【锚点】这一篇只钉一个判断：【数字保存的核心不是对抗损坏，是对抗『必须改变』——而证明完整性的工具（校验和）与维持可读性的手段（格式迁移）在定义上互斥：每成功迁移一次，就销毁一次『未被篡改』的证据。第三解不在技术层，在元数据层。】

【显式】NDSA《数字保存等级》(Levels of Digital Preservation，2013 首版 / 2019 修订) 的 Level 1 就要求 fixity check（校验和）；LOCKSS 的做法是大量廉价副本互相投票，多数一致即认为未损坏。这两件事早已工程化，不是难点。

【显式】真正反直觉的结论来自 David Rosenthal（LOCKSS 项目负责人）：位腐(bit rot) 罕见，杀死数字档案的主要是组织死亡与经济失败——预算断了、项目撤了、没人接手。他在 DSHR’s Blog 与《The Economics of Long-Term Digital Storage》(2010) 里反复算这笔账：存储成本下降得比数据增长快，但策展(curation)的人力成本不下降。

【隐式】所以『多做备份、多跑校验和』防的是最不常见的失败模式；它防不住最常发生的那个——没有人。

【细微】接下来是那个自相矛盾。校验和的全部意义是『比特没变』。而格式过时（WordPerfect 5.1、SAS .xpt、老 .sav、专有 CAD）的唯一解是迁移——迁移必然改变比特。于是你必须重新基线化(re-baseline)校验和。在审计视角下，re-baseline 这个动作等价于『承认文件变了』。这正是 GxP/ALCOA+ 与档案保存正面相撞的地方：ALCOA+ 要求 Original，档案保存要求可读，而可读性每十年要用一次『原始性』去换。

【极难发现】判据的翻转在这里：档案学里的『原件』(original) 在数字环境里根本不可实现，可实现的只有『可验证副本』(verifiable copy)。所以判据不该是『这是不是原件』，而是『能不能在不问任何人的情况下重建它的生成路径与解读路径』。OAIS 把这套东西叫 Representation Information——保存的不是比特，是『比特 + 让它有意义的那套说明』。BBC Domesday Project（1986，为 BBC 百年做的交互式光盘）在 2002 年被 CAMiLEON 项目用模拟方式救回，靠的不是找到原机器，是重建了那套说明。

【流程节点链路】起点：原始文件生成（T0）→ 中间节点1：登记 SHA-256 校验和，形成『未篡改』基线 → 中间节点2：介质轮换（换硬盘/换云），比特不变，校验和不变，证据链完好 → 中间节点3：格式过时，渲染器消失 → 中间节点4：迁移到新格式，比特改变 → 中间节点5：校验和必须重新基线化 → 中间节点6：旧基线与新基线不可比，『自 T0 起未被篡改』这句话在此断裂 → 终点：可读性恢复，完整性证据链出现一次不可修复的断点。一个节点都不能省——省掉任何一个，你都会以为自己在保存，其实只是在搬运。

【可操作】把这条链变成一次演练：每年随机抽 10 个文件，交给一个没参与过该项目的人，在不问原作者的前提下打开，并复现一张图或一个数。恢复失败的，比磁盘告警更该上报。备份不是保存，能恢复才是。

【可辩论】如果『完整性』与『可读性』注定每十年互相抵消一次，那么数字档案的『真实性』到底该由谁、在什么时刻签字——生成者、保管者，还是最后一个还能读懂它的人？