冷啟動與災難復原：一台新電腦怎麼接回全部工作

想像一個週一早上，你打開筆電，螢幕一片黑。也許是硬碟壞了，也許是咖啡打翻了，也許只是它終於老到不肯開機。你手上還有一個要在週三交的案子，有三個 AI 助理正在不同的工作裡幫你推進，還有一整年累積下來的決定、筆記與檔案。

這時候最讓人害怕的通常不是機器本身，而是那個問題：我要花多久，才能回到昨天晚上離開時的樣子？

很多人的答案是「看運氣」。要看上次備份是什麼時候，要看還記不記得裝過哪些工具、改過哪些設定，要看 AI 助理換了一台電腦之後，還認不認得這個工作區。這篇文章說明我們怎麼把「看運氣」換成一套可以照做、可以重跑、也可以檢查的流程。

一般人想到備份，想到的是把檔案複製到另一個地方。這當然重要，但只做到這一步，換電腦那天你還是會卡住。因為一個能工作的環境，不只有檔案。

它還包括：裝了哪些程式、每個程式是哪一版、規則寫在哪裡、哪些資料夾受管理、AI 該從哪裡開始讀、哪些資料敏感到不能隨便同步。這些東西平常看不見，因為它們早就在那裡了。直到某天它們不見了，你才發現自己從來沒有把它們寫下來。

當工作區裡同時有人和好幾個 AI 在做事，這個問題會變得更明顯。人可以靠記憶補回來，雖然很慢；AI 卻沒有昨天的記憶。一個新開的 AI 對話，就像一位第一天上班的同事，只能靠工作區裡留下的線索找到方向。如果線索只存在某個舊對話裡，或只存在那台壞掉的電腦上，它就真的什麼都找不到。

所以我們把「重新開始」當成一個需要事先設計的情境，而不是出事以後才臨時處理的意外。設計的目標很單純：不管是全新的電腦、第二台電腦，還是同一台重灌，都走同一條路回來，而且每一步都可以檢查。

種子：一個有版本、可以重跑的啟動包

我們把這條路的起點叫做「種子」。種子是一個有版本號的啟動包，裡面放的是讓平台在一台空電腦上重新長出來所需要的東西：平台程式、共用規則，以及讓 AI 找到平台的路標。

種子有三個重要的性質。

• 有版本。每一顆種子都有明確的版號，你知道自己裝的是哪一版，也能在需要時退回上一版。
• 可以驗證。拿到種子的第一件事，是核對簽章與檢查碼。只要有一項不通過，就立刻停止，不「先裝裝看」。
• 可以重跑。同一顆種子在同一台電腦上跑第二次，不會裝出兩份平台，也不會把已經存在的設定蓋掉。中途失敗時，修好原因再跑一次就好。

「可以重跑」聽起來像小細節，其實是整個設計裡最省心的一點。安裝流程很少一次就順利，網路會斷、權限會漏開、某個步驟會因為環境不同而失敗。如果每次失敗都要先手動清掉一半的殘骸才能重來，人就會開始跳步驟，而跳步驟正是事故的來源。讓流程本身可以重跑，等於允許人放心地再試一次。

安裝的每一步裡，只有一步一定要人做

實際的安裝順序大致是這樣：取得種子並驗證；本人登入帳號；選擇情境，是全新電腦、第二台，還是重灌；替這台機器取一個代號；安裝平台並種下路標；取回資料；最後讓 AI 做冷啟動測試，通過後登記這台機器，並在事件紀錄裡留一筆。

這些步驟大多可以交給 AI 協助，唯獨登入帳號這一步，一定由人本人完成。原因不是 AI 做不到，而是登入代表「我是誰」，這個身分不應該經過任何代理人轉手。AI 可以準備好一切、停在登入畫面前、提醒你該做什麼，但按下去的那一下屬於你。

選情境也是一個值得停下來的地方。新電腦、第二台、重灌，看起來都是「裝起來」，差別卻在資料要從哪裡來、這台機器要扮演什麼角色。例如，最敏感的資料可能只允許存在其中一台指定的電腦上；那麼第二台電腦裝好以後，就不該也去拿一份。把情境先說清楚，後面的每一步才知道自己該做到哪裡。

資料怎麼回來：檔案是正本，索引重算就好

資料回來以後，還有一件容易被忽略的事：搜尋與總覽用的索引。

在我們的設計裡，檔案才是正本。資料庫裡的索引、清單、狀態總表，都是從檔案「算出來」的結果，而不是另一份需要同步的正本。這個選擇在平常看起來有點多此一舉，但在換電腦的時候會救你一命。

因為索引是算出來的，所以它根本不需要備份，也不需要在兩台電腦之間同步。新電腦拿回檔案以後，跑一次掃描重算，索引就會和舊電腦一模一樣。反過來說，如果索引也被當成正本，你就要擔心兩份正本彼此不一致，擔心備份的索引和備份的檔案不是同一時間點，擔心重算之後到底該相信哪一份。

兩台電腦同時工作時也是同樣的道理。每台電腦各自從檔案重算自己的索引，只同步檔案本身。為了避免兩台電腦同時執行同一個整理腳本、互相打架，腳本在開始前會先登記「執行中」，另一台看到這個標記就會等待。

備份 3-2-1，再加上每月真的還原一次

資料能取回的前提，是它真的有被存在別的地方。我們採用的是很常見、也很樸素的 3-2-1 原則：至少三份副本、放在兩種不同的媒介上、其中一份在異地。

• 第一份是整台電腦的定期快照，讓系統和設定可以一起回到某個時間點。
• 第二份是外接碟上的每日快照，專門存主要資料庫、事件紀錄與檔案庫。
• 第三份是異地的加密雲端備份，確保即使整棟建築出事，資料仍然在。

另外，所有版本庫都有一份私人的遠端。這不只是備份，也是兩台電腦之間交換工作的正常管道。

不過，3-2-1 只解決了「有沒有存」，沒有解決「還不還得回來」。很多備份直到需要的那天才發現：加密金鑰找不到、格式已經打不開、某個資料夾從一開始就被排除在外。所以我們在 3-2-1 後面多加了一條規則：每個月實際還原一次。

還原演練不必很隆重。挑一小部分資料，照正式的復原步驟還原到另一個位置，打開來看看是否完整、是否能用。演練的目的不是證明備份很完美，而是在不緊張的日子裡，先發現那些只有在緊張的日子才會暴露出來的問題。

沒有還原過的備份，只是一個看起來很安心的假設。

出事那天：先止血，再決定從哪裡接回來

真的出事時，人最容易犯的錯是急著修。我們把災難復原寫成一個先判斷、再動手的流程，第一個問題永遠是：這次有沒有可能牽涉到憑證外洩？

如果有，當天就先輪替相關的憑證，並把它記成一個安全事件，之後再回到主流程。這一步排在最前面，是因為其他損失大多可以慢慢補，憑證外洩卻會隨著時間擴大。

接著，系統先降級成「純檔案加手動」的模式，暫停所有 AI 的自動派工。這聽起來像倒退，其實是讓事情停在一個安全的狀態：檔案還在、人還能工作，只是暫時不讓自動化在不完整的環境裡繼續動手。

然後才問第二個問題：是不是兩台電腦都不能用？

• 如果只壞一台，就直接到另一台接續，目標是在一個工作日內恢復正常工作。
• 如果兩台都壞，或必須重灌，就拿一台新電腦跑種子，走前面那條安裝路線。

不論走哪一邊，後面的步驟都一樣：從遠端與離線備份取回資料，最敏感的部分只從加密備份逐項還原；用檔案重算索引；做冷啟動驗收；通過之後，才恢復 AI 的派工。

如果驗收沒有通過，就照復原清單一項一項補；補不起來的，列成一張「等你決定」的清單，交回給人判斷，而不是讓 AI 自己猜一個替代做法。整件事結束後，還會留下一筆事件紀錄並做一次復盤，把這次學到的事情寫回流程裡。

冷啟動測試：讓一個「什麼都不知道」的 AI 來驗收

前面每一步都完成了，怎麼知道這台電腦真的「回來了」？我們的驗收方式有點特別：不是讓熟悉環境的人來看，而是讓一個完全沒有前情的 AI 來試。

具體做法是開一個全新的 AI 對話，不給任何提示，只讓它在工作區裡自己找。它要能找到平台在哪裡、規則從哪裡讀、目前有哪些工作、每件工作停在哪一步。我們會用不只一種 AI 工具各做一次，因為不同工具找東西的習慣不一樣，只通過其中一種，不代表路標真的夠清楚。

這個測試之所以有效，是因為它模擬的正是最常見的真實情境。換電腦以後，第一個走進這個工作區的，往往就是一個沒有昨天記憶的 AI。如果它找得到路，代表工作的接續不依賴任何人的記憶或任何一段私人對話；如果它找不到，就代表某個重要的東西只存在於舊環境裡，現在正好是把它補成檔案的時候。

平常就要做的三件小事

冷啟動和災難復原看起來是很少發生的事，但讓它們順利的，其實是平常的習慣。

• 把決定寫成檔案。重要的決定、目前的進度與下一步，放在大家都讀得到的檔案裡，而不是只留在某一段對話中。
• 讓設定可以被重新產生。能從檔案算出來的東西，就不要手動維護第二份。
• 定期演練。每季做一次完整的復原演練，每月做一次小規模還原，讓流程在需要之前就已經被走過。

這些習慣每一項都不難，難的是在一切正常的時候持續做。所以我們把它們寫進固定的節奏裡，而不是寄望在某個人記得。

重點回顧

• 新電腦、第二台與重灌都走同一條路：有版本、可驗證、可重跑的種子，只有登入帳號由人本人完成。
• 程式與資料分開：種子裝回平台，資料從遠端與加密離線備份取回；索引由檔案重算，不另存正本。
• 備份照 3-2-1 並每月實際還原；出事先止血與降級，再決定接續位置，最後由沒有前情的 AI 做冷啟動測試來驗收。