合同发票怎么长期存档：PDF/A 是什么、什么时候必须转、会损失什么
普通 PDF 只保证今天能看，PDF/A 才考虑十年后还能不能打开。本文讲清 PDF/A 的四个版本差别、哪些文件必须转哪些可以先放、转换前要做的准备工作，以及表单、脚本、签名在转换中的问题。
PDF/A 到底在解决什么问题
普通 PDF 只承诺一件事：在这个阅读器里长得一样。它不承诺十年后还能打开。普通 PDF 允许引用外部字体、外部图片链接，允许内嵌 JavaScript，允许用未来可能没人支持的压缩算法。只要有一个环节的版本换了、链接失效了，你手上这份「今天能看」的文件就可能打不开或者乱码。
PDF/A 做的事情是把这些外部依赖全部禁掉，并强制固化：字体必须完整嵌入且许可允许嵌入、必须有明确的色彩描述、不允许加密和脚本、必须携带标准的元数据。理解它只需要记住一句话：它是用灵活性换长期可读性的格式。
| 版本 | 年份 | 主要差别 |
|---|---|---|
| PDF/A-1b | 2005 | 最基础，要求外观可重现，不支持嵌入附件 |
| PDF/A-2b | 2011 | 支持对象流、JPEG2000，允许嵌入 PDF/A 附件 |
| PDF/A-2u | 2011 | 在 2b 之上要求文本有 Unicode 映射，可全文检索 |
| PDF/A-3b | 2012 | 允许嵌入任意格式附件，例如原始 XML、表格 |
| PDF/A-4 | 2020 | 对齐 PDF 2.0，保留更多现代特性 |
实务中建议把 PDF/A-2b 当默认选项：兼容性足够好，还能嵌入原始的结构化数据。需要全文检索就选 2u，代价是文件稍大。
什么时候必须转，什么时候不必着急
判断标准可以用两条：保存年限超过五年，并且需要在未知环境里被第三方读取。同时满足这两条就该转。合同、协议、会计凭证、审批文件都属于这一类，它们的共同特点是若干年后可能需要调出来举证或者接受检查，而那时没人知道对方会用什么软件打开。
反过来，半年内的沟通过程文件、内部草稿、等着改的版本，转了属于纯浪费时间。还有一类明确不建议转：靠交互和动画撑起来的营销材料、需要继续填写的空表单，PDF/A 会把它们压成静态，等于废掉主要功能。
| 文件类型 | 要不要转 PDF/A | 说明 |
|---|---|---|
| 会计凭证、报销单据 | 建议转 | 监管口径通常要求长期可读且不可随意改 |
| 已签署的合同协议 | 建议转 | 纸质原件保留，电子版用 PDF/A 备份 |
| 增值税电子发票 | 优先留原始版式文件 | PDF/A 只是一种封装，别替掉原始件 |
| 日常内部沟通文件 | 不必转 | 生命周期短，投入产出不划算 |
| 带动画或填表单的材料 | 不建议转 | 转换会压平成静态，功能丢失 |
真正决定二十年能不能读出来的，除了格式还有存储介质。硬盘五年就该换一轮，光靠一个格式标签解决不了所有问题。
正式转换之前的准备工作
转换失败最常见的原因是字体。PDF/A 要求字体必须嵌入，而有些商业字体在授权上明确禁止嵌入。这种文件转到一半会报「字体无法嵌入」的错误。处理办法只有两个：换成允许嵌入的字体重新导出，或者接受把这几页文字转成轮廓（矢量曲线），代价是不能再编辑和检索。
扫描件要在转换之前决定是否 OCR。PDF/A-2b 本身不要求文本层，但如果你想让十年后还能全文检索，就得先 OCR，并优先选用 2u 版本。这个顺序不能颠倒，因为 OCR 之后的重建有可能破坏已符合性的结构，最稳的做法是先 OCR 再转。
- 确认源文件没有打开密码，也不能带禁止打印之类的限制。
- 检查字体：把可疑的商业字体替换掉，或者确认许可允许嵌入。
- 扫描件先做 OCR，尤其是需要全文检索的档案。
- 补元数据：标题、作者、主题、关键词，日期统一用年月日格式。
- 决定批注和表单的去留：需要继续填写就别转，归档就压平。
- 先拿一份有代表性的文件试转，检查通过再做批量。
带电子签名的文件，顺序是先转 PDF/A 再签名，不是反过来。转换会重组文档对象，已经存在的签名很可能因此校验失败。
转成 PDF/A 会损失什么
最常被损失的有四类：可填写的表单字段（会变成静态内容，仍然看得见但不能填了）、JavaScript 和动态表单、外部引用的字体和链接、音视频等多媒体。另外，那种由「原图 + 文字层 + 背景」构成的分层 PDF，在部分转换路径下会被压成单层，之后想单独调整某一层就没机会了。
还有一个不那么明显的代价是颜色。PDF/A 要求文件必须声明色彩空间和输出意图，原来靠阅读器默认行为蒙混过关的专色、透明效果，转成 A 之后可能出现肉眼可见的偏差。所以要批量转换前，务必挑一份代表性的文件试转并打印出来对比，别全跑完才发现颜色变了。
如果你的文件里有印章或者手写签名，转换前把这一页单独导出、转换后再对比一遍。这部分一旦变形，文件的说服力会打折扣。
长期存档不只是格式：命名、校验与备份
文件名是大多数人唯一做不好却最要紧的事。别用「最终版」「最新版2」「已改」这种会随时间失效的命名，建议格式是「日期-类型-对方-编号」，比如 20261002-采购合同-某某公司-001。日期放最前面，文件夹里一排序就自动按时间走。同时避免中文括号、斜杠和空格，它们在不同系统之间传输最容易被改写。
再给每份文件算一个校验值（一般用 SHA-256）记到台账里，每年抽验一次。文件能打开不等于没损坏，硬盘上发生的静默损坏往往表现完好，不比对校验值你根本发现不了。这个动作几乎零成本，只要一个批量脚本就能跑完，但十年后调档时会救你一命。
备份记住 3-2-1：总共三份副本、至少两种不同介质、其中一份放在异地。很多单位年年喊要建电子档案体系，最后倒在「服务器那块盘坏了，第二个地方也没有」这种最朴素的环节上。归档这件事，介质比格式更容易出问题，别把预算全花在转换软件上。
归档目录建议按「年度 + 类型」两级组织，别超过三级。层级过深的结果是人自己都找不到，检索功能再强也没用。
归档之前最后一件：隐私与访问控制
合同和发票里经常暗藏着身份证号、银行账号、手机号、家庭住址。归档意味着这些东西会在系统里躺十年以上，泄露风险是随年限累积的。存档前用脱敏工具把不该长期保留的敏感段落涂掉，注意是真正删除并用黑块覆盖，而不是盖一层半透明的黑色矩形——后者文字还在，别人一按全选复制就露馅了。
还有一个容易搞错的点：PDF/A 不允许加密。也就是说你没法给归档后的文件加打开密码，访问控制必须落到文件夹权限、用户体系和存储系统本身上。指望用一个文件密码挡住未经授权的查看，在归档场景里是行不通的，这一点在和安全同事对齐方案时要说清楚。
归档版本一旦确定就别再改。需要在里面删一段、改一个错字，都应该生成新副本并重新登记编号，而不是覆盖原文件。
文中提到的在线工具
以下工具全部在浏览器本地运行，文件不会上传到服务器。
常见问题
转成 PDF/A 之后文件会变大吗？
多数情况下会略增几百分点的体积，因为要嵌入字体、写入 XMP 元数据。如果源文件本来就内嵌了完整字体，增幅可能不到 1%。反过来如果原来依赖系统字体没嵌入，一份中文文件增加几百 KB 到 1MB 也正常，这部分是必须付的成本。
已经签过电子签名的文件还能转 PDF/A 吗？
技术上可以转，但转完之后原来的签名通常会失效，因为电子签名绑定的是原始字节序列，任何对象重组都会破坏它。正确顺序是先转 PDF/A，再做签名，这样签名保护的就是符合归档标准的版本。
扫描件做成 PDF/A 有什么意义？
有，但价值有限，除非同时做了 OCR。只把一张没有文字层的图片转成 PDF/A，保证的是十年后这张图还能打开；做了 OCR 之后，还能保证那时可以全文检索。如果你们单位要求档案可检索，OCR 是必做项，而且要在转 PDF/A 之前完成。
怎么确认一个文件真的符合 PDF/A？
看文件的元数据。Adobe Acrobat 打开合规文件会在顶部显示一条蓝色提示条，也可以在印前检查里用 PDF/A 一致性规则跑一遍。另一个办法是查看文档的 XMP 元数据，里面会标明 conformsTo 的级别。不同工具给出的措辞不一样，认并列出来的版本号基本就够了。
Word 导出的 PDF 直接归档可以吗？
短期可以，长期不建议。Word 的另存为 PDF 对话框里有一个按 ISO 19005 标准（也就是 PDF/A）保存的选项，勾选之后导出就基本达标。WPS 也有类似的合规输出选项。从源头导出合规版本，比事后转换要干净得多，尤其能避免字体和透明度问题。