定义
Audit Trail（审计追溯）指对系统操作、状态变更、数据处理等行为进行不可篡改的日志记录，形成可追溯的审计链。在 ICMP 中，Audit Trail 支持合规审计、GDPR 申报、Reconciliation 对账追溯、安全事件调查，是跨境物联网平台合规与风控的基础能力。
记录范围
Audit Trail 通常记录：用户操作——登录、登出、配置变更、API 调用；业务事件——SIM 激活、暂停、计费、结算；数据访问——敏感数据查询、导出、删除；系统事件——权限变更、密钥轮换、异常告警。每条记录需包含时间戳、操作者、操作类型、对象标识、变更前后值、IP 等，满足「谁、何时、做了什么、结果如何」的完整追溯。
合规要求
GDPR、PCI DSS、DPA 等均要求对数据处理活动进行审计。Audit Trail 需具备防篡改、长期存储、可检索能力；敏感操作需保留至少 7 年（视法规而定）。跨境场景下，审计日志的存储位置需符合 Data Residency 与 Data Localization 要求；支持按客户、按租户隔离，满足多租户合规。
在 ICMP 中的应用
达希物联 ICMP 的 Audit Trail 覆盖平台全链路：管理员操作、客户 API 调用、SIM 生命周期变更、计费与结算记录、跨境计费 与 多币种结算 等。支持按时间、操作类型、对象 ID 检索，导出审计报告，满足客户审计、监管检查与内部风控需求。
一条记录要能还原的操作事实
审计追溯记录的不是系统心跳，而是一次会改变权限、订阅、费用或个人数据的动作。能还原的事实至少包括：谁发起、代表哪个租户、在什么时刻、对哪个对象、做了哪类操作、成功还是失败。对象要用稳定标识，例如卡标识或客户编号，不能只写页面上的显示名称。时间应带时区或统一使用协调世界时，否则跨境团队会把同一事件排成相反顺序。
变更类操作还要留下前值和后值。把套餐从甲改成乙，只写“已更新套餐”，事后无法知道甲是什么。查询类操作若涉及导出详单、位置或联系人，也要记下查询范围和导出字段，但不该把密钥、口令、完整支付凭证写进日志。审计记录一旦生成，操作员不应再编辑；更正错误要追加一条新记录，说明更正了哪一条，而不是覆盖原文。
日志能被当作证据时的保存条件
要拿来对内追责或对外配合检查，保存条件比采集字段更严格。记录应追加写入，和业务库分开存放；备份、归档和检索权限按租户隔离。保存期限由目的决定：账单争议、安全调查和数据保护要求的期限不必相同，不能用一个“永久保存”代替判断。存放地还要符合数据属地。欧盟客户的操作记录若被同步到未约定区域，记录本身就变成一次违规处理。
时钟和身份同样是条件。各节点时间不同步，日志无法排序。接口调用若只记网关地址、不记解析后的客户端标识，就分不清是客户系统还是平台管理员所为。控制台登录、接口调用和服务间任务要能连到同一次业务动作上，否则激活失败时只能看到三个互不引用的片段。与数据处理协议里约定的审计配合范围应当一致，协议没写的日志类型不要默认向客户全量开放。
只记结果不记前后值的追溯缺口
只记成功结果，是审计里最常见的空洞。失败的权限变更、被拒绝的导出、超时后不确定是否执行的写操作，恰恰是调查时最需要的。把失败记成没有发生，事后会以为系统从未收到请求。另一类缺口是用可编辑的管理表充当日志，出问题的人可以删掉自己的记录。第三类是日志里复制了个人数据全文，日志系统的访问面比业务库还大，保护目的被反过来破坏。
关联号丢失也会让完整字段失效。网关、计费和卡管理各自记一条，没有同一个请求号，就拼不出“谁把这张卡暂停了”。批量任务只记“批次完成”，不记批次里每一张卡的前后状态，单卡投诉无法回答。跨境场景还要把日志的存放区域写进记录或索引，否则无法证明当时的数据没有离开约定区域。排查时先核对身份、对象、前后值和关联号是否齐全，再讨论保存了多久。需要对外提供时，应导出最小字段，并在数据保护流程里登记这次导出。
导出审计材料时要限制字段和时间范围，并记下是谁导出的。把整库交给外部检查人员，会让日志里的个人数据扩大传播面。抽样核对可以选一条卡状态变更，沿请求号找到网关、业务库和运营商回执，三处的前后值应当一致。对不上时，先补采集缺口，不要用后来的数据库当前值冒充当时的日志。时钟校正之后，新记录应带校正来源，避免把校正前的旧时间直接拿来排序。