按欧盟新机械法规（EU）2023/1230，干预证据存储方案的核心是：**安全关键数据本地生成、独立保护、分级备份，断网或存储失败时进入安全状态**。该法规将于 **2027年1月20日**全面适用[^11]。

**存储架构**

- **现场可信节点**：在设备侧部署安全日志代理。日志由受保护模块直接生成，包含事件、身份、时间、接口、旧版本、新版本和校验值。
- **完整性保护**：采用数字签名或受保护的哈希值。普通校验和适合发现意外损坏，单独使用难以证明恶意篡改。
- **双份保存**：一份保存在设备内，一份同步到工厂或云端的独立存储节点。两份日志分别防删除、防修改。
- **离线缓冲**：网络中断时，日志先保存在受保护的本地缓冲区；恢复后补传，并保留传输失败告警。
- **集中归档**：云端负责长期保存、检索和授权导出。原始日志保持只读，分析系统通过副本处理。

**每条记录至少包含**

- 设备序列号、机械型号和物理位置；
- 操作者账号、维护单位和授权范围；
- 事件类型：登录、固件更新、程序上传、参数修改、配置导出；
- 软件标识：程序名、版本号、修订号、硬件型号和实际校验值；
- 变更内容：修改前、修改后的值，以及涉及的安全功能；
- 结果与响应：是否成功、是否触发告警、设备随后进入什么状态。

软件版本应能通过设备菜单或文件导出获得，并与实际安装的固件、程序和配置对应。仅靠屏幕手工填写的旧编号，无法作为可靠追溯依据。

**五年追溯怎么落地**

五年追溯适用于投放市场或投入使用后上传的安全软件版本，以及与干预有关的数据。每次具体事件的计时从该次安全软件变更完成时起算，至少保存五年；其用途限于主管机关提出有理由的请求时，证明符合附件要求[^5]。

五年范围主要覆盖安全PLC程序、安全控制器固件、影响安全的算法及参数。普通产量、订单和一般报警记录，应按各自业务需求确定期限，无需全部套用五年。

具有自演化行为的自主机械，还需单独保存安全相关决策过程数据，采集后保存一年。技术文件和欧盟符合性声明则至少保存十年，三类期限各自独立。

**外部存储的运行条件**

采用远程服务器或云端保存干预证据时，设备运行取决于证据类别：

- 硬件干预监控放在外部，外部监控正常运行时，机械方可运行；
- 软件或配置干预证据放在外部，全部必要证据成功写入后，机械方可运行；
- 网络或存储持续异常时，设备进入预先定义的安全状态，而非继续生产后补记录；
- 普通云备份只能解决副本问题，还要补齐身份鉴别、签名保护、顺序写入、完整性校验和故障停机控制。

**权限与交付安排**

制造商负责产品具备识别、留痕和保护能力；用户或服务商负责自身账号、现场维护和外部系统的管理。合同应写清日志所有权、访问权限、保存地点、故障责任、导出格式和停服交接方式。

验收时可验证四项能力：任意一条历史记录均可查询、版本与实际安装一致、旧版本不会被新记录覆盖、外部存储失效后设备能够安全响应。

要不要我再梳理一下，哪些干预措施需要记录、哪些可以只设防护而不留痕？