Pemeliharaan digital · Perkakasan · Risiko platform · Ringkasan PenyelidikanArkib peribadi · rekod terkini setakat September 2026
Empat mod kegagalan, bukan satu
Apa yang Sebenarnya Mengancam Arkib Foto Digital
Sebuah foto digital hanya bertahan selagi empat perkara berasingan berlaku serentak: media yang menyimpannya, bait yang membentuknya, format ia ditulis, dan syarikat yang menjalankan perkhidmatan storan itu. Setiap satu gagal dengan caranya sendiri, pada jangka masanya sendiri, dan satu salinan sandaran tidak melindungi daripada keempat-empatnya.
Apa yang Berlaku
Empat perkara boleh tersasar, dan setiap satu pernah tersasar, di suatu tempat, dengan rekod Digredkan mengikut sekukuh mana ia mantap, bukan mengikut bila ia berlaku.
- 1 daripada 1,500fail didapati rosak senyap dalam audit ~8.7 TB oleh CERN, 2007
- 99.8%kebarangkalian satu bit terbalik menjadikan fail termampat tidak boleh dibaca, CERN 2007
- 1.36%kadar kegagalan cakera keras tahunan bagi armada Backblaze, 2025
- 15 GBkuota percuma dikongsi yang kini dikira terhadap muat naik baharu Google Photos
Apa yang mantap, dan sekukuh mana Disusun mengikut kekukuhan; gred tidak dicampur dalam satu baris.
| Kekukuhan | Apa yang ditunjukkan rekod | Sumber |
|---|---|---|
| Disahkan | Audit dalaman CERN 2007 terhadap kira-kira 8.7 TB data pengeluaran mendapati 22 fail rosak antara 33,700 yang disemak — kadar satu fail rosak bagi setiap 1,500 — dan bahawa satu bit yang terbalik menjadikan fail termampat tidak boleh dibaca dengan kebarangkalian 99.8%. | CERN, 2007 |
| Disahkan | Armada 344,196 cakera keras yang dipantau Backblaze mencatatkan kadar kegagalan tahunan 1.36% pada 2025, menurun daripada 1.55% pada 2024. | Backblaze, Feb 2026 |
| Disahkan | Google menamatkan storan percuma tanpa had bagi foto dan video yang dimuat naik dalam Kualiti Tinggi; sejak 1 Jun 2021, muat naik baharu jenis itu dikira terhadap kuota percuma 15 GB Akaun Google yang dikongsi. | Google, Nov 2020 |
| Disahkan | Code42 menghentikan CrashPlan for Home, produk sandaran penggunanya, memberi pelanggan sedia ada kira-kira empat belas bulan untuk memindahkan data mereka sebelum perkhidmatan itu ditutup kepada mereka. | TechCrunch, Ogos 2017 |
| Disahkan | National Digital Stewardship Alliance (NDSA) mengeluarkan Versi 2.1 rangka kerja Levels of Digital Preservation, menambah panduan tentang kemampanan alam sekitar. | NDSA, Mac 2026 |
| Disahkan | SoftMaker menerbitkan nasihat sandaran praktikal untuk koleksi foto peribadi, termasuk peraturan 3-2-1. | SoftMaker, Ogos 2026 |
| Disahkan tetapi tidak dapat disahkan di sini | Incydr Backup Add-on milik Code42 berhenti menerima pesanan baharu pada 1 Januari 2026 dan dijadualkan mencapai penamatan hayat pada 31 Disember 2026, selepas itu sandaran yang diarkibkan dipadam. | Code42, melalui Backblaze, Sep 2026 |
| Tidak disahkan | Selain kes-kes yang dinamakan di atas, penyedia awan dan storan foto secara umum telah “menutup perkhidmatan, mengubah syarat, atau membatalkan tawaran percuma” sepanjang kira-kira lima belas tahun lepas — satu dakwaan yang dibuat tanpa nama atau tarikh lanjut. | SoftMaker, Ogos 2026 |
Garis Masa
Dua dekad empat jenis kegagalan yang sama Bertarikh seperti yang dinyatakan oleh setiap sumber.
- 2007CERN melengkapkan kajian dalaman yang mendapati kerosakan data senyap adalah nyata dan boleh diukur dalam storan pengeluaran, dan bahawa satu ralat bit menjadikan fail termampat tidak boleh dibaca dengan kebarangkalian 99.8%.
- 2017Code42 menghentikan CrashPlan for Home, meminta pelanggan berpindah sebelum perkhidmatan pengguna itu ditutup; Backblaze dan Carbonite dinamakan sebagai alternatif yang jelas.
- 2020Google mengumumkan ia akan menamatkan storan percuma tanpa had “Kualiti Tinggi” bagi Google Photos, berkuat kuasa Jun tahun berikutnya.
- 2021Perubahan Google Photos berkuat kuasa: hanya foto dan video yang dimuat naik dalam Kualiti Tinggi sebelum 1 Jun kekal dikecualikan daripada kuota percuma dikongsi 15 GB.
- 2022Code42 memisahkan perniagaan sandarannya kepada Mill Point Capital sebagai CrashPlan Group yang bebas; Code42 mengekalkan barisan produk Incydr dan kemudiannya digabungkan ke dalam Mimecast.
- Mac 2026NDSA mengeluarkan Versi 2.1 rangka kerja Levels of Digital Preservation, menambah perspektif kemampanan alam sekitar.
- 14 Ogos 2026SoftMaker menerbitkan nasihat sandaran praktikal untuk koleksi foto peribadi, termasuk peraturan 3-2-1 — tiga salinan, pada dua jenis media, satu disimpan di luar lokasi.
- 1 Jan–31 Dis 2026Incydr Backup Add-on milik Code42 berhenti menerima pesanan baharu pada 1 Januari dan mencapai penamatan hayat pada 31 Disember, selepas itu sandaran yang diarkibkan dipadam.
- 1 Sep 2026Backblaze menerbitkan penjelasan mengenai situasi Code42/CrashPlan untuk pembeli IT yang mempertimbangkan penggantian, menyatakan bahawa CrashPlan dan Code42 telah menjadi syarikat berasingan sejak 2022.
Bukan semua di sini membawa tarikh yang tepat. Penerangan format Library of Congress untuk JPEG dan spesifikasi DNG Adobe hanya menunjukkan tarikh “kemas kini terakhir” pada halaman — masing-masing 8 Mei 2024 dan 12 Mac 2025 — bukan bila penyelidikan asal itu ditulis. Rangka kerja Levels of Digital Preservation hanya menyatakan bulan bagi keluaran 2.1, iaitu Mac 2026. Dan spesifikasi pengekalan data JEDEC sendiri untuk pemacu keadaan pepejal langsung tidak dapat dibuka: setiap alamat yang dicuba di jedec.org memulangkan sekatan pengesanan bot, bukan sebuah halaman.
Hujah
Empat titik kegagalan, setiap satu bebas daripada tiga yang lain Dikaitkan dengan nama sumber yang membawanya.
Tiada satu pun daripada empat mod kegagalan di bawah bersifat hipotesis, dan tiada satu pun diselesaikan oleh yang lain. Satu salinan pada pemacu kedua tidak berguna jika sel pemacu itu sendiri telah senyap-senyap kehilangan cas elektriknya. Semakan yang mengesan kerosakan tidak berguna jika format fail yang dilindunginya berhenti dapat dibaca dalam sepuluh tahun. Dan sebuah syarikat boleh menunaikan setiap janji tentang lewahan dan pendedahan namun masih memutuskan, atas sebab komersialnya sendiri, untuk menamatkan produk itu.
Media itu sendiri mempunyai jangka hayat yang ditentukan, dan tanpa kuasa jangka hayat itu lebih pendek daripada sangkaan kebanyakan orang. Panduan sokongan IBM sendiri menerangkan dengan jelas keperluan JEDEC bagi pemacu keadaan pepejal peringkat perusahaan: sebuah pemacu yang telah mencapai penghujung hayat perkhidmatan yang ditentukan mesti masih mengekalkan datanya sekurang-kurangnya tiga bulan pada 40°C, sebab itulah IBM memberitahu pelanggan supaya menghidupkan sistem yang dimatikan selama dua minggu bagi setiap dua bulan ia dimatikan. Vendor storan Starline memberikan anggaran kasar mengikut jenis sel memori — kira-kira sepuluh tahun bagi cip satu-bit-setiap-sel yang paling lama, menurun ke arah tiga tahun bagi sel tiga-bit yang biasa pada pemacu pengguna hari ini — dan memberi amaran bahawa, dalam keadaan paling teruk, pemacu yang kerap digunakan boleh mula kehilangan data secepat empat bulan. Tiada satu pun daripada ini kecacatan; itulah tahap yang ditentukan oleh teknologi ini, sama ada pemacu itu berada dalam laci atau jauh di dalam almari.
Malah pemacu yang berkuasa dan berfungsi boleh senyap-senyap memulangkan bait yang salah, dan bukan salinan mahupun penyegerakan dapat mengesan ini dengan sendirinya. Dalam kajian CERN 2007, jurutera menyemak 33,700 fail (kira-kira 8.7 TB) berbanding checksum yang direkodkan dan mendapati 22 ketidakpadanan — kadar satu fail rosak bagi setiap 1,500. Penemuan yang lebih penting terletak di sebelahnya: bagi fail termampat, satu bit yang terbalik menjadikan keseluruhan fail tidak boleh dibaca pada 99.8% masa dalam ujian mereka. Sebuah foto yang disimpan sebagai JPEG termampat secara lalai, iaitu tepat kes yang digambarkan oleh penemuan itu. Dua sistem fail yang dibina untuk mengesan ini, OpenZFS dan Btrfs, mengira checksum bagi setiap blok semasa menulis dan mengesahkannya semula semasa membaca, dan OpenZFS boleh membaiki blok yang rosak secara automatik apabila lewahan wujud — tetapi tiada satu pun daripadanya menjadi lalai pada telefon, pemacu luaran runcit, atau perkhidmatan foto awan pengguna, jadi kebanyakan storan foto peribadi langsung tiada semakan setara yang berjalan.
Sesebuah fail juga perlu kekal boleh dibaca oleh sesuatu perisian, satu soalan berasingan daripada sama ada baitnya utuh. Library of Congress menggredkan format mengikut tujuh faktor — pendedahan, penerimaan, ketelusan, pendokumenan sendiri, pergantungan luaran, paten dan perlindungan teknikal — dan mengikut piawaian itu, JPEG (ISO/IEC 10918-1, disahkan masih terpakai pada 2017) “didedahkan sepenuhnya” dan “diterima secara meluas”; dua pertikaian paten mengenai pengekodan JPEG kedua-duanya diselesaikan tanpa membebankan format itu. Fail RAW asal sesebuah kamera adalah kes yang berbeza: kebanyakan pengeluar tidak menerbitkan spesifikasi setara bagi format RAW mereka sendiri, sebab itulah spesifikasi Digital Negative (DNG) Adobe yang diterbitkan secara terbuka — versi 1.6.0.0, Disember 2021, berserta lesen paten awam — wujud sebagai pilihan arkib yang boleh ditukar oleh jurugambar.
Penyedia yang menjalankan perkhidmatan itu ialah titik kegagalan keempat yang berasingan, dan ia tidak memerlukan sebarang ralat atau niat jahat untuk menyekat akses anda — satu keputusan perniagaan sudah memadai. Google mengubah syarat storan foto percumanya pada 2020. Code42 menghentikan produk sandaran penggunanya pada 2017 dan sedang menamatkan secara berperingkat satu tambahan sandaran perusahaan yang berasingan sehingga 2026, selepas itu sandaran terarkib yang disimpannya dipadam. Catatan nasihat SoftMaker sendiri turut menamakan risiko ini secara umum, memberi amaran bahawa penyedia boleh “menutup perkhidmatan, mengubah syarat, atau membatalkan tawaran percumanya” — satu dakwaan yang dijadikan konkrit oleh tiga kes bertarikh ini.
Apa yang Ditambah oleh Sumber Lain
Perincian di sebalik setiap satu daripada empat perkara Mekanisme, piawaian dan satu rangka kerja profesional, daripada sumber selain dua catatan nasihat sandaran itu.
Tadbir urus format
Pendedahan itulah yang membolehkan sesuatu format terus hidup melangkaui dekadnya sendiri
- JPEG (ISO/IEC 10918-1) disemak dan disahkan semula masih terpakai pada 2017, dan digredkan “didedahkan sepenuhnya” serta “diterima secara meluas”.
- Dua pertikaian paten mengenai pengekodan JPEG (Forgent Networks, 2002–2006; Global Patent Holdings, 2007–2009) kedua-duanya diselesaikan menentang pihak yang menuntut.
- Spesifikasi DNG Adobe (v1.6.0.0, Dis 2021) digredkan “didokumenkan sepenuhnya”, berserta lesen paten awam yang diberikan Adobe kepada sesiapa yang melaksanakannya, dan digunakan dalam Apple ProRAW.
Menyemak bait, bukan sekadar menyalin
Dua sistem fail terbuka mengira checksum bagi setiap blok secara lalai
- OpenZFS mengira checksum bagi setiap blok semasa menulis dan mengesahkannya semula semasa membaca, membaiki blok yang rosak secara automatik apabila salinan cermin atau RAID wujud.
- Scrub berkala OpenZFS membaca keseluruhan kolam storan mengikut jadual, khusus untuk mengesan reput bit terpendam sebelum pembaca memerlukan fail yang rosak itu.
- Btrfs turut mengira checksum bagi data dan metadata secara lalai, dengan CRC32C sebagai lalai dan XXHASH, SHA-256 atau BLAKE2b tersedia untuk perlindungan lebih kukuh.
- Tiada satu pun daripadanya menjadi lalai pada telefon, pemacu luaran runcit, atau perkhidmatan foto awan pengguna.
Apa yang sebenarnya menghadkan pemacu tanpa kuasa
Pengekalan itu ditentukan, dan ia merosot dengan haus dan haba
- IBM: spesifikasi SSD perusahaan JEDEC memerlukan pengekalan 3 bulan pada 40°C sebaik sahaja pemacu mencapai penghujung hayat perkhidmatan yang ditentukan; IBM mengesyorkan menghidupkan sistem yang dimatikan selama dua minggu setiap dua bulan.
- Starline: anggaran pengekalan mengikut jenis NAND — kira-kira sepuluh tahun bagi SLC, menurun ke arah tiga tahun bagi sel TLC yang biasa pada pemacu pengguna; keadaan paling teruk, secepat empat bulan pada 40°C, penghujung hayat.
- Dokumen spesifikasi JEDEC sendiri (JESD218) tidak dapat dibuka pada mana-mana alamat yang dicuba; ini ialah penerangan vendor tentang apa yang dikehendaki piawaian itu, bukan piawaian itu sendiri.
Pendekatan berperingkat, bukan satu item senarai semak
Pemeliharaan dianggap sebagai tangga kematangan, bukan ya/tidak
- Rangka kerja Levels of Digital Preservation, mula-mula diterbitkan pada 2013, mencapai Versi 2.0 pada 2019 dan Versi 2.1 pada Mac 2026.
- Semakan 2.1 menambah panduan untuk menimbang kemampanan alam sekitar berbanding keputusan pemeliharaan, tanpa mengubah tahap asas.
- Matriks terperinci rangka kerja itu sendiri dihoskan pada laman yang dipapar oleh JavaScript dan tidak dapat dibaca secara langsung, jadi kriteria berperingkat khususnya tidak dihasilkan semula di sini.
Kesimpulan
Tiada satu pun daripada empat pertahanan menggantikan yang lain Apa yang perlu dilakukan bagi setiap satu, dan apa yang perlu dipegang longgar.
- Sebarkan salinan merentasi lebih daripada satu jenis media dan lebih daripada satu vendor, bukan sekadar lebih daripada satu pemacu — kecacatan pembuatan atau perisian tegar boleh menjejaskan setiap unit model yang sama serentak.
- Semak salinan itu sendiri, bukan sekadar kewujudannya: buka beberapa fail daripada setiap sandaran secara berkala, kerana fail yang rosak biasanya tidak memberi sebarang amaran sehingga ia dibuka.
- Apabila storan berada di bawah kawalan anda sendiri — sebuah NAS di rumah, misalnya — sistem fail yang mengira checksum semasa menulis dan menyapu bersih secara berkala (OpenZFS, Btrfs) mengesan kerosakan yang tidak akan pernah dikesan oleh salinan biasa.
- Simpan sekurang-kurangnya satu salinan dalam format yang diterbitkan secara terbuka dan disokong secara meluas — JPEG untuk foto siap, DNG dan bukan RAW proprietari kamera untuk fail asal — kerana format yang hanya boleh dibaca oleh satu syarikat adalah satu lagi cara untuk kehilangan fail tanpa menyentuh baitnya langsung.
- Jangan biarkan mana-mana satu penyedia menjadi satu-satunya tempat sesuatu salinan wujud, dan baca apa yang sebenarnya dijanjikan oleh sesuatu perkhidmatan sebelum bergantung pada peringkat percumanya — kuota percuma boleh menyusut, dan sebuah syarikat boleh dijual, dipisahkan atau ditamatkan.
Apa yang perlu dipegang longgar
Angka CERN 2007 menggambarkan infrastruktur satu pusat pengkomputeran penyelidikan pada zaman itu; tiada kajian susulan yang setanding perincian pada skala itu ditemui, jadi kadar sebenar itu perlu dianggap sebagai gambaran bahawa kerosakan senyap adalah nyata dan pemampatan meningkatkan kosnya, bukan angka semasa bagi mana-mana peranti tertentu. Jadual masa Incydr Code42 disahkan secara silang, bukan disahkan secara bebas pada sumbernya sendiri, yang memulangkan sekatan pada setiap percubaan untuk membukanya.
Sebuah foto memerlukan empat perkara terus betul, bukan satu
Media yang berfungsi, bait yang disemak, format yang boleh dibaca, dan penyedia yang masih wujud tahun depan adalah empat syarat berasingan, setiap satu dengan sejarah kegagalannya sendiri. Memenuhi keempat-empatnya bukan sesuatu yang automatik, dan ia juga tidak eksotik — ia cuma segenggam pilihan khusus yang boleh disemak, diulang.