2026年，我们把涉密载体管理里的 RFID 标签"做笨"了

我在首码信息做系统实施。今年一个涉密载体项目，头一版系统上线前被保密办叫停了一次。原因不是功能少，是给得太多。

老周问了三个问题，我们一个也没答利索

老周是那边的保密办负责人，干这行十几年。验收那天他没看界面，先问了三句：这批文件现在在哪一层柜子？上个月 14 号谁把它借出去过？如果我现在说这个文件找不到了，你能给我一条能签字负责的记录吗？

当时答得挺心虚。台账是有的，Excel 加纸质签收单，借还记录能对上，但要说清楚"哪一层柜子""14 号下午三点谁开的柜"，得翻半天。翻出来的还是人填的，不是系统自己记的。

老周说了句我后来记了很久的话：你们这套东西，别让我在检查的时候还得信人。

头一版，标签里塞了太多东西

回去改方案，先反思的是标签。

头一版挺"聪明"的：标签里写了载体编号、密级、责任部门，想着一扫全出来，离线盘点也方便。当时觉得这叫信息前置。

问题恰恰在这。无源标签谁拿个读写器在走廊里过一遍就能读，不用拆封、不用登记。把密级和责任人写进去，等于把一份小台账贴在了文件封皮上。保密法里讲知悉范围要限到该限的人，这一下把范围放大到了"所有能靠近这个文件的人"。

还有个更现实的麻烦：密级会变、保密期限会变、知悉范围也会变，标签里的数据是死的。变更一次就得重写、重贴，中间还容易出错。

后来定了条挺土的规矩：标签里只留一个不重复的 ID，别的一个字不放。密级、期限、知悉范围、责任人全放后台库里，跟这个 ID 关联。TID 区出厂就固化、改不了，拿它当身份证；EPC 区保持空白，用户区干脆不写。想往里多塞点东西的冲动，得忍住。

标签不认识自己贴的是什么，只有系统知道。同事开玩笑说这是把标签做笨了，我觉得挺准确。

无线这件事，在涉密场所是反着的

第二个卡住我们的，是无线本身。

UHF 这一套靠电磁波干活，读得远算优点。可涉密场所的逻辑正好反过来：要防的恰恰是信号往外跑。实施条例第 35 条对以无线方式接入涉密信息系统有明确要求，得符合保密和密码管理的规定和标准。原来打算在保密室布几个读写器、走无线网络回传，图纸画完自己先觉得不对——这不等于在屋里架了一圈持续发射的天线吗。

改法不复杂，但得下决心：

这么弄完，识别距离比常规资产盘点短了一大截，效率是降了。但涉密场景里，读得远不是本事，读得该读的才叫本事。

还有一层容易忽略的边界：制度管的是"这件事该不该发生"，系统管的是"它有没有发生、谁让它发生的"。这两件事不能混。后面所有设计都绕着这条走。

后来把系统拆成了三层

再改一版，划了三条边界。说起来不新鲜，边界清楚之后少扯了很多皮。

实物层只回答"我是谁"。文件、图纸、U 盘、硬盘、光盘，每件贴一个标签，标签的 ID 在发放时跟载体编号绑定，之后不再改。纸质用易碎防拆的，撕下来天线就断；U 盘硬盘这类金属壳得用带隔离层的抗金属标签，不然读距掉得厉害，这个返工过一次。

事件层只回答"刚才发生了什么"。制作、收发、传递、使用、复制、保存、维修、销毁，每个环节设一个动作点。实施条例第 27 条要求收发履行清点、编号、登记、签收，干脆把这八个字拆成系统里的四个字段：谁做的、几点、在哪台柜子、动作是什么，一次读写自动生成一条，人不用再填一遍。

这里有个顺序不能颠倒：审批在前，读写在后。借阅、复制、外出、销毁，先走完审批，RFID 只确认"这件事真的发生了"。早期图省事，让刷卡即视为合规，被老周挑出来了——刷到标签只说明东西动了，不说明手续齐了。

台账层把事件汇到后台，跟密级、期限、知悉范围放在一处，系统物理隔离，不接外网，跑在国产化环境里。三层之间只传 ID 和事件，不传载体内容，盘点的人看到的始终是一串编号，不是文件本身。

绝密级那部分几乎没敢动。条例第 29 条要求收发指定专人、传递两人以上同行、阅读使用在指定场所，复制还得原定密机关同意。系统里能配的就是双人认证和指定场所校验，剩下的靠人和制度。有同行喜欢把这块也写成全流程智能化，我不太建议，写得越满，现场越难对上。

顺便说一句资质。安全保密产品得符合保密标准并经过检测，涉密信息系统集成也要相应资质，系统投入使用前还有检测评估和审查。我们能把载体这一层的识别和留痕做扎实，涉及涉密系统集成的部分得由有资质的单位牵头。这话听着像往外推活，写进方案里客户反而放心。

上线后头一回盘点，又冒出两个小坑

批量读取的时候，柜里叠放的文件会互相挡，靠里侧那几件偶尔漏读。后来在柜内交叉布了天线，盘点按格轮询、开防碰撞，不是一次全扫。漏读少了很多，但也没到百分之百，所以流程上保留了人工复核一格的动作——不打算跟客户说系统能替代人。

另一个是标签被整片揭下来过。有份文件换封皮，标签被小心揭下贴到新封皮上，外观看不出来。后来在发放环节加了双人确认绑定：ID 和载体编号绑定时两个人签字，之后任何解绑都记事件；同时换成一撕就断的天线，天线一断，这个 ID 直接进失效名单。防不住所有情况，至少事后能查出来动过。

离线盘点还有个小细节值得记一笔。 handheld 终端断网时先把事件按时间存在本地，回到内网再续传；终端时钟必须跟内网对时，不然补传回来的记录在审计线上会插错位置。这类问题不大，但真到出事倒查，一条错位的时间戳就够解释半天。

这两个半都不算高技术，属于现场蹲出来的东西。写方案时通常不会写，我觉得反而比架构图有用。

日志能不能改，比日志记没记更要紧

老周第二个关心的是日志。他问：你们这个记录，谁能删？

问到点上了。台账记得再全，如果管理员能改，检查时它就不是证据，只是一份说明。

按分级保护里三员分立的思路做：系统管理员管运行，安全保密管理员管权限和密级，安全审计员单独一路，只有审计员能查看和导出完整操作记录，管理员碰不了日志。日志只追加、不覆盖，每条记录带前一条的哈希值串成链，改动任何一条后面就对不上；存储用国密算法加密。实施条例第 34 条要求建设保密自监管设施、定期开展安全保密检查和风险评估，绝密级和机密级以下的评估周期还不一样，这些做成了系统里的到期提醒，不靠人记。

审计员那把钥匙归保密办，不归我们，也不归信息中心。这条是老周坚持的，我认同。

这套做法什么时候不适用

得把代价说清楚，不然前面看着像在推荐方案。

读距压到二三十厘米、按格轮询，盘点速度比常规资产盘点慢；柜内加天线、全有线回传，柜子改造和后期维护的成本都上去了；还留了一格人工复核，没做到全自动。三样加起来，换到的是"每一件都能说到具体的人和时间"。这笔账不是所有单位都算得过来。

要是载体也就几百件，集中在两三个房间流转，一个月借还不了几次，一本签收本加定期清点可能更划算，迎检时也更好讲。只做非涉密侧固定资产盘点的，更不用照搬，常规 UHF 远场盘点效率高得多，没必要给自己加屏蔽和功率的约束。

判断标准其实挺朴素：看"出了事能不能说清楚"这件事对你有多贵。贵，就值得把识别距离和效率让出去；不贵，别为了上系统而上系统。

还有一句得说明白：这套东西不是保密措施。柜体、屏蔽、隔离、审批、双人、销毁流程，一样都不能少，那些才是本体。RFID 插在中间，只负责把发生过的动作记下来。

它只解决了"说得清"

跑了大半年，上个月老周那边做内部检查，要一份近三个月的外出携带记录，从系统里导出来，几分钟的事。他没夸系统，只说了句"这回不用翻本子了"。

要是你也在做类似项目，有个建议可能比选型更值钱：先把标签里能读到的东西删干净，再谈读得多快。