CDP：企业灾备避坑指南

作者：张思远

数据丢了24小时，才明白“每天备份一次”就是个笑话

上个月凌晨两点半，手机震了。不是闹钟，是值班群里炸了锅。

生产库被人DROP了。不是删错表，是整套核心业务表全没了。恢复窗口？备份是昨晚12点跑的，数据丢了将近两个半小时。业务方在电话里吼：“这两个小时的单子谁赔？”

我坐在机房里，盯着屏幕上那个“备份成功”的绿色勾，突然觉得特别讽刺。备份成功了，数据还是丢了。这中间差了整整两个半小时的交易流水。

那天之后我一直在想一个问题：我们天天挂在嘴边的“备份”，到底在保护什么？

你以为的“安全”，其实是个时间差陷阱

先说说传统备份的逻辑吧。每天凌晨跑一次全量，或者每几个小时跑一次增量，数据落盘到备份介质上。听起来没毛病，对吧？但这里面有个致命的假设——你丢数据的时间点，恰好落在备份任务完成之后。

可现实是，数据库崩了、硬盘挂了、误操作了，这些事儿从来不看表。它们专挑你刚跑完备份、或者离下次备份还差几分钟的时候发生。RPO（恢复点目标）这个指标，说白了就是你能承受丢多少数据。传统备份的RPO，短则几小时，长则一天。对很多业务来说，这几个小时就是真金白银，甚至是饭碗。

我之前带过一个团队，给一家电商客户做容灾方案。他们的备份策略是每天凌晨两点全量，白天每两小时一次增量。听起来挺勤快了？结果赶上一次大促，流量暴增，数据库压力太大，主库直接挂了。等我们发现的时候，已经过去了一个半小时。那一个半小时的订单、库存变动、用户积分变动，全没了。

客户当场脸就绿了。后来我们复盘，发现问题的根源不是备份没做，而是备份的粒度太粗了。你每两个小时备份一次，就意味着你最多可能丢两个小时的增量数据。这个时间差，就是风险敞口。

CDP到底在解决什么？

CDP，持续数据保护，这名字听起来挺唬人，其实逻辑特别简单粗暴——它把每一个写操作都记录下来，像录像机一样，把数据的变化过程给录下来了。你随时可以按“回放键”，回到任意一个时间点。

不是回到“上一次备份完成时”，而是回到“你想要的任何一个瞬间”。精确到秒，甚至到事务级别。

这就意味着，就算有人半夜删了全库，你也能把数据恢复到“他按下删除键前一秒”的状态。没有时间差，没有丢失窗口。RPO趋近于零。

我之前给一家医院做过一次容灾演练，他们的HIS系统（医院信息系统）用的是CDP。演练的时候，我们模拟了最极端的情况——把核心数据库整个格式化，然后从CDP的副本里恢复。你猜用了多久？不到三分钟，数据回到了格式化前最后一笔挂号记录的状态。信息科主任当时就说了一句话：“这要是以前，我今晚就别想回家了。”

为什么说CDP不是“锦上添花”？

说实话，我入行那会儿，觉得CDP就是个“高配玩具”，只有银行、证券这种不差钱的行业才用得起。后来发现我错了。

这几年数据安全合规要求越来越严，等保2.0明确要求“重要数据实时备份”，很多行业监管也把RPO指标卡得很死。你要是还抱着“每天备份一次就万事大吉”的思路，等保测评那一关就过不去。

而且，CDP的成本并没有想象中那么高。它不是让你扔掉现有备份，而是作为传统备份的补充——传统备份管“长期归档”，CDP管“近期恢复”。一个是保险柜，一个是行车记录仪，各干各的活儿。

我之前帮一家制造业客户做方案，他们的MES系统（制造执行系统）每秒钟都有大量生产数据产生。原来用传统备份，丢数据是常态，车间主任都习惯了“凭记忆补录”。后来上了CDP，产线数据再也没丢过，质检追溯也能精确到每一件产品。那个车间主任跟我说：“早知道有这东西，我前两年就不用天天跟人吵架了。”

给你两个实在的建议

第一，别把CDP和传统备份混为一谈。CDP解决的是“最近这段时间的数据丢失”问题，传统备份解决的是“历史数据长期留存”问题。两个都要有，不是二选一。你非要用CDP替代传统备份做长期归档，那成本会很高；你非要用传统备份满足实时恢复要求，那RPO永远降不下来。

第二，选型的时候，一定要问清楚“回放粒度”和“恢复速度”这两个指标。有些产品号称支持CDP，实际上只是“准实时同步”，回放粒度是分钟级甚至小时级。真出了事，你会发现根本恢复不到你想要的那个时间点。我之前就踩过这个坑，买了一套号称“秒级恢复”的方案，结果真到演练的时候，恢复点差了三分钟，业务方直接不干了。

这种事，等你真遇上了，才知道什么叫“差之毫厘，谬以千里”。

数据保护这事儿，说白了就是跟时间赛跑。你跑得比灾难快，你就安全；你跑得比灾难慢，你就只能事后补救。而CDP，算是目前让我跑得最快的一个工具了。

话说回来，工具终究是工具，关键还是看你怎么用。我见过上了CDP还出事故的团队，也见过靠传统备份硬扛过来的狠人。但说实话，能让我半夜少接几个电话的方案，我为什么不选呢？

数据安全这行，干得越久越明白一个道理：你永远不知道下一次事故什么时候来，你只能确保它来的时候，你手里有牌可打。

—— 一位被备份折腾了十年的老运维