政府級文件雲端存儲與異地備援建設計劃書

10 月 10, 2025

—

——以韓國政府數據中心火災事件為警示

一、前言：從韓國大田數據中心火災說起

2025 年 9 月，韓國大田的國家資訊資源管理院（NIRS）發生嚴重火災。起火點為老化鋰電池，導致整個政府雲端資料中心全面癱瘓。
其中的 G-Drive 系統（政府公務員文件雲端平台）因「無任何外部備份」，致使 約 75 萬名公務員、長達 7 年的文件記錄（約 858 TB）灰飛煙滅。

這場事故暴露出三大問題：

單點資料中心依賴：所有資料集中於一地。
缺乏異地備援：無即時或延遲同步機制。
錯誤的備份觀念：誤以為 RAID 或雲端即代表安全。

本計劃書旨在提出一套可落地、具擴展性、可監控的政府級文件儲存解決方案，確保類似事故不再發生。

二、系統需求與目標

項目	指標
用戶規模	約 750,000 公務員
文件儲存量	800 TB 可用容量（預留 20% 成長）
可用性	99.99%（全年停機 < 1 小時）
RPO（資料可接受丟失時間）	≤ 3 分鐘
RTO（災後恢復時間）	≤ 15 分鐘
數據耐久度	≥ 99.999999%（11 個 9）
成本目標	單 TB 成本 < 雲端儲存 30%

三、系統總體架構設計

1️⃣ 儲存層：Ceph 物件儲存（RGW）

採 Ceph RGW Multisite 機制實現跨機房複寫。
兩地三中心架構（主資料中心、備援中心、冷備存放中心）。
採用 Erasure Coding (EC 8+3)，耐久性高、容量開銷低。
支援 S3 API，方便與應用層整合（如 Nextcloud、Seafile）。

2️⃣ 異地複寫（Disaster Recovery）

使用 Ceph RGW Multisite realm/zonegroup/zone 架構：
- ZoneGroup：代表主站與備站。
- Realm：統一 metadata 與認證。
- Zone：實際 RGW 節點叢集。
採 非同步流式複寫，延遲通常 < 120 秒。
WAN 通訊加密（TLS + VPN），確保資料傳輸安全。
定期監測 replication lag，自動告警與補償機制。

3️⃣ 應用層（文件協作平台）

前端使用 Nextcloud Enterprise 或 自研 Web Portal。
後端對接 Ceph RGW 作為唯一存儲。
功能包含：版本歷史、共享權限、檔案簽章、稽核日誌、DLP。

4️⃣ 備份與長期保留策略

異地同步 ≠ 備份。
- 每日增量 / 每週全備：透過 rclone 複製至第三地冷備倉（離線/immutable）。
- 冷備中心使用低成本 HDD 或磁帶（LTO-9），保留 180 天版本。
定期進行「資料還原演練」以驗證 RTO。

四、硬體與網路規劃

模組	配置建議
儲存節點	每站 10–12 節點 × 16 × 18TB HDD + 2 × NVMe SSD
總原始容量	約 1.4 PB（800TB usable @ EC 8+3）
網路	Cluster: 40GbE Spine-Leaf；Replication: ≥10Gbps 專線
記憶體	每節點 ≥128GB RAM
CPU	每節點 ≥16 cores（x86 或 ARM64 均可）
電力與UPS	N+1 架構、鋰電防爆隔離、FM200 滅火系統

五、安全性與合規性

認證管理：Keycloak + LDAP + MFA。
稽核與法遵：
- 所有上傳、分享、刪除行為皆紀錄。
- 實作「不可刪除保存（WORM）」以符合法規保留期。
傳輸加密：TLS 1.3 + AES256。
資料靜態加密：Ceph Encryption at Rest。
監控與告警：Prometheus + Grafana + Loki + Alertmanager。

六、預期成果與效益

面向	成果
資料安全	火災、誤刪、勒索軟體皆可防禦
高可用	任何一地中斷，系統仍可服務
管理效率	集中監控、分層備份、自動化健康檢測
成本控制	比雲端公有儲存節省 40%–60%
擴展彈性	支援橫向擴容，未來可達 PB 級規模

七、成本預估（初步）

項目	數量	單價（USD）	小計（USD）
儲存節點伺服器	24 台	8,000	192,000
網路交換設備	6 套	5,000	30,000
NVMe + HDD	約 1.5 PB 原始	200/TB	300,000
軟體與維護	Ceph + Nextcloud 支援合約	80,000
冷備與磁帶方案	1 套	40,000	40,000
合計（首期）			≈ 642,000 美元

八、結論與建議

韓國火災事件證明：「雲端集中 ≠ 安全保障」。
真正的資料韌性來自「分散架構 + 異地備援 + 獨立備份」。

本方案採用 Ceph RGW Multisite 實現政府級 S3 儲存雲，
能在任何單點故障、火災、勒索、或人為誤刪下，
仍維持 99.99% 可用性與數分鐘內異地恢復。