离线登记册的设备退役与数据清除工程：交接前的导出闸门、跨世代链锚定与清除边界的可验证性

一、设备的终点，往往比上岗那天更容易出事

现场工具的生命周期很少以从容的方式结束。一台在配电房和工地之间跑了四年的平板，屏幕碎了、电池鼓了、系统卡了，某天被换掉；旧机器先在抽屉里躺几个月，然后转给新来的学徒，或者挂在二手平台上卖掉。承包商那边的吊装核验员离职时，属于他个人的手机里还留着三年的索具检验记录。这些场景里没有攻击者，也没有人怀有恶意，但登记册里仍然存着几千条设备台账、几百张带现场背景的照片和签名位图。

问题在于，“数据不出设备”不是一句口号，而是一条工程约束：登记册就在这台机器的应用容器里，没有服务器副本，没有云端操作日志，也没有厂商侧的遥测上报。它带来一个反向后果——设备的终点变得比上岗那天更容易出事。要在一个从未离开过设备的文件上做出正确的处置，需要把三件彼此拉扯的事情同时算清楚：哪些记录在法定期限内不许丢，哪些内容在不再需要时必须销毁，以及在设备消失之后，剩下的审计叙事还怎么自证。

本文以密旋科技 TagWorks 的电气设备离线登记册与 SlingGuard 的吊索具离线台账为样本，讨论端侧工具的退役与清除工程。这两个工具的数据模型不同、适用规范不同，但退役那一刻面对的问题结构是同构的：文件在本地、证据是链式的、清除没有回收站。

二、义务的三条线：保留、最小化与连续性

（一）保留义务：台账不是想删就能删

电气检测记录的第一条约束来自标准本身。AS/NZS 3760:2022 在文档章节要求：对所有经过检查与测试的设备保留检查与测试记录，并另行维护设备总册、正式检查与测试记录、维修记录以及故障设备的处置记录[1]。行业与保险实践通常按七年或设备寿命取其较长者执行；在新西兰，由第三方检测机构执行的测试还需保留包含实测数值在内的完整记录[1]。标签本身也有硬性要求：必须出现检测人、检测主体、测试日期与下次复测日期，并引用该标准编号，标签须耐久、清晰、不可复用且不得为金属材质。

吊装侧的保留期限同样写得很具体。LOLER 1998 第 11 条规定：彻底检验的法定报告须保存至下一次报告作出时，或自报告之日起两年，以较晚者为准；而按第 10 条第 2 款作出的检验记录，须保存至下一份同类记录作出为止[2]。这条规则意味着记录的最短寿命由”下一次”决定，而不是由设备是否还在服役决定。

把这两段放在一起看，会得到一个不太直观的结论：设备退役了，记录不一定退役；设备报废了，标签、报告和处置结论通常还要再活几年。

（二）最小化义务：不再需要时必须销毁

另一条线朝着反方向拉。澳大利亚隐私原则 APP 11.2 规定：当持有个人信息的实体不再需要该信息用于隐私原则允许的任何目的时，须采取在当时情况下合理的步骤销毁该信息或确保其去标识化，法定要求保留或属于联邦记录的除外[3]。新西兰《2020 年隐私法》信息隐私原则第九条同样要求组织不得将个人信息保留超过其合法使用目的所需的时间[4]。欧盟通用数据保护条例第 5 条第 1 款 e 项与第 17 条给出的是同一方向的约束。

这条线之所以在现场工具上会变得棘手，是因为”证据照片”通常是复合内容：一张标注了设备序列号的铭牌照片是合规证据，同一张照片里出现的工位排班表、白板内容、人员面部则可能是个人信息。保留义务要求照片留着，最小化义务要求其中不该留的部分尽快消失。这两个要求在端侧不能靠”以后再处理”来规避，因为端侧工具没有服务端可以事后批量清洗。

设备资产层面的要求还有一条：ISO/IEC 27001:2022 的附件 A 7.14 要求设备在处置或再利用前，其中的敏感数据与授权软件须被移除或安全覆写[5]。它是管理体系条款，不是技术手册，但它明确要求”处置动作”必须被证明，而不是被声称。

（三）连续性义务：删除之后仍要能自证

第三条线来自审计本身。登记册的价值有相当一部分来自时间的连贯性：一条检验记录之所以可信，是因为它接在前一条之后，且中间没有断口。当一台设备被清除、一本台账被终止时，审计的连续性不能随着存储介质一起消失。它必须在清除之前被搬到别处安放。

三、“离线”把清除拆成两道不同的题

（一）更容易的一半：没有服务器副本要追

如果一本台账跑在云端登记系统里，清除面会很长：主数据库、副本与读写分离节点、快照与异地备份、访问日志、消息队列里的中间态、第三方分析插件写入的行为数据，以及若干已经说不清用途的历史导出文件。这些副本的生命周期往往由服务端策略决定，使用者的删除请求只是流程的第一环。

端侧离线工具把这一整段删掉了。登记册在应用容器内以单个 JSON 快照文件持久化，写入采用原子替换，落盘之后即为当前台账[6]；照片与签名位图同样在容器内；报告与标签由端侧排版生成，分享出去的是文件副本而非数据库连接[6]。这意味着”清除设备上的登记册”几乎没有外部副本需要追讨——除了下面这一条必须诚实说明的例外。

（二）更难的一半：没有遥控这一手

上表最后一行是离线架构需要直面的代价。一台联管设备在丢失后可以被远程指令擦除，而一个以零网络请求为设计前提的工具没有这条路径。丢失即不可控，这是架构选择的一部分，不是实现缺陷。

因此端侧能站住的只有静态防线：数据在磁盘上始终处于加密状态，且解密能力与设备口令绑定。iOS 的设备数据保护机制为每个文件分配保护等级，文件元数据由一个随机值密钥加密，而该密钥又由仅安全隔离区知晓的密钥加密保护[7]；“抹掉所有内容和设置”会销毁可擦除存储中的密钥，使全部用户数据在密码学意义上不可读[8]。这条链的意义在于：清除的正确实现不是把字节写成零，而是让密钥消失。

（三）应用内删除与设备级清除不是同一件事

这一点需要在工具内部讲清楚，因为现场使用者最容易误解它。应用内删除一条记录，只是从快照文件里移除了一条数据并原子替换了文件；文件系统层面的旧块、系统缓存与设备备份都不在该操作的作用范围内。而设备级清除作用于整个设备的密钥体系，与登记册里还剩几条记录无关。

四、把退役写成流程：五个有序步骤

既然退役的难点不在”删掉”，就应当把它写成一串有先后顺序的动作，并让每一步都产出可查验的东西。

第一步：清查与冻结。 退役流程开始时先停止对登记册的写入，冻结时刻要记进处置记录。冻结在实现上并不复杂：登记册的写入是快照级的原子替换，冻结只需在导出与清除之间拒绝提交新快照，即可保证后续校验面对的是一个不会变化的版本。

第二步：导出与校验闸门。 登记册先被封进一个自包含证据档案，随后按只读流程校验档案结构与内容一致性。这里的关键不是”允不允许导出”，而是”允不允许清除”：清除的准入条件是一条校验通过的档案，而不是使用者的确认点击。校验不通过时，闸门保持关闭，设备维持原状。

上式里两个合取项缺一不可。校验通过但链头未锚定的退役同样不成立，因为那份档案无法向审计方说明自己接续的位置。

第三步：链头锚定。 清除前把当前审计链的最后一条记录摘要、设备世代编号与冻结时刻一并写入处置记录，并随导出档案保存。新设备启用时，第一条记录以”世代记录”的形式承接旧链头，形成设备世代的显式接续，而不是隐式的”从今天重新开始”。

第四步：交接双签。 一台设备的退役通常伴随一次责任转移：交出方签字确认已导出并已知悉清除后果，接收方签字确认收到的档案可校验。这份双签记录解决的问题是”谁在哪一刻还负有责任”，它与设备所有权无关，也不替代任何法律文件，只是在台账体系内部留下一段可追溯的交接痕迹。

第五步：清除与处置记录。 执行设备级清除，并生成一份处置记录：冻结时刻、档案校验结论、链头摘要、所用清除方式、执行结果与能力边界声明。这份记录本身是端侧生成的文件，可打印、可随档案归档，用来回答审计方最常问的那句话——“你怎么知道数据已经不在了”。

五、清除能证明什么，不能证明什么

退役流程里最容易被含糊处理的，是验证。把一个动作说成”已安全删除”很容易，说明白它的可验证程度很难。下表按动作粒度列出端侧工具能够承担的声明与依据。

上表第五行是必须写在明处的缺口。端侧工具的”数据不出设备”成立的前提是使用者自己不把数据带出去：一次系统备份、一次手工分享、一次导出到外部存储，都会生成工具无法代管、也不应代管的副本。工程上能做的是把这件事讲清楚，并在处置记录里显式保留这一条声明，而不是把不确定的部分一并写成”已清除”。

净化等级的划分可以借用现成的框架。美国国家标准与技术研究院的《媒体净化指南》在 2025 年 9 月更新至第 2 版，取代 2014 年的第 1 版，仍然以清除（clear）、净化（purge）、销毁（destroy）三种方法定义净化强度，并允许按介质类型与技术条件选择具体技术[9]。对带有自加密能力的存储介质，销毁密钥是达成净化语义的常见技术路径；而应用层对文件字节做覆写，在闪存介质上不构成可验证的净化动作——磨损均衡与备用块使字节级覆写的落点不可控。这条结论直接影响设计取舍：与其提供一个无法验证的”多次覆写”开关，不如把清除动作交给平台的密钥体系，并把”我们能验证什么”写进记录。

六、退役流程的边界用例

把上面五步落进实现，真正的困难出现在边界情况上。以下用例取自离线登记册的日常现场，每一条都对应一个必须提前决定的取舍。

最后一行值得再说一句。系统备份的恢复是使用者侧的动作，端侧工具既看不到也不应该看得到。可讨论的设计方向是在世代记录里保留设备世代编号，使一份被恢复的旧快照在接续链头时出现世代回退，从而至少被识别出来；但这属于对账机制，不是阻断机制，写成”可追踪删除”是不诚实的。

七、结语

端侧离线工具的设备退役，不是一个删除按钮的加长版，而是一次结算：先把在保留期内的证据完整地搬到下一个载体上，再让密钥消失，最后把做过的每一件事与没能做的事一起写进处置记录。三句话可以概括这条流程的取舍——退役不是删除，是结算；先证明档案可用，再谈清除；能证明的写进记录，不能证明的写在明处。

对现场使用者而言，这套流程的实际价值不在技术细节，而在责任边界变清晰了：他知道交出设备之前该做什么，也知道交出去之后哪些事不再由工具承担。对审计方而言，价值在于处置记录把”数据已经不在了”从一句陈述变成一条可复核的链条。

参考文献

[1] Standards Australia / Standards New Zealand. AS/NZS 3760:2022 — In-service safety inspection and testing of electrical equipment and RCDs（文档与记录要求见第 2.6 节）: https://store.standards.org.au/product/as-nzs-3760 [2] The Lifting Operations and Lifting Equipment Regulations 1998, Regulation 11 — Keeping of information: https://www.legislation.gov.uk/uksi/1998/2307/regulation/11/made [3] Office of the Australian Information Commissioner. Australian Privacy Principle 11 — Security of personal information（APP 11.2 销毁或去标识化要求）: https://www.oaic.gov.au/privacy/australian-privacy-principles/read-the-australian-privacy-principles [4] Office of the Privacy Commissioner (New Zealand). Privacy Act 2020 — Information privacy principle 9, Retention of personal information: https://www.privacy.org.nz/privacy-principles/9/ [5] ISO/IEC 27001:2022, Annex A control 7.14 — Secure disposal or re-use of equipment: https://www.iso.org/standard/27001 [6] 密旋科技（KeyRotate Technology）端侧离线登记册工程说明：离线优先快照持久化、原子替换写入与自包含取证档案的内部结构（TagWorks / SlingGuard 共享架构）: https://keyrotate.com/blog/offline-register-backup-restore-transaction-integrity/ [7] Apple Inc. Data Protection classes（文件保护等级与元数据密钥包装）: https://support.apple.com/guide/security/data-protection-classes-secb010e978a/web [8] Apple Inc. Erase Apple devices（抹掉所有内容和设置与可擦除存储密钥销毁）: https://support.apple.com/guide/deployment/erase-devices-dep0a819891e/web [9] National Institute of Standards and Technology. SP 800-88 Rev. 2, Guidelines for Media Sanitization（2025 年 9 月发布，取代 SP 800-88 Rev. 1）: https://csrc.nist.gov/pubs/sp/800/88/r2/final [10] Apple Inc. iCloud data security overview（默认密钥托管与高级数据保护下的端到端加密范围）: https://support.apple.com/en-us/102651