馆空调系统设计规范》表 1 对纸质档案库给出 14—24 ℃、45%—60% RH 的范围，并考虑稳定性和测控精度。²³ 该标准面向档案馆空调系统，企业采用时应明确依据。这个区间不是 GMP 对全部档案载体的统一规定。24 ℃ 与 60% RH 同时出现，也不是正常运行目标。 环境设计留余量，不只加设备能力。在适用条件内，测量不确定度和控制偏差要有余量。水源、冷桥、门窗渗透和湿负荷先行排查。单纯加大空调或除湿能力，可能留下渗漏根因、冷凝风险和不必要能耗。 机组选型看实际运行条件下的性能：低温除湿、排水堵塞、停电重启、噪声、维护空间和长期运行条件。产品宣传中的最大除湿量，代替不了计算。 监测点位先调查，再确定。初始调查覆盖不同高度、围护边界、送回风和高密度储存区，同时记录门开启和运行工况。一个墙面温湿度表，代表不了全部柜内和角落。改造当季覆盖不了最不利季节的，在风险可接受条件下，列明后续季节确认及应急措施。短期正常趋势，不是全年合格证据。 施工验收和全年运行适用，分开记录。DA/T 101—2024《恒温恒湿档案库房空调工程施工及质量验收规范》已于 2025 年 2 月 1 日实施，涉及围护、施工、调试和检测，类似保管机构工程可按范围参照。²⁴ 施工验收检测的短期稳定和采集时段，不等于已经证明全年运行适用。工程验收和后续季节评价各记各的。

电气与隐蔽工程纳入验收

设备增容先校核配电，插线板不是长期方案。监测和通信失电、空调断电后的恢复顺序、门禁应急开启、UPS 电池维护及旁路状态，都进测试范围。是否需要冗余或 UPS，按允许中断时间和失败后果判断。供应商的套餐代替不了这个判断。 隐蔽工程封闭前，就留下可定位的记录。施工图写清穿墙防火封堵、冷凝水路线、管线检修、架体固定、标签及与现有系统的连接点。竣工时，至少能从图纸和资产台账定位一个探测器、阀门或电源回路，并找到它的测试、保养和变更依据。BIM 可以辅助组织这些关系；没有受控现状数据的模型，代替不了竣工证据。

清洁与载体保护纳入运行设计

运行设计管的不只是温湿度。灰尘进入、日光和长期照明暴露、虫害、霉害，以及装修和清洁材料对档案的影响，同在审查范围内。按《企业档案管理规定》的载体与保管要求，库房、阅览和办公功能应有相应安排。档案开包、扫描、修复和日常办公的风险，进分区设计。¹³ 清洁不把水带进原件存放区。作为作者建议，清洁规程应写清工具、方法、频率、记录保护、异常发现及复核。这些内容纳入运行设计，避免湿式作业带入水风险。 新入库档案有异常，按受控流程处理。发现明显潮湿、霉变或虫害迹象，评估并隔离，保留身份与交接记录。封闭包装代替不了干燥条件。外观清洁，也证明不了载体稳定。 特殊处理方案不凭设备宣传决定。消毒、杀虫或特殊气体处理前，评价载体相容性、人员暴露、残留、消防和后续读取影响，由适当专业人员确认。宣传里有“消毒”两个字，不是把设备列为全库常规配置的理由。 装具和包装按记录类型匹配：尺寸、支撑、材料相容性和标签耐久性。大幅竣工图、老旧复写件、热敏纸和特殊介质，分别评价保存及读取路径。高价值且不可替代的对象可以局部增强保护，前提是整体库房仍满足适用安全和保管要求。

7 设备选型的底线筛查与生命周期成本

采购是保存风险从纸面走进库房的那一步。DI 审计查档案系统的审计追踪，不查密集架的载荷，也不查除湿机在实际工况下还剩多少能力；本章把这两类底线放进同一道筛查，再写进同一张采购重点表（表 4）。

底线筛查先于价格比较

房屋和系统接口确定后，才进设备采购。采购分两步。第一步是底线筛查：法规适用、结构安全、保存要求、权限、恢复能力，有一项不满足即淘汰，不参与综合评分。第二步才比成本：初始投入、运行成本、操作时间、维护资源和退出成本。“价格低”抵消不了生命安全、非法销毁或关键记录无法恢复。 标准版本核对三次：询价时、合同冻结前、验收前。一个与采购直接相关的最新变化：GB/T 47490—2026《智能密集架》已于 2026 年 4 月 30 日发布，2026 年 11 月 1 日才实施。²⁵ 截至本文检索日，它处于“已发布、尚未实施”状态。详细条款要取得正式文本后再写进采购要求。“智能”一词，推导不出具体安全功能。 当前采购可按产品范围分三类核对这些标准。装具类有 DA/T 6—1992《档案装具》和 DA/T 7—1992《直列式档案密集架》；智能管理系统有 DA/T 65—2017《档案密集架智能管理系统技术要求》；钢制书架有 GB/T 13667.3—2013 和 GB/T 13667.4—2013 的手动、电动密集书架要求。^26–30 各标准覆盖的产品和系统范围不完全相同，技术协议要写明实际采用项和冲突处理。修订计划不等于旧版已经废止。 常见设备和系统的采购重点，按表 4 逐类写进用户需求。

表 4 常见设备和系统的采购重点。

价格比较基于全生命周期成本

价格比较以全生命周期成本为口径，至少包括：设计与审批、安装改造、工程停用、迁移及核对、验证、培训、校准、能耗、耗材、维保、许可、存储增长、升级、退出和最终处置。安全事故低概率、高后果，不宜被一个缺乏依据的金额加以平均。法定要求和不可接受风险先作为约束，剩下的可行方案再做经济比较。 数字系统采购，先让供应商演示退出路径。不依赖其专有界面，能否完整取走记录、必要元数据、版本、审计追踪、签名关联和可读性说明，是演示要回答的问题。文件能下载，不代表这些关系能重建。退出条款因此是合同必备内容。按实际用途适用 21 CFR Part 11 时，还要把它和基础法规要求、系统范围一起确认。“Part 11 compliant”是宣传语，不是一次性认证。^5,7

8 阶段门机制与项目交付控制

阶段门管的是接口本身。三体系各管一段时，最容易失去归口的决定是“谁在什么时候说可以搬入原件”；本章把这个决定写成不可跳过的门。

章程界定业务问题与退出条件

“改造档案室”这一表述定义不了项目成功。可执行的章程写明六项：哪些记录存在何种风险；要满足哪些保存和调阅任务；哪些设施或系统属于范围；谁拥有最终使用决定；用什么基线评价改善；什么情况下停止原方案、迁址或调整范围。 需求、风险、设计、采购、施工、迁移、测试和运行责任，纳入同一套受控追踪。依据上，ICH Q9(R1) 为质量风险管理提供依据，强调风险工作的适当正式程度和主观性管理；同系列的 Q10 支持变更、纠正与预防措施（CAPA）和持续改进。^31,32 PMBOK 第八版已于 2025 年 11 月发布，其价值、治理与风险导向可作项目组织参考。³³ 下面的七个阶段门是本文为档案工程给出的具体做法，不是对 PMBOK 或 GMP 的逐条转录。

各阶段门的交付物与停止条件

表 5 档案工程的阶段门与停止条件。批准权须按企业授权细化。

施工完成、工程验收、系统确认、业务准许使用，是四个不同的决定。档案室也不宜机械套入洁净区的全部确认项目。先按预期用途评估哪些设施或系统对保存和质量证据有影响，再定安装、运行和性能确认的必要范围；适用时参照 Annex 15 的风险与生命周期原则。³⁴ 证明不了用途适用性的供应商测试，不能直接替代现场确认。 G4 内部有两个步骤，顺序不能反。迁入前，工程及相应结构、消防专业确认场所安全，确认依法属于进入或实际存档前置条件的程序已完成；档案与质量授权角色确认环境、应急保护和记录接收条件具备；留下迁入决定；关键缺陷关闭后才可搬入原件。迁入后完成清单与记录关系核对，G5 再形成正式运行和服务移交。“尚未正式开放”，解释不了提前存档时缺失的安全或法定条件。

WBS、RACI 与需求追踪的相互约束

工作分解结构（WBS）按交付物划分：现状与记录、合规设计、建筑机电、保存设备、数字系统、迁移、确认与运行移交。每个工作包写清范围、接口、负责人、完成证据和预算。三项容易遗漏的工作由此写进合同和工时：目录补录的执行方、原件搬迁的核对方、旧数据库的退役责任方。 需求追踪逐行关闭。一行可以这样写：URS-WAT-01 上方冷凝水泄漏风险 → 已批准排水改造与漏水监测设计 → 安装记录 → 受控泄漏模拟 → 夜间报警送达与响应记录 → 运行负责人。只有传感器的发票，这一行关不掉。风险台账还要留三项：控制前后的风险理由、残余不确定性、复核日期。 RACI 里每项“最终负责”落到一个授权角色。质量部门管质量系统决定，工程管设计和安装适用性，EHS 及消防专业管相应安全审查，IT 管技术运行与恢复，业务所有者管记录规则与使用需要，档案管理员管保管流程，采购落实合同义务，项目经理组织接口和进度。跨专业决定分别签署各自权限内的结论。一个笼统的“全员同意”，掩盖不了责任。

进度控制针对不可倒置的依赖

既有档案室项目的关键路径一般有七个环节：结构和消防适用性确认、设计及审批、长周期设备、施工窗口、功能测试、受控迁移、使用批准。两类典型倒置：采购密集架之后才验算承载，搬入档案之后才做破坏性施工。可调整的问题，就此变成高成本返工。 进度计划列出资源和日历假设。原件核对、扫描质量检查、规程培训，要熟悉业务的人，临时施工人力替代不了。这些工作量进计划，缓冲对应真实触发条件。为了让甘特图整齐而把审批、核对和验证统一压缩为一周，不可接受。 变更控制同时记六项：技术范围、法规和质量影响、预算、进度、数据影响、测试影响。换一种传感器，可能改变量程、报警逻辑、导出格式和校准方案；换一台柜架，可能改变轨道和灭火覆盖。现场的“同等替换”要有可验证的同等性，不能只凭采购单价。

付款节点与合格交付物关联

技术协议定义设计与施工边界、业主提供条件、材料或设备证据、测试参与、缺陷整改、数据移交和维保响应。部分付款节点可以和合格交付物关联，但付款进度取代不了法律及质量验收。设计、消防或结构事项，承担专业责任的主体和文件形式要明确。 项目报告除预算和进度外，至少报五项：未关闭关键风险、需求验证覆盖、迁移差异、使用批准条件、运行准备情况。安装进度 100%，原件清单、权限或应急职责只要还没明确，就不能报“档案室已可投入运行”。

9 既有档案室的分期改造路径

既有档案室面对的哑风险已经在发生，例如渗漏、防火封堵缺口和部分原件去向不清。没有哪一类审计为它排期，分期路径由项目自行确定。

不可延期问题的分流

“低成本”在此先行定义：在满足法定要求和可接受残余风险的前提下，减少不必要的设施、返工和长期维护。它没有统一的金额上限。五类问题不能靠调低风险评分延后处理：楼板承载疑问、疏散受阻、严重消防缺陷、持续漏水、关键原件失去控制。 既有档案室完成现场查看后，按四种结果分流。原址通过管理和小修恢复受控；原址需要局部系统改造；原址需要较大工程或审批；迁移至更适宜空间，或采用经评价的异地保管服务。选择迁移或外包的项目，同时回答五类伴生问题：记录交接、调阅时效、灾难相关性、供应商监督和退出。比较不能停留在租赁单价。

首轮九十日改善路线

进入既有档案室后的首九十日按表 6 的节奏推进。说明在前：表 6 是本文提出的管理示例，不是法定整改期限，也不保证所有项目九十日完成。审批、结构加固、消防改造和季节确认可能需要更长时间。已发现的紧急危险立即按现场制度处置，不等表中对应的阶段。

表 6 既有档案室首轮改善路线。

低投入措施可能包括：修复实际漏点、恢复防火门功能、合规修补穿墙封堵、清除通道杂物、把档案从受潮区域受控转移、更新容器标识、清理借还积压、建立清晰的目录与校验记录、把报警接入有人响应的流程。措施顺序由现场风险决定。这些措施不构成可绕过工程审批的“小工程豁免”。 五项投入不宜先行：未核准承载就加密集架；未了解湿负荷就购置大批除湿机；原件目录不清就全量扫描；没有恢复测试就购买长期云存储；用 AI 演示替代基础数据整理。它们各自缺的前置条件是结构证据、环境基线、记录身份、恢复能力和可用检索依据。前置证据缺失时，任何一项都不先投入。

统一服务边界下的方案比较

方案比较先统一服务边界：记录量、保存期、调阅任务、合规范围和风险底线保持相同。一个只做标识和空调的小修方案，不能和包含消防改造、系统验证和十年运行费用的方案直接比较总价。通过底线筛选的方案，按总拥有成本现值比较： 总拥有成本现值 = 初始投资 + Σ[年度运行、维护与更新费用 / (1 + 折现率)^年度] + 退出费用现值 一个五年算例：方案 A 初始 8 万元、每年运行 2.5 万元、第五年退出 1 万元；方案 B 初始 18 万元、每年运行 1.2 万元、第五年退出 1 万元；折现率假设 5%。五年总拥有成本现值分别约为 19.61 万元和 23.98 万元。这些金额是人为设定的计算输入，不是市场报价或真实项目结果。在忽略其他差异的模型里，B 的年度运行节省要约超过 2.31 万元，才能在五年内抵消 10 万元额外初始投入。算例的意义在于：选择依赖明确假设，而不是展示一个预设的“节约百分比”。 人工节时要在调阅任务上实测，并区分可转用工时和可兑现的支出减少。三十分钟缩短为十分钟，可能释放了能力，但不自动减少人员成本。新增的扫描检查、系统管理和异常复核工作也要计入，否则数字化收益会被高估。

10 档案搬迁的数据完整性控制

搬迁是保存风险最集中的短窗口。库房中长期未显现的风险——标识不清、账物不符、去向不明——在搬迁的几天里集中显现。主要风险不是实物丢失，而是箱单与实物不一致后被“总箱数差不多”核销。搬迁因此按数据完整性事件管理，不按土建收尾管理。 搬迁启动前先取得 G4 的迁入前批准，再明确五项：迁移范围、截止时点、清单版本、调阅应急路径、差异处置方法。每个箱、卷或经批准的搬迁单位都有唯一标识，把源位置、封装、运输、接收和目标位置连续对应。搬迁单位宜做全量数量与标识核对；需要逐页核对或抽样检查的范围，按风险和记录特征预先批准。 出现“少一个箱”“编号重复”“箱外目录与箱内不符”这类差异，冻结受影响对象的迁移关闭状态，进入调查。“总箱数差不多”不能作为核销依据。搬迁中的紧急调阅从受控流程提出，写明临时位置和归还责任。记录不得在运输清单与借阅清单之间失去追踪。

11 移交、维修与运行评价

工程交付之后，保存风险进入最不易察觉的阶段：库房正常使用，各项指标正常，风险在无事件的表象下累积。运行期的任务是让风险保持可监测、可响应：移交交付运行能力，维修追溯根因，指标固定分母，演练检验响应。

按运行任务组织移交包

项目移交以运行能力为标准，不以钥匙交付为标准。移交包至少包括：批准的设计及竣工资料、变更与偏差清单、设备资产清单、测试与确认报告、关键设置和权限、校准及保养计划、SOP、培训和授权、备件及供应商联系人、恢复与灾难处置方案，以及未关闭事项的责任和期限。接收部门要演示三项能力：调阅、报警响应、恢复。签收文件夹不构成移交完成。 三个决定要衔接。工程验收查安装是否符合要求；质量使用批准查流程与系统能否按预期用途使用；业务接收查人员和资源能否持续运行。不影响安全及关键功能的剩余问题，可以在有权人员批准后带条件移交。关键原件缺失、法定程序未完成、应急功能失败，不能进入普通尾项清单。

维修审核的根因追溯

企业内部常将这类审核称为“CI 审核”。本节讨论其对维修处理完整性的作用，不限定该缩写的含义或审批权限，下文统称维修审核。维修审核在档案室的价值，是把重复发生的问题和实际控制效果连起来。以除湿设备反复高湿报警为例：工单只记“已复位”，无法证明原因已经消除。工单要记运行工况、原因诊断、修复动作、部件变化、测试结果和后续趋势。 影响保存或质量状态的维修，要判断是否触发变更控制、影响评估、校准、重新确认或使用批准。一次探头位置调整，可能改变环境代表性；一次控制器替换，可能改变报警延迟；一次屋面修补，可能需要后续降雨验证。工单关联资产、图纸、故障、变更和相关记录位置，后续审核者才能判断修复是否真正消除了原因。 持续改进分六步：重复故障识别、根因调查、选定措施、限定范围验证、更新规程与培训、效果复核。整改后短期没有故障，只能算初步观察，要结合暴露时间和相似工况判断效果。没有改善的问题重新进入风险和资源决定，不是反复关闭同类工单。

运行指标的分母定义

运行期跟踪八项指标，每项先固定分母和任务定义。

表 7 建议运行指标。目标值、频率和升级门槛由风险与服务承诺确定。

另有五类事件单独跟踪：违规取用、找不到原件、越权访问、未解释数据缺口、逾期关键维护。这类事件不能被一个较高的综合分数抵消。低频高后果的风险，靠情景演练和过程证据，不能等事故发生后再倒过来证明控制是否有效。

灾难恢复演练与系统退役

第 2 章指出，哑风险只能靠指标和演练显现；指标的定义见本章第三节，本节把演练写具体。纸质档案的灾难演练明确四项：火灾、水损、霉害或无法进入库房时的人员职责；现场安全判断；抢救优先级；专业支持路径。模拟演练用替代材料，不用真实原件制造风险。实际受损的记录，保护其身份、状态和交接关系，由适当专业人员决定干燥、隔离或修复方法。 电子系统定义恢复时间目标（RTO）和可接受数据丢失窗口（RPO）；归档后应保持固定的记录，还要验证完整性和版本。恢复演练要重建读取、权限和关联关系，不只是恢复一组文件。纸质副本和电子备份若同时受同一火灾、洪水或管理账号控制，不算建立了有效独立性。 系统退役要有批准条件：完成受控迁移、全量清单核对、必要的内容与关系核验、实际检索和恢复测试，由有权人员批准。记录仍在保存期内时，许可证到期、供应商停服、服务器报废，都不构成无法读取的合理理由。退出能力自采购阶段开始安排。^7,8

12 人工智能接入的用途边界与验证

AI 接入不改变前十一章的保存义务。它自身的证据风险，按同一套盲区逻辑处理：先划边界，再定用途；验收看检索完整性、引用支持和拒答能力，不看答案流畅度。

人工智能接入的前提条件

AI 不能替代库房的基础整理。接入有六个前提：稳定的记录标识、明确的原件状态、版本与有效期、可执行的访问权限、可靠的图像或电子正文、受控的变更和删除机制。这六项是前十一章工作的产出。缺少任何一项，先补齐，再讨论模型。 目录错误不会因改用向量搜索而消失。模型还可能把错误解释得更自然。确定性检索因此作为基线：关键词、字段过滤，加版本筛选。这条路径先建立，再评价 AI 的增量价值。 技术路线本身不是问题。检索增强生成（RAG）把外部资料检索和文本生成连起来，为基于来源回答提供了路径。³⁵ 2026 年发表于 Nature 的 OpenScholar 研究，展示了面向科学文献综合的检索与生成方法。³⁶ 这些结果支持继续研究档案知识检索。 但文献任务不是制药档案。公开研究的任务、数据分布和评价指标，不等同于受监管制药档案的使用，不能直接转写为“在 GMP 档案中可靠”。这一限定应写在任何一份 AI 评估的开头。

用途边界的划定

供应商演示先回答三个问题：无权用户能否看到片段；答案能否逐项回到原文；无证据时是否拒答。三项不能清楚回答的，不进入后续评估。三项清楚回答后，再按用途划定边界。

表 8 建议的 AI 用途边界。可行性为本文判断，不代表监管批准。

“人工最终复核”不足以支撑高风险用途。模型漏掉一份关键记录，审核人可能不知道有遗漏。生成结果一旦成为调查或质量判断的唯一输入，决策过程就已经被它改变。评价一个用途因此看两端：错误的后果多大，人工能否可靠地识别这个错误。 监管信号要跟踪，文件身份也要标明。2025 年欧盟新 Annex 22 征求意见稿，明确把生成式 AI 和大语言模型排除在其所定义的适用模型范围之外。它还提出此类模型不应用于关键 GMP 应用。¹¹ 这是需要认真对待的监管发展信号。但它仍是草案，引用时要标注草案身份。 FDA 的草案同样不是通用认证。2025 年发布的支持药品和生物制品监管决策的 AI 草案，强调按使用情境和风险评价模型可信度。它的范围不能被扩展为所有制药档案 AI 应用的通用认证要求。³⁷ 联合指导原则是框架，不是许可。2026 年 1 月，FDA 与 EMA 联合发布药品开发良好 AI 实践指导原则。它把使用情境、数据治理、风险评价、跨专业知识和生命周期管理放进一个共同框架。³⁸ 讨论覆盖药品生命周期中的证据生成，包括制造阶段。但它是原则性指导，不给某类档案模型颁发使用许可，也不能用来绕过适用的 GMP 要求。

可审计的检索流程

检索流程建议按以下顺序组织：已认证使用人 → 业务权限与用途检查 → 在允许的数据范围内检索 → 有效版本和适用范围核对 → 返回原文片段 → 生成带逐项来源的工作答案 → 授权人员核实 → 按用途保存必要日志。 权限过滤放在模型前面，不放在提示词里。访问过滤在进入模型上下文之前完成；后端授权在检索和取原文时仍要执行。不能先把无权查看的全文送进模型，再靠提示词要求它“不要泄露”。缓存、向量索引和日志也可能存有敏感内容，一并纳入访问和留存规则。 源文档里的指令只是数据。它按待检索数据处理，不能让它获得系统指令或操作权限。NIST 2025 年对抗性机器学习分类资料，为提示注入和相关数据泄漏风险提供了分析依据；具体控制如何实现，仍是本项目的工程设计责任。³⁹ 每条重要事实，至少要能定位到五项：记录标识、具体版本、页码或区段、适用日期、来源链接。四种情况要显示不确定性，并停止给出决定性答案：来源失效、内容冲突、关键页不可读、检索范围不足。哈希校验能查出受控基线之后的文件变化。它证明不了文件最初真实、签名有效，或业务内容准确。 生成层只读。它不能直接改写归档原件、保存期限、审批状态或工程控制设置。要把 AI 输出纳入受控业务记录，先另行定义用途、批准、版本、保留和更正规则。外部云服务能否访问数据，由企业已批准的数据分类、安全、合同与跨境处理流程决定。

检索完整性、引用支持与拒答的验收

AI 验证关注两件事：它错在哪里，什么时候该拒答。Farquhar 等在 Nature 发表的研究表明，语义熵可用于检测一定类型的大模型虚构输出。它不是对所有事实错误的可靠性担保。⁴⁰ 2026 年 Nature 关于评价激励与幻觉的研究进一步提示：只奖励回答正确率的评价方式，可能鼓励猜测。⁴¹ 对档案检索而言，启示是直接的。评价要把合理拒答、来源正确性和任务完整性一起纳入，不能只考答案是否流畅。 引用评价有现成方法，不需要另行发明。ALCE 研究把生成质量和引用质量分开评价。2025 年 Nature Communications 的 SourceCheckup 研究，进一步考察医学问答中论断与所引来源的支持关系。^42,43 据此建议分开统计四项：来源存在、版本正确、逐项支持、必要证据覆盖，并由具备相应知识的人员校准评价结果。这两项研究的错误比例，不应直接套用到制药档案。 测试集按库房实际会出现的问题配置。要覆盖：现行与作废版本、相同设备不同编号、手写修改、模糊扫描、缺页、表格、否定句、多语言、无答案、冲突证据、无权限、包含恶意提示的文档。测试集和调参资料分开。尽量按文档家族、版本、项目和时间隔离，防止同一文件的近似副本同时进入开发和评价。验收证据分八个维度检查：

表 9 建议的 AI 验收证据。本文不提供通用合格阈值。

样本量按风险和预期错误水平设计，不凭经验估定。一个统计说明：在近似独立、同分布的试验中，n 次测试没有观察到失败，失败率的一侧 95% 上限约为 3/n。n 为 300 时仍约 1%，并不证明零风险。档案问题常有同文档相关性和长尾场景。这个近似不能直接作为关键应用的放行标准。

从离线研究到受控使用

走向使用分两步。第一步，用非敏感或已获准的资料做离线研究。第二步，在严格限定的业务范围内，比较“确定性检索”和“AI 辅助检索”。失败分类和退出条件在研究开始前确定。 退出条件有四条：越权、伪造来源、关键版本混淆、人工总工作量没有改善。出现任何一条，暂停扩展，先纠正基础问题，再决定下一步。 评价通过一次，不等于持续有效。后续模型更新、提示词修改、索引重建、OCR 引擎变更和源系统迁移，都可能影响已评价的用途。变更控制按影响决定重新测试范围。退回确定性检索和原件调阅的能力，始终保留。NIST 生成式 AI 风险管理资料可以补充这一治理思路，但它不是药品 GMP 符合性的替代证据。⁴⁴

13 框架价值的检验设计

可检验的问题

这套框架尚未被证明优于其他方法。先于收益问题，这套框架的前提本身可检验：把保存要求转译为工厂自查项之后，演练与抽检中物理保存问题的检出与闭环是否可重复、可持续。收益问题有三个。以记录风险指导的分期改造，能否提高正确调阅和恢复能力？需求追踪，能否减少安装后返工和移交遗漏？AI 能否在不增加关键错误和越权风险的前提下，减少完整任务耗时？这些都是待验证的问题，不是已经取得的结果。 检验设计要针对盲区。第 1 章指出保存责任在工厂一侧，第 2 章指出保存风险迟发且不易察觉。终点指标因此不能只测流程顺畅，还要测哑风险的显现比例：恢复演练是否按约定目标完成，抽测调阅能否在时限内取得正确完整的证据包。研究设计要前瞻：先取得改造前基线，再按同样的任务定义评价改造后表现。可以按库区或记录群分阶段实施，但涉及安全底线的措施，不得为了对照而延迟。混杂因素要记录五项：人员熟练度、档案数量、季节、记录类型、检索难度。存在可比的未受影响任务时，可辅助判断变化来源。 主要终点可以预先指定为：规定时限内首次取得正确、完整且适用版本证据包的任务比例。次要终点六项：P95 调阅时间、异常响应、恢复成功、返工、全年实际运行费用、复核工时。保存风险另配过程指标：温湿度超限小时数、水浸传感器触发次数、虫害监测阳性率、纸质记录抽检状态、电子介质抽样读取成功率、演练发现的物理原因不可读记录比例。它们对改造敏感，且在第 2 章定义的保存期尺度上可测。消防和结构安全低频高后果，主要靠合规评价、工程验证和运行保证。不能用“观察期没有事故”推断其有效。

方法公开与记录保护

同行复核需要保存七类材料：需求基线、失败定义、数据字典、分层抽样方法、评价程序、偏差处理、成本假设。可以公开不含企业标识的空白模板和合成样例。真实记录、工程图纸和厂区信息，须遵守企业公开授权范围。 FAIR 原则强调数据的可发现、可访问、可互操作和可复用。⁴⁵ 对制药档案，可访问应包含适当的身份与授权条件；可复用也不等于把制药档案公开给互联网。对外发表可以公开方法、字段和经过批准的聚合结果，同时保持原始受控记录的保护。复用这套做法的机构可以获得方法和空白模板；企业记录不对外提供。

六项局限

局限有六条。第一，本文是定向证据综合，未证明法规和文献覆盖的穷尽性。第 1、2 章关于审计注意力的描述基于公开检查材料与行业清单，不排除各机构内部审计包含保存内容。检查证据以 QC 实验室与批记录等质量记录为主，工程档案审计关注度的公开证据更薄。本文描述公开材料中的检查关注点，不构成对监管检查是否充分的评价，也不构成对检查范围的建议。第二，建筑与消防判断高度依赖现场及地方实施要求，本文代替不了设计、鉴定或行政程序。第三，标准目录核验与读取全文是不同证据层级，对未取得全文的材料，不作详细条款结论。第四，成本和容量算例不对应实际工厂，不能据其编制采购承诺。第五，AI 文献主要来自通用或科学文献任务，结论向制药档案迁移需要独立验证。第六，现阶段没有加入实际实施前后的原始数据，不能宣称节约率、事故降低率或同行验证。

最终判据

这套做法的逻辑是一条连续的链：先证明保存风险落在三体系的接口盲区，再从记录的保存义务和失败后果出发，形成记录对象、风险、控制、测试和责任之间的对应。建筑与消防提供安全保存的物理条件。数据完整性让记录保持解释力。项目管理让这些条件在采购、施工、迁移和运行之间连续成立。 老旧档案室的低成本路径，是先控制明确危险和证据丢失，再用实测结果决定环境、容量和数字化投入。AI 的近期价值，集中在有权限、有来源、可核实的辅助检索和整理。它需要可靠的记录基础、独立评价，以及随时退回既有流程的能力。 档案室运行是否合格，最终判据只有一条。人员更替、设施维修、系统升级或异常事件之后，授权使用人仍能取到应有的记录，能解释它的形成和变化，能据此完成正确的业务判断。满足这一判据，才构成合格的档案室运行。

文末说明

证据分级与检索口径

检索与核查口径如下。主体检索采用定向叙述性综述方法，优先访问中国国家药监局、国家档案局、住房城乡建设部、国家标准公开平台，以及 FDA、欧盟委员会、PIC/S、MHRA、ICH、ISO、NIST 和论文出版机构的官方页面。检索渠道为监管机构与标准发布机构官网、出版机构页面、公开法院文书与行政通报、行业会议材料，辅以搜索引擎定向检索。主题词分三组：审计注意力（data integrity inspection、warning letter、飞行检查）、保存风险（water damage、archive storage、mold、档案损毁）、法律后果（spoliation、证明妨碍、无法提供记录）；各章技术主题词包括 pharmaceutical archives、data integrity、true copy、record retention、GMP documentation、档案库房、企业档案、建筑防火、既有建筑、RAG、hallucination 和 project management。法规检索不设起始年；AI 前沿重点检查 2024—2026 年已发表研究，并保留解释方法来源所必需的早期文献。全部证据的检索与核查截止于 2026 年 9 月 29 日。 纳入条件三条：来源可定位、版本或发表信息可核对、与本文某一工程决策直接相关。排除条件两条：无法回溯到发布机构原文的二手转述不用于规范性论据；只有摘要或目录可查的标准，不转述其未读条款。厂商宣传不作为节约率或合规性的证明。本研究未执行跨数据库的穷尽检索、双人独立筛选或正式偏倚评价，因此本文不称为系统综述，也不声称所列文献具有经过计量验证的“最高影响力”。参考文献同时保留基础现行要求和近期研究，因为法规效力不能按发表年份排序。 全文用四类证据。规范性依据是法律、法规、适用标准及质量体系义务，其中监管指南、国际标准和行业标准的法律地位各不相同。外部事实是已发表材料直接支持的观察、版本信息或方法结果。作者建议是把依据转化为工程和管理动作的综合判断。探索性假设是尚待本厂或前瞻性研究验证的收益与技术用途。正文各章已明确指出，哪些阈值、表格和算法属于作者建议。 两个版本状态单独说明。以截至检索日的官方页面为准，EU GMP 第 4 章和 Annex 11 的 2025 年修订以及新 Annex 22 已结束公开征询。本文仍将其作为草案材料处理，不用它们替代现行目录中的文本。^10,11 ISO 11799 已有 2024 版，不能继续把 2015 版标为最新版；本文只使用其官方公开范围和版本信息，未将付费全文中的具体条件作为已核验条款。¹²

数据与材料可得性

本文未分析企业原始数据。容量、成本和统计示例，均为公开计算方法与人为设定输入。配套的实施工具包包含可复用空白字段和合成示例，可在明确适用范围及批准权限后裁剪使用。来源核查记录与投稿说明作为编辑材料另存；正式公开范围由作者决定。

编写与复核说明

本文使用 AI 辅助公开资料检索、证据整理和文字起草，关键论据回溯至所列来源。稿件未使用可识别企业的项目记录、报价或工程图纸，也不代表任何机构的正式立场。本文属于工程方法稿，尚未经外部同行审查，不以排版形式暗示期刊发表或监管认可。

参考文献

以下采用连续编号的学术文献格式；第 1—45 条网页与法规的访问日期统一为 2026 年 9 月 8 日，第 46—75 条检索于 2026 年 9 月 28—29 日。编号用于定位论据，不表示证据等级。工程具体应用前，应再次检查现行状态及适用条款。

1. 中华人民共和国卫生部. 药品生产质量管理规范（2010 年修订）. 卫生部令第 79 号（2011）；2011-03-01 施行。重点：第 45、72—73、150—163 条。国家市场监管总局转载正文，网页迁移日期不是修订日期。

2. 国家药品监督管理局. 药品记录与数据管理要求（试行）. 2020 年第 74 号公告（2020）；2020-12-01 施行。重点：第 6、17—22、26—27 条。本次核验使用重庆市药监局官方转发及附件。

3. US Food and Drug Administration. Data Integrity and Compliance With Drug CGMP: Questions and Answers. Guidance for Industry, final (December 2018). 重点：Q1、Q7—10；监管指南，区分建议与所引法规。

4. US Food and Drug Administration. [21 CFR §211.180: General requirements](https://www.ecfr.gov/current/title-21/chapter-I/subchapter-C/part-211/subpart-J/section-211.180). eCFR 现行文本，本次页面更新至 2026-09-03。重点：(a)—(d) 的期限、可取得性与真实副本。

5. US Food and Drug Administration. [21 CFR Part 11: Electronic Records; Electronic Signatures](https://www.ecfr.gov/current/title-21/chapter-I/subchapter-A/part-11). eCFR 现行文本。重点：§11.1、§11.10、§11.50、§11.70；按适用范围及基础法规判断。

6. European Commission. EudraLex Volume 4, Part I, Chapter 4: Documentation. Revision January 2011; operation from 30 June 2011. 重点：§4.1、§4.10—4.12。现行目录与 2025 年修订草案分开使用。

7. European Commission. EudraLex Volume 4, Annex 11: Computerised Systems. Revision January 2011; operation from 30 June 2011. 重点：§4、7、9、12、16、17。

8. Pharmaceutical Inspection Co-operation Scheme. Good Practices for Data Management and Integrity in Regulated GMP/GDP Environments. PI 041-1 (2021); effective 1 July 2021. 国际检查合作指南；重点：真实副本、保留和记录保护。

9. Medicines and Healthcare products Regulatory Agency. GXP Data Integrity Guidance and Definitions. Revision 1 (March 2018). 重点：§6.11.2、§6.17。2021 年官网关于 OECD 文件优先的更新针对 GLP 范围。

10. European Commission. Stakeholders' Consultation on EudraLex Volume 4: Chapter 4, Annex 11 and New Annex 22. Consultation 7 July–7 October 2025. 征询已结束，文件仍按草案使用；并核对 EudraLex 现行目录。

11. European Commission. Draft Annex 22: Artificial Intelligence. Public consultation draft (2025). 重点：§1 的关键用途、模型类型和生成式 AI 限制；不作为已生效要求。

12. International Organization for Standardization. Information and documentation — Document storage requirements for archive and library materials. ISO 11799:2024, 3rd edn (September 2024). 已发布并替代 2015 版；本稿核验官方目录及公开摘要，未依据未取得的全文转述详细条款。

13. 国家档案局. 企业档案管理规定. 国家档案局令第 21 号（2023）；2023-10-01 施行。重点：第 3、16—21 条；境内企业档案管理规则。

14. 国家档案局. 纸质档案数字化规范. DA/T 31—2017（2017）；2018-01-01 实施，替代 2005 版。官方标准元数据；本文不从旧版移植抽检比例。

15. 国家档案局. 电子档案单套管理一般要求. DA/T 92—2022（2022）；2022-07-01 实施。电子单套管理不能直接作为原生纸档销毁依据。

16. 国家质量监督检验检疫总局、国家标准化管理委员会. 电子文件归档与电子档案管理规范. GB/T 18894—2016（2016）；2017-03-01 实施。推荐性国家标准，按项目适用性采用。

17. World Health Organization. Guideline on data integrity. In WHO Expert Committee on Specifications for Pharmaceutical Preparations: Fifty-fifth report, Technical Report Series 1033, Annex 4, 135–159 (2021). 替代 TRS 996 Annex 5 的 2016 年指南。

18. 住房和城乡建设部、国家档案局. 档案馆建筑设计规范. JGJ 25—2010（2010）；2011-02-01 实施。湖北省档案馆官方转发；适用时核查后续强制性工程建设规范及旧条文效力。

19. 住房和城乡建设部. 关于发布国家标准《建筑防火通用规范》的公告. GB 55037—2022，公告 2022 年第 189 号；2023-06-01 实施，全文强制。湖南省政府转发原公告。

20. 住房和城乡建设部. 消防设施通用规范. GB 55036—2022（2022）；2023-03-01 实施，全文强制。浙江政府存档全文。

21. 住房和城乡建设部. 关于发布国家标准《既有建筑鉴定与加固通用规范》的公告. GB 55021—2021，公告 2021 年第 166 号；2022-04-01 实施，全文强制。北京市政府转发原公告。

22. 住房和城乡建设部. 关于发布国家标准《既有建筑维护与改造通用规范》的公告. GB 55022—2021，公告 2021 年第 170 号；2022-04-01 实施，全文强制。北京市政府转发原公告。

23. 国家档案局. 档案馆空调系统设计规范. DA/T 87—2021（2021）；2021-10-01 实施。重点：适用范围和表 1 的纸质档案库环境条件。

24. 国家档案局. 恒温恒湿档案库房空调工程施工及质量验收规范. DA/T 101—2024（2024）；2025-02-01 实施。日期以正式文本封面为准；短期工程检测不等于全年运行证明。

25. 国家市场监督管理总局、国家标准化管理委员会. 智能密集架. GB/T 47490—2026；2026-04-30 发布，2026-11-01 实施。截至检索日已发布、尚未实施；仅核验版本及状态，不转述未取得的全文技术细项。

26. 国家档案局. 档案装具. DA/T 6—1992；1992-10-20 实施。平台标记现行；具体采购时复核修订状态。

27. 国家档案局. 直列式档案密集架. DA/T 7—1992；1992-10-20 实施。平台标记现行，修订计划不等于替代文本已经实施。

28. 国家档案局. 档案密集架智能管理系统技术要求. DA/T 65—2017；2018-01-01 实施。按智能管理系统的实际范围采用。

29. 国家质量监督检验检疫总局、国家标准化管理委员会. 钢制书架 第 3 部分：手动密集书架. GB/T 13667.3—2013；2014-12-01 实施。平台标记现行。

30. 国家质量监督检验检疫总局、国家标准化管理委员会. 钢制书架 第 4 部分：电动密集书架. GB/T 13667.4—2013；2014-12-01 实施。平台标记现行。

31. International Council for Harmonisation. Quality Risk Management Q9(R1)_Guideline_Step4_2025_0115_0.pdf>). Step 4, 18 January 2023; minor typographical correction 15 January 2025. 重点：§1、3、5；2025 为排印勘误，非新的 R2 修订。

32. International Conference on Harmonisation. Pharmaceutical Quality System Q10. Step 4, 4 June 2008. 重点：管理责任、委外、CAPA、变更及管理评审；FDA 最终指南发布于 2009 年。

33. Project Management Institute. A Guide to the Project Management Body of Knowledge and The Standard for Project Management. 8th edn (PMI, November 2025). 管理方法参考，不是档案项目的法规验收标准。

34. European Commission. EudraLex Volume 4, Annex 15: Qualification and Validation. Revision 2015; operation from 1 October 2015. 结合预期用途和风险确定适用确认范围。

35. Lewis, P. et al. Retrieval-Augmented Generation for Knowledge-Intensive NLP Tasks. Advances in Neural Information Processing Systems 33, 9459–9474 (2020).

36. Asai, A., He, J., Shao, R. et al. Synthesizing scientific literature with retrieval-augmented language models. Nature 650, 857–863 (2026). Published 4 February 2026；DOI 中的 025 不是发表年份。

37. US Food and Drug Administration. Considerations for the Use of Artificial Intelligence To Support Regulatory Decision-Making for Drug and Biological Products. Draft Guidance for Industry and Other Interested Parties (January 2025). 草案；范围是支持药品和生物制品监管决定的 AI 信息或数据。

38. US Food and Drug Administration & European Medicines Agency. Guiding Principles of Good AI Practice in Drug Development. Joint guiding principles (January 2026). 2026-01-14 发布；指导原则，不是档案 AI 的批准或认证文件。

39. Vassilev, A. et al. Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations. NIST AI 100-2 E2025 (2025). 2025-03-24 最终版。

40. Farquhar, S., Kossen, J., Kuhn, L. & Gal, Y. Detecting hallucinations in large language models using semantic entropy. Nature 630, 625–630 (2024).

41. Kalai, A. T., Nachum, O., Vempala, S. S. & Zhang, E. Evaluating large language models for accuracy incentivizes hallucinations. Nature 653, 1047–1051 (2026). Published online 22 April 2026.

42. Gao, T., Yen, H., Yu, J. & Chen, D. Enabling Large Language Models to Generate Text with Citations. In Proceedings of EMNLP 2023, 6465–6488 (2023).

43. Wu, K. et al. An automated framework for assessing how well LLMs cite relevant medical references. Nature Communications 16, 3615 (2025).

44. Autio, C. et al. Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile. NIST AI 600-1 (2024). 2024-07-26 最终版；跨行业风险管理资料，非 GMP 认证。

45. Wilkinson, M. D. et al. The FAIR Guiding Principles for scientific data management and stewardship. Scientific Data 3, 160018 (2016).

46. QBench. Inside 470 FDA Warning Letters From 2025: What Labs Need to Know. 行业逐封分析，非 FDA 官方统计；469/470 封含文档或记录管理类引用，类别为程序、调查、验证与数据专项。

47. 中国药物警戒. 药品生产企业数据可靠性缺陷分析. 2018 年第 15 卷第 1 期。对 CFDA 飞行检查与跟踪检查通报的学术统计：飞检 43/45 家企业存在数据可靠性缺陷，记录不真实占 41.3%，操纵数据占 18.7%；2016 年跟踪检查数据可靠性缺陷约占 17%。

48. Assyro. Data Integrity Audit: FDA Compliance Checklist. 2025-12-15 发布。厂商实务材料，用作行业审计实践的证据，不作为监管要求；执行条目为访问控制、审计追踪、数据一致性与备份恢复测试。

49. Parliament of Australia, Joint Committee of Public Accounts and Audit. Electronic information: Chapter 5. 官方委员会文件。磁、光介质档案寿命约 20 年；技术过时导致的数据不可读风险。

50. Washington Court of Appeals, Division II. Woodruff v. American Optical Corporation et al., No. 56257-0-II. 2023 年判决（经 Justia 公开）。销毁历史业务档案被认定构成对保全义务的有意识漠视，不利推定维持；单一法域判例，不直接构成其他辖区的法律意见。

51. Insurance Information Institute. Facts + Statistics: Homeowners and renters insurance. 2019—2023 年损失原因统计。水损与冻裂五年均值 24.1%、火灾与雷击 21.1%；2023 年平均案值火灾 88,170 美元、水损 15,400 美元。美国住宅险口径，非制药场景。

52. FM Global. Property Loss Prevention Data Sheet 8-9: Storage of Class 1, 2, 3, 4 and Plastic Commodities. 2018 版（经第三方存档，用前复核现行版）。保险工程数据表；设计变量为商品危险等级、堆垛与喷淋；水损防护另见 DS 1-24。

53. Aon Canada / Eddy Solutions. New Study Reveals Innovative Water Protection Systems Significantly Reduce Losses from Water Damage Claims. 2023-02-07 新闻稿。商业物业五年赔案研究：水损占全部赔案 47%；研究有厂商背景，按行业材料使用。

54. BRCCI. Vital Records and Business Continuity Planning. 2022-02-15。业务连续性行业材料：银行金库灭火注水致百年档案水损个案；卡特里娜飓风病历灭失个案。

55. claimspages（PEMCO 调查报道）. Water Damage Tops Home Insurance Claims Despite Homeowners Fearing Fire. 2026-06-30。消费者认知调查：水损占住宅室内财产损失 45%，仅 24% 受访者正确识别；样本为美国两州住宅险客户。

56. 档案库房水浸监控技术文献. 档案库房水浸监控系统建设. 行业技术材料。水灾为档案灾害主要因素之一；水浸后 48 小时霉变窗口；转引 JGJ 25—2010 的给排水条款，适用时应回到标准原文。

57. Organisation for Economic Co-operation and Development. Good Laboratory Practice: Compliance Monitoring — Guidance for Inspectors (Storage and Retention of Records)8/FINAL/en). C(95)8/FINAL。GLP 检查员核查清单：档案责任人指定、档案设施、检索程序、访问控制与出入登记、保存期限，以及防火与不利环境条件防护。

58. European Medicines Agency. Guideline on the content, management and archiving of the clinical trial master file (paper and/or electronic). 2018-12-06。TMF 归档与存储条件：整个保存期内维持完整可读，存储区域按风险评估确定。

59. Medicines and Healthcare products Regulatory Agency. FAQs for Trial Master Files (TMF) and Archiving-and-Archiving>). GCP 检查问答。第 16 条：存档区域条件须维持文件在要求保存期内完整可读并可应要求提供。

60. Reason, J. Managing the Risks of Organizational Accidents. Ashgate, 1997. 潜伏状况（latent conditions）概念：可在系统内潜伏多年，与主动失效叠加后触发事故；事故预防的注意力集中于主动失效。

61. The Geneva Association. The Value of Insurance in a Changing Risk Landscape. 2023-11。无形风险与系统性风险对可保性和风险转移机制的挑战。

62. [Research on the Difficulties and Outlet of Enterprise Archives Work](<http://webofproceedings.org/proceedings_series/ESSP/ICEMIT 2018/ICEMIT21032.pdf>). ICEMIT 2018 会议论文。企业档案效益隐蔽、难以量化导致管理层忽视；企业档案工作困境的内外原因分析。

63. 金药商行业文献. 生命科学行业数字化转型。药品生产线档案章节：多数药企档案管理仍以纸质为主、电子为辅，检索效率低、存储空间有限、安全性差，纸质档案易丢失损毁。行业材料。

64. FM Global. Property Loss Prevention Data Sheet 7-36: Pharmaceutical Operations. 2020—2021 版。§2.10 应急规划：重要业务记录（含 QA/QC 记录、稳定性研究、法规要求材料）应复制并异地存放；含 QA/QC 实验室损失的应急规划要求。

65. International Organization for Standardization. ISO 15489-1:2016 Information and documentation — Records management — Part 1: Concepts and principles. 指南性标准。本次仅核验官方目录与版本，未转述未取得全文的条款。

66. 全国人民代表大会常务委员会. 中华人民共和国档案法（2020 年修订）. 2020-06-20 修订，2021-01-01 施行（中国科学院系统公开文本镜像，适用时以官方文本为准）。重点：第六章监督检查，第 42—45 条。

67. 国务院. 中华人民共和国档案法实施条例. 2024 年公布施行的配套行政法规（地方档案部门公开文本）。重点：第 45 条定期报送义务的对象为国家档案馆和机关、群团组织、国有企业事业单位。

68. Documentation and Records: Harmonized GMP Requirements. PMC 综述. 学术综述。协调化 GMP 要求：关键记录存储场所须防丢失、损毁与篡改，并防火灾、水浸等损害；关键记录应异地备份。

69. Piramal Enterprises 披露文件. Information Memorandum. NSE 存档。披露 2004 年 10 月孟买办公室火灾烧毁财务、法律与人事记录且无副本；个案，非 GMP 记录。

70. 最高人民法院. 关于民事诉讼证据的若干规定（2019 修订）（公开条文经多家法院与律所公开文本一致核对）。2020-05-01 施行。第 95 条：证明妨碍规则；并见《关于知识产权民事诉讼证据的若干规定》第 25 条（毁灭证据等致使证据不能使用的行为）。

71. 赣州市档案局. 档案违法典型案例（银行省分行档案库房水淹案）. 以案说法公开材料。2005 年强降雨致地下二层两个库房约五万卷（盒）档案全部被淹。

72. 泰州市档案局. 违反档案安全保管保护制度造成档案损害案件. 以案说法公开材料。外贸运输企业 24 箱会计档案地下室渗漏灭失，认定为责任事故。

73. 中国新闻周刊（经澳门莲花时报转载）. 被洪水冲击的涿州图书业. 2023-08。出版企业库房洪涝受损报道；一家企业图书库存损失预估超 3000 万码洋。

74. 国家药品监督管理局. 公布 5 起药品违法案件典型案例. 2024-03-26。其中一家药房无法提供真实完整购销记录，被吊销药品经营许可证并列入严重违法失信名单。

75. 西北工业大学档案馆. 档案馆开展库房管道漏水应急演练活动. 2025-07。档案馆侧漏水应急演练的公开实例；用于对照演练话语的覆盖范围。

§参考文献