容灾备份：企业灾备避坑指南

作者：陈景行

凌晨三点，我盯着满屏的红色报错，才明白容灾备份不是“有就行”

凌晨三点十七分，手机响了。

我那时候还在做梦，梦见自己在机房搬服务器。接起来，值班的小张声音都在抖：“哥，数据库主库挂了，从库没切过去，业务全停了。”

我坐起来，脑子还没完全醒，但“全停了”三个字像一盆冰水浇下来。后来查原因，说出来你可能不信——半年前做的主从复制，从库的磁盘空间没人盯，早就写满了，复制链路断了两周，我们谁都不知道。

那一次，停了四个多小时，损失多少我就不说了，反正年终奖是泡汤了。

今天想跟你聊的，就是这件事背后的那个老话题：容灾备份。不是教科书式的讲法，就是我这些年踩过的坑、想明白的事。

容灾备份，说白了就是“留后路”

很多人把“备份”和“容灾”混着说，其实它俩解决的是两个问题。

备份，解决的是“数据丢了怎么办”。比如你误删了一张表，或者中了勒索病毒，文件被加密了，你得有份干净的副本能拿回来。它关注的是数据的“副本”。

容灾，解决的是“系统停了怎么办”。机房断电了、网络断了、整台服务器起不来了，你的业务能不能在另一个地方接着跑？它关注的是服务的“连续性”。

这俩缺一不可。我见过只做备份没做容灾的，数据是在，但恢复要八个小时，业务等不起；也见过只做容灾没做备份的，两边数据一起被逻辑错误污染，切过去也是错的。

所以，容灾备份的本质，是给你的业务留一条后路——数据有副本，服务有备胎。

那个“有就行”的错觉，害过太多人

说实话，这个问题我一开始也没想通。

早些年我觉得，备份嘛，搞个脚本每天导一遍，扔到另一台机器上，不就完了？后来踩了个坑才发现，备份这东西，“有”和“能用”之间，隔着十万八千里。

我遇到过一家做电商的客户，每天凌晨三点自动备份，日志显示成功，持续了两年。结果真出事的时候，恢复出来的数据是三个月前的——因为备份脚本里有个路径写错了，它一直在备份一个空目录。两年，没人发现。

这就是典型的“有就行”错觉。备份文件在，但内容是空的；从库在，但复制断了；容灾方案写了三十页，但从来没演练过。

避坑提醒第一条：备份不做恢复演练，等于没备份。

我现在给自己定的规矩是，每季度至少做一次恢复演练。不用全量恢复，抽一张核心表，从备份文件里拉出来，比对数据。这个过程花不了两个小时，但能救命。

容灾的“距离”，是个容易被忽略的坑

再说容灾。

很多人做容灾，就是在同一个机房里再放一台服务器，觉得“双机热备”就万事大吉了。但你想过没有——机房整体断电呢？空调故障导致整层楼温度飙到五十度呢？或者更极端的，火灾、水淹？

同城双活、异地容灾，这些词听着像大厂才玩的东西，但其实逻辑很简单：你的备胎，不能跟主胎停在同一个车库里。

我自己的经验是，至少要做到“同城异地”。同一个城市，不同机房，光纤直连，数据实时同步。这样既能扛住单机房故障，延迟又不会太高。如果业务真的到了停一小时就伤筋动骨的程度，那就得考虑跨省甚至跨国的异地容灾了。

当然，距离越远，成本越高，延迟越大。这是个平衡题，没有标准答案。但底线是：别把鸡蛋放在同一个篮子里，也别放在同一个货架上。

避坑提醒第二条：容灾方案里，一定要写清楚“切换决策人”是谁。

我见过太多案例，技术层面全准备好了，真出事的时候，没人敢拍板切。等领导审批，等邮件确认，等了一个小时，业务已经凉了。所以我现在做方案，一定会跟客户确认：什么情况下自动切，什么情况下人工切，人工切的决策人是谁，电话打不通的时候谁顶上。这些不写清楚，容灾就是纸上谈兵。

说回那个凌晨

那次事故之后，我们重新梳理了整个链路。从库的磁盘加了监控，复制延迟超过三十秒就告警；每季度做一次切换演练，真刀真枪地切；备份文件每个月抽检恢复一次。

后来我用热备云做过一段时间的异地备份验证，它的CDP持续数据保护思路确实能解决“备份窗口”的问题——不用等凌晨三点，数据变化就实时捕获。不过工具归工具，思路归思路，再好的工具，也救不了一个没想清楚“要恢复什么、多久恢复”的团队。

容灾备份这件事，说到底，不是买什么产品的问题，是你对业务连续性的理解问题。你愿意为“万一”付出多少成本，决定了你在“万一”来的时候，是手忙脚乱，还是从容切换。

凌晨三点的电话，我希望你永远不用接。但如果真的响了，希望你能像我后来那样，心里有底，手上有招。

---

*数据保护这件事，没有一劳永逸，只有持续演练。共勉。*