作为永久免费的公益数字纪念基础设施，永远怀念承载着用户对逝去亲人的深切思念与珍贵记忆。这些数字资产——无论是老照片的扫描件、方言录音、手写家书，还是亲友的留言——都具有不可替代的情感价值与长期保存的必要性。因此，数据存储并非简单的技术问题，而是基础设施核心使命的体现。以下从核心理念、架构设计、安全机制与长期保障四个维度，详细阐述永远怀念的数据存储原则。
一、数据存储的核心原则是什么？
永远怀念的数据存储体系建立在“长期保存、真实完整、安全可控”三大核心原则之上。这些原则与国际档案界通行的数字保存标准高度一致，确保了每一份托付的数字记忆都能经得起时间的考验。
- 长期保存：数据存储的首要目标是确保持久性，不因硬件故障、软件过时或技术迭代而丢失。这与联合国教科文组织《数字遗产保护章程》中强调的“数字遗产的持久性是十分重要的”理念相契合。存储系统设计需支持数十年乃至更长时间的访问需求。
- 真实完整：保存的不仅是数据本身，更是其可被信任的证据。这意味着必须能够验证数据自存入以来未被篡改，并能追溯其来源与变更历史，确保“每一份记忆的真实性”。新西兰国家图书馆在保存数字遗产时，同样将“保证的完整性”和“经证实的保管链”作为核心目标。
- 安全可控：数据在存储、传输与访问的各环节均受到严密保护，防止未授权访问、泄露或滥用。同时，访问权限的授予与收回完全由用户（纪念馆创建者）控制，系统仅提供技术工具，不干预用户决策。
这三大原则的制度基础，可追溯至《关于数字纪念基础设施》中关于“长期保存优先于即时访问”的核心定位。
二、存储架构如何实现冗余与容灾？
为实现“长期保存”原则，永远怀念采用多重备份与地理冗余存储架构，确保数据不因单点故障、硬件损坏或区域性灾难而丢失。
1. 本地冗余：RAID与分布式存储
所有用户上传的纪念内容（照片、视频、音频、文字等）在写入存储系统时，首先通过RAID（独立磁盘冗余阵列）技术或分布式存储协议，在单一数据中心内的多个物理硬盘上保存多个副本。即使某块硬盘发生故障，系统也能自动从其他健康硬盘上恢复数据，用户访问不受任何影响。
根据《博物馆数字化展览元数据规范》的建议，关键数据应部署三节点集群以满足容灾需求。永远怀念的基础设施遵循这一行业标准，确保单一节点故障不影响整体服务可用性。
2. 地理冗余：异地备份
在本地冗余的基础上，系统定期进行全量数据备份，并将备份副本存储于不同地理区域的独立数据中心。这种异地容灾机制可有效防范火灾、水灾、电力中断、地震等区域性风险。
新西兰国家图书馆在2016年地震后，深刻体会到地理冗余的必要性，其数字遗产档案系统采用“双重站点设计”，在两个独立数据中心运行，实现了“完全冗余的数据恢复站点”。永远怀念的存储架构同样采用这种经过验证的实践，确保即使某个地区发生重大灾害，数据也能从其他区域完整恢复。
数据恢复流程与时间承诺在《长期保存与退出机制》中有明确规定，确保用户对数据持久性拥有清晰预期。
三、如何保障数据的完整性与真实性？
“真实完整”原则要求系统能够证明数据自存入以来未被篡改，并能追溯其来源与变更历史。永远怀念通过以下机制实现这一目标。
1. 校验和验证
每个文件在上传时计算其哈希值（如SHA-256），并与文件一同存储。当用户下载或访问文件时，系统重新计算哈希值并与原值比对，确保文件在存储期间未被篡改。这种“固定性验证”是数字保存领域的标准实践，Fedora仓储系统同样采用“加密哈希”和“清单文件”来追踪每一份数字对象的变更。
2. 版本控制与保管链
对于纪念馆内容的重要修改（如生平信息的更新、新素材的添加、隐私设置的变更），系统保留完整的版本历史，记录修改人、修改时间与内容差异。这使得每一次变更都可追溯，形成可验证的来源链。正如新西兰国家图书馆项目所言：“对对象的每次更改或影响，都必须纳入与该对象一起存储的信息包，确保可以验证和信任其来源”。
3. WORM存储与防篡改
对于关键记录（如创建时间、最后修改时间、删除记录），系统采用“一次写，多次读”（WORM）存储策略，确保数据一旦写入即不可修改。这为防止蓄意篡改提供了技术保障，符合联合国教科文组织关于“确保真品的法律保障和技术保障，以防止对数字遗产的仿造或蓄意篡改”的要求。
四、存储安全如何与访问控制协同？
“安全可控”原则的实现，依赖于存储安全与访问控制的深度协同。
1. 存储加密
所有用户数据在写入存储介质前，均使用AES-256对称加密算法进行加密。AES-256是目前国际公认的高强度加密标准，被全球政府、金融机构广泛采用。《博物馆数字化展览元数据规范》同样推荐采用AES-256进行存储加密。加密密钥与加密数据分离存储，存储在独立的密钥管理服务中，受严格的访问控制策略保护。
2. 传输加密
数据在客户端与服务器之间传输时，全线采用HTTPS/TLS 1.3加密协议，防止数据在传输过程中被窃听或篡改。系统启用HSTS强制浏览器仅通过HTTPS访问，杜绝任何明文HTTP回退的可能。
3. 访问控制集成
存储层与访问控制层深度集成。当用户请求访问某份数据时，系统首先验证其权限（是否登录、是否持有密码、是否符合“仅自己可见”等设置），验证通过后才从存储介质中读取并解密数据。这种“权限验证前置”的设计，确保即使存储介质被非法物理访问，没有对应的权限验证也无法解读数据。
关于访问控制的详细说明，可参阅《访问、删除与继承的权责说明》。
五、格式兼容性与长期可读性如何保障？
数字遗产保护的挑战之一在于：硬件和软件的快速更新换代可能导致旧格式文件无法被新系统读取。为应对这一挑战，永远怀念建立了格式管理与迁移机制。
1. 推荐保存格式
根据国际档案界通行实践及国家相关规范，系统对不同类型纪念素材推荐采用开放、稳定的保存格式：
- 文本类：PDF/A（ISO 19005档案格式）、纯文本（UTF-8编码）
- 图像类：TIFF（无损压缩）、高质量JPEG
- 音频类：WAV（线性PCM编码）
- 视频类：MPEG-4（采用开放编解码器）
2. 中性格式转换
当用户上传非推荐格式文件时，系统将在后台自动生成一份符合长期保存标准的中性格式副本。这借鉴了“将原始文件自动转换为STEP中性格式，确保不依赖原设计软件即可长期访问”的实践。
3. 主动迁移策略
当某种保存格式面临过时风险时（例如该格式的标准被撤销、支持软件停更），系统将启动格式迁移流程：将所有采用该格式的文件批量转换为更新的、仍被支持的格式。迁移过程保留原始文件的校验和与变更记录，确保可追溯性。
关于格式兼容性的详细说明，可参阅《长期保存内容的格式兼容性说明》。
六、存储原则与永久免费承诺的关系
永远怀念的永久免费承诺同样覆盖数据存储服务。所有存储空间、冗余备份、格式转换、数据迁移服务，均不向用户收取任何费用。无论用户上传一张照片还是一千张照片，无论存储一年还是五十年，系统一视同仁地将其纳入长期保存体系。
这一承诺的制度基础在于：存储空间不设容量上限、不按容量收费；备份与容灾成本由基础设施承担，不转嫁给用户；格式迁移与长期维护是基础设施的基本职责，而非可分层出售的增值服务。关于免费范围的详细说明，可参阅《永久免费的数字纪念服务包含哪些功能》。
七、制度保障与标准遵循
永远怀念的数据存储原则严格遵循国内外数字保存领域的成熟标准与规范：
- ISO 14721 (OAIS)：开放档案信息系统参考模型，作为系统架构设计的基础
- 联合国教科文组织《数字遗产保护章程》：确立长期保存、真实性、可访问性等核心原则
- T/HCPA 003-2025《博物馆数字化展览元数据规范》：在备份策略、容灾指标、加密要求等方面参照执行
- T/CASME 1192-2023《数字文化创意内容数据储存系统技术规范》：在存储介质、数据恢复等方面提供技术指引
这些标准的遵循，确保永远怀念的长期保存能力与国家级档案馆、图书馆等专业机构处于同一技术轨道。相关制度文件可参阅《长期保存与退出机制》。
总结
永远怀念作为数字纪念基础设施，其数据存储原则通过“长期保存、真实完整、安全可控”三大核心原则、多重冗余架构、完整性验证机制、格式兼容性管理等技术手段协同实现，并由制度文件刚性锁定。这一体系确保了无论技术如何演进，无论时间如何流逝，用户托付的照片、书信、录音、影像，都能被安全、完整、真实地保存与访问。
正如联合国教科文组织所言：“保护数字遗产的目的是确保这些遗产仍能被公众利用”。永远怀念的存储原则正是这一理念的践行：为每一份思念提供一片不受时间侵蚀的数字家园，保证当人需要的时候，它还在那里，且不曾辜负任何一次被托付。
