摘要 · Summary
數位保存 · 研究簡報消費級建議實測 · 2026
執行摘要 · 單頁綜覽
三份副本還不夠 — 要驗證位元組
保存數位照片的標準建議 — 三份副本、一份異地、並確認備份確實跑過 — 擋得住那些容易想像的損失：手機摔壞、服務關站、免費空間無聲用滿。但它擋不住讀者在留言區裡反覆描述的那一種：光碟或硬碟明明還在手上，卻已經無法解碼。這套建議從來沒問過位元組是否仍與當初相同，也沒問過二十年後還有什麼裝置讀得懂這個媒介。補上兩件事，缺口就補起來了。第一，替每個檔案記下它應有的雜湊值，並定期重新核對 — 檢查碼負責偵測損壞，冗餘負責修復損壞，兩者缺一不可。第二，衡量任何媒介都取兩個數字的最小值：它自身的標稱壽命，以及讀取裝置還會存在多久 — 後者幾乎總是較短的那一項，而且沒有人公布它。
關鍵數據 壽命 · 治理 · 耐久
- 1 年消費級 SSD 於 30 °C 斷電後的規範保存下限 — 每升高 5 °C 再對半砍
- 0來源文章中提及檢查碼、完整性核驗，或驗證檔案內容的次數
- LTO-10標稱近三十年的磁帶，其機器完全不讀任何前代媒體
- 約 200 年顏料噴墨沖印的標稱耐久 — 唯一一種讀取工具不會被停產的媒介
標準建議停在哪裡 四種失效模式，兩個盲點
| 失效模式 | 擋得住？ | 真正擋得住的是什麼 |
|---|---|---|
| 裝置遺失或損壞 | 是 | 第二份獨立副本 — 這個領域裡最老的建議，也依然是最好的。 |
| 服務關站、空間用滿 | 部分 | 異地副本能保住畫素。但匯出往往保住畫素，卻丟掉標籤、評分與相簿。 |
| 位元組原地改變 | 否 | 定期重新核對已存的雜湊值；帶檢查碼的檔案系統每月 scrub；再加上百分之五到十的修復區塊。 |
| 沒東西讀得懂這個媒介 | 否 | 以讀取裝置的可得性而非標稱壽命來選媒介 — 並在讀取裝置消失之前先遷移。 |
全文結構 起 · 承 · 轉 · 合
| 段落 | 頁 | 內容 |
|---|---|---|
| 起 · 承 脈絡 | 2 | 照片的三個必要條件、它們為何是取最小值，以及各媒介真正的標稱壽命。 |
| 轉 轉折 | 3 | 改變整套建議的兩個缺口：驗證內容，以及格式支援其實是治理而非衰減。 |
| 合 結論 | 4 | 照片服務實際上怎麼失效 — 五種機制 — 以及能撐過這一切的流程。 |
總結
副本防的是事件，唯有驗證才防得住時間。一個靜默損壞的檔案複製三份，就是三個壞檔 — 而同步還會照表操課、完全依設計，替你把損壞散佈到每一台裝置。
重新定位
不要問媒介能撐多久，要問還有多久有東西讀得懂它 — 以及那一天到來時，你會不會察覺。
起承 · 脈絡 · 內容 1 / 3
起 — 三個條件，一個最小值 原本的框架，與它需要的修正
鞋盒框架 · 原文論點
裝置、服務、格式
- 沖印照片不需要電、不需要密碼、也不需要訂閱。數位影像卻需要一台能開機的裝置、一個還在營運的服務，以及一種讀得懂的檔案格式。
- 照片是因疏於照顧而失去，不是因天災 — 多數人終究會遺失一部分照片並非危言聳聽。
- 同步只是把當下狀態鏡像出去，一次刪除就會傳到每一台裝置。備份的本質是獨立性，而非複製。
- 免費空間會無聲用滿、服務會關站、斷電的 SSD 確實是糟糕的保存媒介。這三點都經得起檢驗。
修正 · 一個取最小值的函數
min(媒介, 讀取裝置)
- 這三個條件並不是三個要各自處理的風險。它們構成一個最小值：由最短的那一項決定，其餘就不再重要。
- 沒有讀取機，百年光碟一文不值 — 而廠商是刻意切斷讀取相容性，不是意外。
- 沖印照片之所以特別，不是因為紙耐久，而是因為它的讀取工具不會被停產。眼睛永遠不會停止支援。
- 「讀得到」和「適合典藏」是兩件事：某國家圖書館列為首選的靜態影像格式，依 MDN，只有一款瀏覽器支援。
承 — 各媒介的標稱壽命 數字 · 出處 · 真正的限制
| 媒介 | 標稱保存期 | 數字出處 | 真正的限制 |
|---|---|---|---|
| 消費級 SSD（斷電） | 30 °C 下 1 年 | 一份 JEDEC 標準，經四個二手來源轉述 — 原始文件無法取得。 | 每升 5 °C 減半；圖表上最壞情況約一週。 |
| 硬碟（斷電） | 未公布 | 找不到任何廠商規格；現有來源彼此矛盾。 | 潤滑劑遷移與磁頭黏著，而非磁性衰減。 |
| 硬碟（運轉中） | 每年 1.36 % | 某大型營運商 2025 年的機隊統計，每年公布。 | 該數字是搭配主動更換得出的，不是放著不管。 |
| 可燒錄光碟 | 視等級而定 | 一套僅模擬溫度與濕度的 ISO 測試方法。 | 染料化學與製造批次比格式名稱更決定命運。 |
| 無機層光碟 | 100 年以上至 1,000 年 | 下限是研究機構的評等；上限是廠商外推。 | 現在零售品的配方無人公開，因此無人能驗證。 |
| LTO-10 磁帶 | 約 30 年 | 一個經銷商頁面 — 標準組織自家網站並無此數字。 | 該機器只讀 LTO-10 媒體，且是刻意設計。 |
| 顏料噴墨沖印 | 最高約 200 年 | 某檢測機構的評等，出自墨水廠自己的新聞稿。 | 解析度、容量與單張成本 — 而不是壽命。 |
其中兩列就承載了整篇論點。LTO-10 是一種三十年壽命的媒介，卻配上一台什麼都不讀的機器 — 這次相容性斷裂是刻意為之，為了容納新的磁頭設計，也終結了「每一代都能往前讀兩代」的長期慣例。同一道牆的消費者版本，就寫在來源文章自己的留言區裡：一位讀者因為單純的作業系統不相容而失去照片。標稱壽命是廠商願意公布的數字，因為它好看；真正會到期的是讀取裝置的可得性，而那個數字根本沒有人公布。
- 2 → 0磁帶機過去能往前回讀的世代數 — LTO-10 一代都不讀
- ×½ / 5 °C儲放溫度每升 5 °C，斷電 SSD 保存期即減半
轉 · 轉折 · 內容 2 / 3
轉 — 沒有人驗證的那種損失 先偵測，再修復 — 缺一不可
標準的驗證步驟是「確認備份真的有在跑」。那只證明了工作排程有執行，完全沒說位元組是否還是原來的位元組。靜默損壞是可量測且不為零的：硬碟的不可修正位元錯誤率，換算下來大約每讀取一百 TB 就預期出現一次錯誤 — 在現代大容量硬碟上，那只是三、四次完整讀取。照片對此特別脆弱，因為 JPEG 的熵編碼是變長的：單一位元翻轉會毀掉直到下一個同步點之間的所有符號，而一般解碼器即使在格式部分允許的情況下，也根本不嘗試重新同步。請留意這是哪一種失效：檔案在、備份跑過了、每一份副本都在該在的位置 — 而照片還是沒了。能擋住它的紀律叫做完整性核驗（fixity），典藏機構把它當成一項有名字、會反覆執行的功能，是其成熟度模型五大領域之一。它的原則值得背下來：檢查碼負責偵測損壞，冗餘負責修復損壞，兩者缺一不可。
- 4 個月兩次完整性 scrub 之間的上限；每月一次才是常態
- 5–10 %修復區塊的空間成本，無需第二份完整副本即可修復
建議的穩固處與吃緊處 六項主張，逐一對照證據評分
| 主張 | 穩固 | 吃緊 |
|---|---|---|
| 同步不是備份 | 完全正確，也是全文最有價值的一句。 | 完全沒提雲端的刪除時鐘：長期不登入與超額都可能觸發刪除。 |
| SSD 斷電會掉資料 | 正確，而且說得太保守 — 規範下限是一年，不是「數年」。 | 沒有給數字，讀者因此看不出這是全文最硬的一項主張。 |
| JPEG 會一直讀得到 | 經得起檢驗：JPEG、PNG、GIF、WebP、BMP 在每一款主流瀏覽器的所有版本都支援。 | 它指出的風險錯了：真正的風險是主流相機的預設輸出 — 各廠專有 RAW。 |
| 三份副本、兩地點、一異地 | 三份副本、一份異地，方向正確，也勝過多數人的現況。 | 原始規則說的是兩種不同媒介。兩顆硬碟不管放多遠，都不是兩種媒介。 |
| 依年份與場合整理 | 六項建議中最耐久的一項：檔案系統是你唯一真正擁有的部分。 | 卻沒說整理結果可以與畫素分開遺失 — 而這正是服務匯出時會發生的事。 |
| 把重要的印出來 | 正確 — 而且是這裡唯一完全不依賴讀取裝置的媒介。 | 卻被寫成情感上的附加選項，儘管其標稱耐久遠超過「數十年」。 |
格式支援是治理問題，不是衰減問題 一連串決定的年表，而非磨損的年表
- 2008一家專業照片典藏服務僅給客戶約 24 小時通知，期間還一度以佔位圖代替客戶自己的照片。
- 2019一家大型照片平台把免費帳號從 1 TB 砍到 1,000 張，接著主動刪除超額內容，從最早上傳的開始。
- 2020一家相機廠的服務有序關閉：畫素可以匯出，標籤、評分、標題與相簿卻不在匯出範圍內，就此消失。
- 2020同一家廠商的一次搬遷錯誤摧毀了長期保存的原檔。補救方式是把 2048 像素的縮圖當成原檔還回去。
- 2021最大的消費級照片服務結束免費無限備份；留下的免費層會重新壓縮你上傳的一切。
- 2022一款主流瀏覽器以「興趣不足」為由，移除了它已經推出的一種新式影像格式支援。支援不會衰減，是被撤回的。
- 2023另一款瀏覽器推出了第一款已刪除的同一種格式 — 僅部分支援，卻是一致否決局面的首次真正裂縫。
- 2026該格式以實驗旗標形式回到第一款瀏覽器 — 而一種開放、內含檢查碼的典藏用 RAW 格式終於成為 ISO 標準。
合 · 結論 · 內容 3 / 3
合 — 服務實際上是怎麼失效的 五種機制，而非一種
| 模式 | 發生什麼 | 留下 | 消失 |
|---|---|---|---|
| 驟然倒閉 | 募資失敗。通知以小時計，伺服器被所有人同時下載壓垮。 | 來得及抓的部分 | 沒抓到的一切 |
| 條款變更 | 免費方案針對已存資料重新定義 — 先給期限，再刪除超額部分。 | 符合新上限的部分 | 最早上傳的先消失 |
| 有序結束 | 確實提供可用的匯出，而且真的有效 — 但只含影像檔。這是最沒人預先設想的一種。 | 畫素 | 標籤、評分、標題、相簿 |
| 服務端錯誤 | 為暫存而寫的程式碼，在一次搬遷中跑到了長期儲存上。 | 縮圖 | 全解析度原檔 |
| 設計如此 | 根本不算失效：長期不登入與超額的時鐘會照表刪除，通知期則埋在條款裡。 | 你登入保住的部分 | 你忘了造訪的部分 |
四個可據以行動的數字 可驗證，而非口號
- 2兩種不同的媒介，不是兩顆硬碟 — 這是通俗版規則悄悄漏掉的那個字
- 6–12 個月離線硬碟兩次通電之間的間隔；同時執行完整性核驗，讓它維持成一個習慣
- 5照片服務失效的五種不同機制 — 其中只有前兩種，異地副本真的擋得住
- 2026開放、內含檢查碼的典藏型 RAW 格式，終於成為 ISO 標準的那一年
能撐過這五種的日常流程 六個步驟，一年一到兩次
- 01匯入從手機取出
- 02轉檔RAW 轉 DNG
- 03取雜湊入庫時記錄
- 04複製兩種媒介，一份異地
- 05核驗重新核對並修復
- 06沖印最重要的那些
建議 先講已有定論，後講仍有爭議
- 留一份同步碰不到的副本。平常不插電的硬碟、開啟版本控制的儲存桶，或只可附加的目標。關鍵是獨立性，不是份數。
- 先記下雜湊值，再定期重新核對。檔案系統能代勞就每月一次；否則替不可取代的那部分存下雜湊值，再加上修復區塊。
- 別把 SSD 當作離線保存的那一份。改用硬碟或光碟，並在通電的同一次就完成核驗 — 一個習慣，不是兩個。
- 把相機 RAW 轉成開放的典藏型 RAW。規格公開、內含檢查碼、獲圖書館推薦，並自 2026 年 3 月起成為 ISO 標準。交付仍用 JPEG。
- 在檔案系統裡整理，不要只在 App 裡。年份與場合寫進資料夾名稱，說明寫進檔名或 sidecar — 這是服務結束時帶不走的部分。
- 每個數字都要連著出處一起讀。離線硬碟壽命從未公布；光碟與沖印的數字出自與廠商相關的測試。依機制行動，不要依年數。
最終落點
那套常見建議能撐過裝置遺失、服務關站與空間到期 — 卻仍會敗給讀者自己描述的那種失效。補上內容驗證，以 min(媒介壽命, 讀取裝置可得性) 衡量每一種媒介，並在讀取裝置消失之前而非之後完成遷移。這樣一來，「也能保存一輩子」這個結語才會是事實，而不只是願望。