当国家需要一座没有大使的“使馆”

达曼大火中，真正幸存的是什么？

2018年9月2日，沙特公共检察机关达曼分部起火。检方随后称，案件附件保存在带自动备份的中央电子系统中，因此没有交易记录遗失，工作次日恢复。¹

幸存的不是一件家具，而是司法机构重新连接事实与卷宗、个人与权利、程序与时间的能力。系统没有扑灭火灾，却阻止了物理损害自动变成机构失忆。

真正的战略问题由此出现：如果主站与备站遭遇同一种故障，电力和通信同时中断，或者数据完好而密钥、软件与权限已经失效，会发生什么？

这不是多买一些存储空间的问题。国家必须在地理条件本身受到考验时，仍能证明权利并运行关键职能。保存文件与维持机构，正如拥有宪法副本与实际维持宪政秩序，并不是一回事。

没有签证窗口的“使馆”

2007年4月，爱沙尼亚遭遇大规模网络攻击。十年后，爱沙尼亚与卢森堡于2017年6月20日签署政府数据和信息系统托管协议，“数据使馆”（Data Embassy）由此成为一种制度化安排：计算设施、档案、系统与通信受双边协议保护，而不只是受商业托管合同约束。^{2 3}

协议赋予托管场所特定法律地位，包括免受搜查、扣押和执行，进入原则上须经爱方授权代表同意；只有火灾或其他需要立即保护且危及安全的紧急情形，才推定同意。第六条还将所存数据与系统视为爱沙尼亚档案，并保护官方通信与加密使用。³

服务器并未因此成为爱沙尼亚领土，《维也纳外交关系公约》也不会自动赋予数据中心这种地位。协议序言明确认为现有框架不足，因此双方另以双边协议创设保护；国际法、欧盟法及在适用时的卢森堡法仍构成规则的一部分。³

协议也预先处理争议与退出：终止通知在24个月后生效，资产交给获授权的爱方代表；若无法确认该代表，则按卢森堡档案同等标准保护，并只交给爱沙尼亚合法代表。严肃的连续性安排，会在环境尚未改变前写清环境改变后的动作。³

当政府在流亡中继续治理

1940年6月，挪威政府与哈康七世国王在德军入侵后抵达英国，并从伦敦维持文职与军事机构的运作，留下大量档案。文件没有创造其合法性；这一案例说明，国家的制度延续并不总与首都和惯常建筑的可用性重合。⁴

20世纪的问题是如何把政府、文件和通信移到安全地点。21世纪又多了一层：如何把验证记录、身份、签名和权限的能力迁移到独立运行环境。

这也是灾难恢复（Disaster Recovery）与政府连续性（Continuity of Government）的区别。数据库一周后恢复，并不能归还那一周里无法出具的死亡证明、产权凭证或福利资格；技术恢复时间过去了，社会时间不会倒流。

基辅遇袭，而副本没有随之消失

2022年3月1日，俄罗斯全面入侵乌克兰初期，一枚导弹击中基辅市中心的国家备份中心。乌克兰总统府同年9月称，该次打击没有使核心登记册或关键政府服务停摆。⁵

乌方还称，战争最初数周内，36个机构把60多个关键登记册和系统迁至亚马逊提供的云资源。这不等于整个国家迁入美国云端，也不证明每项服务在每座城市都可用；它是战时官方陈述，并非对所有系统的独立可用性审计。⁵

关键不只是副本存在，而是存在经过演练的使用路径。没有恢复程序、运行环境、验证权限和可用通信的副本，更像远处保存的一份安慰，而不是可执行能力。

当权利证明成为第二个受害者

克什米尔的一起判决展示了灾害如何进入个人生活。2022年4月13日的判决记载，2014年洪水淹没斯利那加的政府办公场所，一宗始于1981年的上诉材料因档案受损而无法找到。它不是整个司法档案系统崩溃的报告，而是一宗具体纠纷。⁶

在人权观察2018年关于叙利亚第10号法律的分析中，地方不动产记录被毁、流离失所与文件遗失，可能使权利人难以证明或主张所有权。记录不只是数据库中的一行，而是共同的法律记忆。⁷

苏丹呈现了另一面。2026年6月的报道指，收藏逾3000万份文件的喀土穆国家档案馆建筑严重受损；馆长称多数纸质材料躲过火灾，但电子档案丢失，遗存文件仍面临损坏。纸张可能躲过炮火却败给湿气，数字记忆也会随承载它的设施坍塌。⁸

2024年2月，电话和互联网大面积中断，使数百万苏丹人失去连接，并阻碍救援与金融服务。数据库即使在境外完好，公民也可能因通信、电力或数字身份不可用而无法访问。保存数据是必要条件，却不等于服务连续性。⁹

从阿勒颇到斯瓦尔巴：保存的是再生能力

挪威斯瓦尔巴群岛的全球种子库保存各基因库提交的遗传多样性备份。国际干旱地区农业研究中心曾在阿勒颇保存珍贵作物样本，叙利亚战争使当地基因库无法照常运行。

该中心在2008至2014年间已向斯瓦尔巴存入逾11.6万份重复样本，2015年9月取出38,073份并送往黎巴嫩和摩洛哥；经种植繁育后，2017年分两批重新存入逾2万份再生样本。并非整个阿勒颇收藏被毁，失去的是常态运行与分发能力。¹⁰

斯瓦尔巴的价值不在于让种子永远留在冰中，而在于保存重新种植的能力，即从保存（Preservation）走向再生（Regeneration）。同理，患者数据的副本不等于医疗服务，税务记录也不会脱离软件、身份、证书、通信和授权程序自行变成税务机关。

当市场开始为停摆概率定价

沙特并不远离复合风险。2012年，“沙蒙”恶意软件影响沙特阿美约3万台工作站；2019年9月，阿布盖格和胡赖斯遇袭后，公司称日产量一度减少约570万桶。^{11 12}

2026年海湾进入新一轮军事升级。路透社10月15日发布的视觉调查统计，自2月28日起至少有135次导弹和无人机袭击波及至少84处海湾基础设施，并区分伊朗直接行动与伊朗盟友组织的行动；调查还记录沙特东西输油管线沿线泵站受损。¹³

在胡塞武装声称负责的一系列袭击背景下，10月13日，达兰一座阿美行政楼遭袭，能源部称仅发生有限火灾。次日沙特股指下跌1.7%，阿美股价下跌1.6%。不能把全部市场波动归因于一条消息，也不能把责任声明当作独立技术归因；报道只表明，升级与银行股压力等因素共同加深忧虑。¹⁴

部件故障可能演变为级联失效（Cascading Failure），并进一步成为跨行业的系统性风险（Systemic Risk）。没有证据能保证数据使馆阻止市场下跌，但准备程度可以通过停机时长、恢复成本、服务回归速度和冲击外溢来衡量。

五只篮子，共用一块破地板

“不要把鸡蛋放进同一只篮子”仍然正确，只是现代系统可能有五只篮子，却共用一块地板。五座城市的数据中心也可能依赖同一个身份提供方、密钥体系、管理界面和能够同时关闭它们的小团队。

这不是五套独立系统，而是同一种依赖的五份副本。查尔斯·佩罗的正常事故理论（Normal Accidents）解释复杂性与紧耦合（Tight Coupling）如何放大风险；可靠性工程则把重复方案因同一原因同时失效称为共模失效（Common-Mode Failure）。真正的对策是多样性，而非副本数量本身。^{15 16}

风险应尽量分散到不同地理区域、法律管辖区、能源与通信来源、技术供应商和控制机制。重复提高副本数量；独立性才降低它们因同一原因一起死亡的概率。

没有任何一块碎片拥有完整图像

沙特方案不必在每个地点保存一份可直接读取的完整副本，但应区分几种常被营销话术混在一起的技术：认证加密（Authenticated Encryption）保护机密性并暴露篡改；纠删码（Erasure Coding）把加密内容分散到可重组的片段；门限密码学（Threshold Cryptography）则分散密钥或密码操作的权限。

阿迪·沙米尔1979年提出沙米尔秘密共享（Shamir’s Secret Sharing）：达到门限的份额可以恢复秘密，低于门限的份额在正确数学模型中不会泄露秘密。“五取三”适合解释，却不是现成的沙特规范；它依赖有限域上的正确实现、份额防盗防替换，以及托管人的管理和运行独立性。¹⁷

拆分密钥不等于拆分内容，加密也不能阻止托管方删除或停用副本。多方计算（Multi-Party Computation）、门限签名（Threshold Signatures）和硬件安全模块（Hardware Security Modules, HSMs）可以支持分布式操作，但仍需经过审计的协议、份额轮换、权限控制与托管人更替方案。

目标是让每个地点只持有不足以单独控制信息的一部分，并允许失去该地点而系统仍存活。恢复密钥不能成为东道国、云供应商或单一管理员账号的人质。

账本不会忘记，却可能忠实记住错误

分布式账本可以辅助证明记录完整性和变更顺序，却不能替代加密、密钥分配与服务连续性。敏感个人数据也没有必要直接放入公开或共享账本；通常保存哈希、时间与授权证据即可。

爱沙尼亚相关实践常提及密钥无关签名基础设施（Keyless Signature Infrastructure, KSI）。供应商文件描述其对签名时间、数据完整性、顺序与输入指纹的验证能力；这些属性不能独立证明原始事实为真，也不能证明录入在法律上正确。¹⁸

因此必须分开三个问题：源记录是否真实，保存副本是否保持完整性（Integrity），变更是否由合法权限发起。防篡改日志（Tamper-Evident Log）可以暴露改写，却不会阻止一个拥有合法凭证的人输入错误。

谁有权让国家从副本中恢复？

技术方案最容易把精力放在“数据如何恢复”，却忽略“谁有权决定恢复”。重大中断时，原负责人的账号、机构或通信可能不可用；如果权限只停留在个人名下，副本即使完好也可能无法合法启用。

授权链必须预先规定触发条件、继任顺序、最低同意门限、异议处理、紧急权限期限和事后审计。密钥托管人执行密码操作，不应单独决定政策；法律授权者作决定，也不应独自持有全部密钥。

爱沙尼亚—卢森堡协议区分获授权代表与无法确认该代表时的合法代表，说明退出情形同样需要明确身份。对沙特而言，恢复权应当由有权机关依法律配置，而不是由软件默认值或供应商支持台决定。³

加密不是跨境传输许可证

把数据加密，并不会自动消除其法律属性。沙特任何实际方案都需要按数据类别、目的和架构确认分类、必要性、最小化、保护措施和主管机关决定。

沙特《个人数据境外传输实施条例》把跨境传输置于国家安全、重大利益、最低必要范围、权利保护、充分性或适当保障与风险评估等条件下。国际协议可能构成制度路径的一部分，却不是机构自行启动传输的空白授权。¹⁹

国家网络安全局的云计算网络安全控制（Cloud Cybersecurity Controls, CCC）规定相应范围内的最低安全要求，但不构成把所有政府数据移至境外的通行证，也不取代个人数据保护、分类和行业规则。最终方案可能对不同职能采取境内保存、境外受保护托管或只分配密钥与证据等不同选择。^{19 20}

国家职能最低要保住什么？

档案与国家连续性的关系并不相同：历史资料可以等待恢复，日常服务或许能停数小时，而某些职能一旦中断，迅速演变为权利、健康或安全危机。优先级应从职能缺失的影响开始。

土地登记的最低功能，可能是验证最后一次批准状态并出具临时证明，而不是开放所有修改；医疗系统可能只需受限访问救命信息并记录每次使用；政府支付则可能先保障特定福利，而非同时恢复全部会计流程。

冷档案与每分钟接收交易的活动系统需要不同设计。前者重视长期可读的证据，后者还需副本一致性、交易顺序和重连后的冲突解决。

缩减功能不能同时缩减防止不公的保障。受控降级模式（Controlled Degraded Mode）应提供更少功能、清晰权限、时间限制和事后复核，而不是永久绕过身份验证与审计。

排序可围绕三个问题：中断后哪种损害立即发生，恢复后哪种损失无法补回，什么最小可信输出足以保存权利或阻止危机扩大。答案决定哪些内容进入数据使馆，哪些需要备用运行环境，哪些只需独立国内副本。

数据在哪里，不等于谁控制数据

“服务器在哪里”很重要，却不够。数据可能位于境内，密钥却由境外公司从机构无法控制的界面管理；副本也可能在境外加密保存，而密钥、授权和审计记录仍由国内分布式控制。

真正的控制分散在读取、修改、删除、停服、更新软件和持有审计证据的各方。权力集中于一个管理员账号时，地图无法消除风险；过度分割又没有可用应急路径时，保护会变成自我瘫痪。

每项资产都应有一份“权限登记”：所在国家、适用法律、可访问的运营者、密钥位置、更新路径、共同依赖和退出程序。这样才能区分真正增加多样性的远端站点，与重复同一供应商、法律和网络的站点。

独立性必须在运行中测试。一次集中管理平台的错误更新，或未纳入恢复计划的域名、证书、身份服务中断，就足以让完好的服务器变成沉默孤岛。可衡量的主权，是失去部分服务后仍能继续。

灾难发生前，我们究竟为哪部分付费？

存储看起来便宜，因为费用集中在账单上；连续性的成本则散落在培训、演练、软件更新、密钥轮换、备用通信、合同和能够在压力下工作的人员中。机构很容易买下许多副本，却推迟让副本真正有用的部分。

经济比较不能把境外站点与“零成本”相比，而应纳入停机、交易丢失、人工重建、法律争议和供应商锁定的代价。每项职能都需要自己的估算，不能用一个全国数字证明所有境外托管都划算。

复杂性也有价格。每个托管方、密钥保管人、通信渠道和协议既增加能力，也增加故障和协调失误的表面。最佳架构是在达到所需连续性后，复杂度最低且剩余风险透明可接受的方案。

部分收益表现为外溢避免：更快恢复许可、身份或支付，可能阻止企业或医院停摆。这应由基线与现实演练测量，不能预先写成保证回报。

面向沙特的主权连续性架构

合理回应不是照搬爱沙尼亚模式，也不是给普通云项目换上外交名称，而是建立主权连续性（Sovereign Continuity）架构：在多站点压力下维持选定国家职能并验证其输出，同时让法律决策与密码控制留在国家手中。

第一步是绘制职能和依赖：记录、解释记录的软件、登录身份、签名证书、授权主体、通信、电力、人员与程序。数据分布在三处而身份验证只存在于一栋楼里，仍然只是形式上的冗余。

随后分离保存、备用运行、密钥、身份、签名与监控层；明确托管协议、审计权、退出与资产转移，并保留真实的供应商切换能力。还需要备用通信与断网时的有限运行。

目标不是在境外建立最大的“数据湖”（Data Lake），而是找到让某项主权职能保持可用的最小完整条件。副本消耗存储，连续性还需要演练、测试、合同、维护以及密钥和软件更新。

架构本身也需要机构记忆。若只有两名工程师会操作，程序文件长期不更新，它就成为新的单点故障。交叉培训、记录决策、团队交接演练和公共职能负责人参与测试，都是系统的一部分。

应该假设同时失去两个站点的那一天

成功不能只靠安静实验室里恢复一个文件来证明。有效测试应同时假设主中心失去、国际链路中断、一个密钥份额缺席、备份出现篡改，再追问最先恢复什么、谁授权、身份服务是否工作、公民能否验证文件、最近哪些交易尚未抵达。

恢复时间目标（Recovery Time Objective, RTO）是系统资源在产生不可接受影响前可保持不可用的最长时间；恢复点目标（Recovery Point Objective, RPO）是中断后可回退的时间点，也即相对最新副本可承受的数据损失。不同职能对时间和损失的容忍度不同。²¹

同步复制也会迅速复制错误。获授权用户的误删或攻击者取得修改权限后，结果可能在发现前传遍所有站点，因此需要独立时间版本、不可变备份（Immutable Backups）以及恢复前的完整性检查。

测试不是一次交付典礼。身份、加密、集成或合同的每次变化都会改变恢复条件；韧性（Resilience）是一轮轮试验、有限失败、诊断、修复和再试。

文件保持完整，而事实已经被污染

人工智能和任务执行软件降低内容与代码的生产成本，也可能降低伪造记录、冒充身份、数据投毒（Data Poisoning）和操纵审计的成本。攻击者不必删除产权证，只需改动一个字段，再让备份系统把它当作合法变更复制出去。

这使数据溯源（Provenance）成为核心：知道数据从何而来、如何变换、谁以何种权限触碰过它。受保护的记忆并非无人接触，而是变更路径可解释，并能在发现问题时回到已知安全状态。

NIST于2024年8月批准面向未来量子攻击的FIPS 203、204和205标准。这不表示现有密码学已经失效，却说明长期档案需要密码敏捷性（Cryptographic Agility）：算法与密钥清单、迁移计划，以及在不破坏记录可信度的前提下重新保护数据的能力。²²

在选择第一座首都之前

工作应从主管机关提出的问题开始：如果本地站点和国际通道同时失效，国家必须继续运行并验证哪些职能？答案应产生依赖图，而不是服务器购物清单。

第一阶段建立不含真实个人或安全数据的有限原型，测试内容加密、密钥份额分布、从独立站点恢复完整系统、恢复请求权限以及更换供应商和托管国，并测量时间、成本与共同故障点。

外交、数字、网络安全与监管机关可同步研究国际协议模型，吸收爱沙尼亚模式的法律勇气，而非照搬欧洲细节。研究也可能得出只有少数数据类别适合境外保护性托管。

东道国选择应考察法律稳定、司法独立、通信与能源韧性、与共同风险的距离、执行协议的实际能力，以及它与供应链的关系。签约时的政治亲近，不能替代政府、市场和联盟变化后仍可执行的条款。

项目从第一天就应设计最后一天：何时关闭备用职能，如何返还资产、删除不再需要的副本，谁证明删除完成，谁保留审计记录。没有退出计划，连续性安排本身会变成难以摆脱的依赖。

当建筑熄灭，什么仍然存在？

回到达曼，案件当事人并不需要知道数据库类型或服务器供应商。他在意的是，卷宗附件没有随烟雾消失，自己的权利也没有因承载它的建筑受损而从零开始。

基辅让问题更尖锐；克什米尔的洪水成为旧案里的缺席当事人；叙利亚把房屋所有权与纸张命运绑在一起；苏丹让记忆与连接同时显露脆弱；阿勒颇与斯瓦尔巴则说明，最重要的副本是能让所保存之物重新生长的副本。

这些案例没有证明境外永远安全、加密可以消除地理，也没有证明法律豁免能挡住导弹。它们说明，当地点、决策与故障原因不完全重合时，连续性更强。沙特既要保护国内能力，也应研究如何在国家法律控制和分布式密码控制下，把主权职能的存活条件移出共同故障点。

成熟的问题不是“第一座沙特数据使馆设在哪个国家”，而是：失去多少设施、道路与密钥保管人之后，国家会失去证明权利或运行关键服务的能力？有信心面对未来的国家，不会假设建筑永不燃烧；它会确保火灾无权写下最后一条记录。