设备同步：一个保险库，iPhone和iPad都能用

设备同步让同一个Vaultaire保险库在登录同一个iCloud账户的所有Apple设备上都能使用。它把加密iCloud备份当作传输通道，把全部同步账目留在已加密的保险库里，并且从不把你的图案变成账户密码。

这和用iCloud同步照片有什么不同

iCloud照片同步的是你的图库。它快，也好用，代价是整个图库就是同步单位：一台设备上有什么，登录同一账户的每台设备上就有什么，而存储这些内容的服务也能读取它们。

设备同步搬运的是保险库，不是图库。每次以一个保险库为单位，由你决定哪些保险库参与。在网络上传输的是一组记录，由一个独立的、从图案派生的备份密钥保护。已同步保险库里的照片不会出现在任何一台设备的“照片” App 里，不会出现在“回忆”或共享相簿里，也不属于能用你 Mac 的家人可以随手浏览的图库。

两套系统可以同时运行。为某个保险库打开设备同步不会改变iCloud照片的任何设置，关掉iCloud照片也不会让保险库停止同步。

如何在iPhone和iPad之间同步照片保险库

1. 为该保险库打开加密iCloud备份

设备同步建立在加密iCloud备份之上，所以那个开关必须对你要用的保险库打开。这个设置按保险库生效，不是全局的。你从不外发的保险库会留在一台设备上，一条云端记录也不产生。

2. 在第二台设备上打开同一个保险库

在第二台设备上登录同一个 iCloud 账户，安装 Vaultaire，然后画出相同的图案。该图案派生出与设备无关的备份密钥，用来打开 CloudKit 中加密的图案访问信封。信封提供现有的保险库密钥和包装后的主密钥；第二台设备不会用自己的本地盐值另行生成第一台设备的保险库密钥。整个过程不会向任何 Vaultaire 账户服务发送内容。

3. 等两台设备同步一致

同步在App回到前台时运行，也在iCloud告知有改动时运行。每台设备取回新的加密记录，合并改动历史，然后把保险库状态写到本地。在一台设备上添加的文件，会在这样一轮之后出现在另一台上。

两台设备同时改动时，合并会怎么做

同步系统的裂口，出在两台设备同时动手的那一刻。Vaultaire把这个裂口封在已加密的保险库内部，用的是专门为照片保险库挑的规则。

一次添加，胜过一次从未见过该文件的删除。如果iPad删掉一个文件，而离线的iPhone同时在添加另一个，两边的意图都活下来：删除只作用于iPad真正见过的东西，iPhone上的新文件不会被一并卷走。只有当另一台设备的历史显示它见过某个文件时，删除才会把该文件从那台设备上拿掉。

完全相同的文件会合成一份。在两台设备上保存同一张照片，合并看到的是一条记录，而不是两份需要你事后清理的副本。重复的加密数据块会走清理旧备份状态的同一条路径被回收。

合并不在乎顺序。跑两遍，或者按不同顺序应用改动，得到的仍是同一个保险库。正因如此，两台设备无需任何服务器来裁定谁赢，就能收敛到同一个状态。

iCloud实际存了什么

每次同步写入，都是你私有iCloud数据库中某个区域里的一条记录。每条记录都有随机的UUID名称，记录类型与Vaultaire写入的其他所有记录相同，大小也经过填充。文件归属、哪台设备添加了什么、变更计数器和删除标记，全都放在加密负载里。

这种结构避免把明文的保险库名称、文件名、设备名称和成员字段放进 CloudKit 架构，但并不能让云端占用保持恒定。记录数量、填充后的记录大小、更新时间和总存储量仍可能透露结构信息。Vaultaire 也不声称一个已备份的保险库与任意数量的保险库无法区分。

Apple 能看到有 CloudKit 记录被写入、填充后的记录有多大、何时发生变化，以及私有数据库里有多少条记录。它不会从 Vaultaire 收到图案、备份密钥或可读的文件内容。这是服务商边界，并不是说所有服务元数据都会消失。

iPhone和iPad之间照片不同步时

同步卡住不动，原因几乎总在一份很短的清单里。按顺序排查。

该保险库的备份是关着的。设备同步需要该保险库的加密iCloud备份，两台设备上都要有。为一个保险库打开，帮不到其余的保险库。

保险库还没打开。一个保险库的同步任务需要一个经图案确认、正在进行的会话。锁着的设备不会同步该保险库，这是有意为之。

账户不是同一个。两台设备必须在同一个iCloud账户下，并且能用iCloud Drive。第二个Apple账户会得到两个永不相遇的独立保险库，哪怕图案一模一样。

iOS还没给App时间。同步在前台运行，也靠推送触发。如果接收端设备上的App是关着的，把它打开，给它一点时间和一条可用的连接。

设备已断开连接。如果你用过“断开此设备”，这台设备会保留本地副本，并停止交换改动，直到你重新打开同步。

设备在胁迫模式下被清除过。一次紧急解锁之后，Vaultaire会刻意把这台设备移出同步，好让这次清除永远不会像一次普通删除那样蔓延到你的其他设备。回到同步是一个明确的动作，需要恢复短语。

控制、隔离与恢复

“断开此设备”只在本机生效。它停止你手上这台设备的上传和下载，保险库仍留在这台设备上，不会撤销其他设备，也不会删除云端备份。删除本地数据是另一个需要你特意执行的操作。

胁迫隔离这条规则保护你其余的设备。胁迫模式只在本机生效：它从这台设备上删除非胁迫索引和恢复映射，保持加密 iCloud 备份和其他设备上的副本不变，并把这台设备移出同步。此后它不会自行把隐藏保险库的状态拉回来。你需要用各保险库的恢复短语，一次一个、有意识地恢复。

在一个已打开的保险库里，设置页显示的是“此设备 + 另外 1 台设备”这样的数字。它从不显示设备名称、标识，或任何关于你其他保险库的信息；在保险库打开之前，它什么也不显示。参与设备的数量对你有用；一份设备名单则是等着发生的泄露。

把恢复短语和设备分开保存。如果图案和短语都丢了，这套系统里没有任何一部分能把密钥找回来，我们也不能。

设备同步不做什么

这不是实时协作。两个人在同一秒改同一个保险库，不是它要解的题；合并是按轮次跑的，不是按每一次点击。

它不跨Apple账户同步，也不去Android、Windows或网页端。传输通道是你的私有iCloud数据库，所以设备同步止步于你的账户止步的地方。

它不替代你自己掌管的备份。加密iCloud备份应对的是设备丢失，设备同步应对的是在两台设备上干活。两者有重叠，但剩下的事情都要靠恢复短语。