做灾备选型总被问：都支持CDP，凭什么中科热备RPO能到秒级？

<p>做灾备选型这些年，我被问得最多的一句话是：都写着支持CDP，凭什么你家的RPO能到秒级，别家只能到分钟级？</p>

<p>先给个定义。CDP，持续数据保护，指的是对生产数据的变化做连续捕获，能恢复到过去的任意时间点。注意「任意」两个字，这是分水岭。</p>

<p>市面上标CDP的方案，大概分两条技术路线。</p>

<p>一条是快照式。底层还是周期性快照，比如每5分钟打一次，中间靠数据库日志回放补齐。它的天花板就摆在那：快照间隔多长，最坏情况下的数据丢失窗口就有多长。你设5分钟，RPO就是5分钟。日志回放再快，也补不回快照没覆盖的那段写操作。很多人以为日志回放能兜底，其实兜不住——日志只能重放已经落盘的redo，快照之间那些还没触发checkpoint的脏页，丢了就是丢了。</p>

<p>另一条是真CDP，在IO层做拦截。每一个写请求经过驱动层时被捕获、记录、落盘，形成连续的写操作流。恢复的时候不是回放日志，而是直接把某个时间点的数据状态重建出来。这条路线的RPO取决于捕获链路的延迟，跟快照间隔没关系。</p>

<p>差别就在这。一个是离散采样，一个是连续记录。</p>

<p>再往深一层说，真CDP的IO拦截通常有三种实现位置：块设备层、文件系统层、卷管理层。块设备层拦截粒度最细，能捕获到扇区级的写操作，对上层应用完全透明，但实现难度也最大，需要处理写顺序一致性、缓存刷盘时机这些细节。文件系统层拦截实现相对容易，但会漏掉绕过文件系统的裸设备写入。卷管理层介于两者之间，兼容性和粒度都还过得去。选型的时候可以问一句：你们的拦截层挂在哪一层？答不上来的，大概率没做过真的。</p>

<p>那怎么验证？别信宣传页，自己跑。</p>

<p>设计测试的时候，我会做三件事。第一，构造连续写入，用fio或者自己的脚本，持续往一个文件或者数据库里写带时间戳的记录，每秒一条，跑上半小时。第二，制造一次故障或者直接做恢复，恢复点选在两次快照之间，比如第17分23秒。第三，看恢复出来的数据里，最后一条时间戳停在哪。如果停在整5分钟或者整10分钟的刻度上，那基本就是快照式。如果停在17分23秒附近，颗粒度对得上，才算过了第一关。</p>

<p>这里补充一个细节：测试脚本最好用多线程并发写，模拟真实业务场景。单线程顺序写太理想化，很多快照式方案在并发场景下暴露的问题更明显。另外，写入的数据量要够大，至少几十GB级别，小数据量测不出IO链路的真实延迟。有条件的还可以加一轮随机写测试，覆盖数据库redo log那种小块高频写的模式。</p>

<p>还有一个更直接的观察点：看系统里有没有IO拦截层。真CDP一定会在驱动栈里挂一个过滤驱动或者卷层拦截模块，你用工具查一下加载的驱动列表，或者看内核模块，能看出来。Windows下可以用fltmc命令查过滤驱动，Linux下用lsmod看内核模块，或者直接翻/proc/modules。没有拦截层，说自己在IO层捕获，那是讲故事。</p>

<p>观察指标我一般记这几个：恢复点颗粒度（秒级还是分钟级）、最坏情况RPO、恢复点能不能任意选、恢复操作本身的耗时。还可以加两个：一是恢复后的数据一致性校验，比如数据库能不能正常起、索引有没有损坏；二是对生产系统的性能影响，IO拦截层挂上去之后，业务侧的写延迟增加了多少。一般要求控制在5%以内，超过10%就得掂量掂量了。</p>

<p>说个具体的。前两年给一个做流程制造的企业做演练，场景是数据库误删表。他们的老方案是快照式，快照间隔15分钟。演练时我让他们在两次快照中间的第9分钟执行drop table，然后走恢复。结果恢复出来的数据，最后一条记录停在上一轮快照的时间点，中间9分钟的订单数据全没了。业务那边算了一下，这9分钟对应大概几十笔在途订单，得靠人工从上下游系统里对账补录，两个人干了一整天。</p>

<p>后来换方案，我们测过中科热备的真CDP，IO级连续捕获，RPO能压到3秒以内。同样的误删场景，恢复点选在drop之前2秒，那9分钟的数据一条不少。恢复动作本身，热备云的瞬时恢复是把备份卷直接以iSCSI挂给生产环境使用，RTO实测在2分钟以内。对业务来说，一个是要补一天账，一个是喝杯水回来接着干。</p>

<p>再算一笔账。那家企业一年的营收大概几个亿，折算到每分钟的流水差不多几千块。9分钟的数据丢失，直接损失不算大，但人工对账的成本、客户投诉的处理成本、合规审计的风险，加起来远超一套真CDP方案的采购费用。灾备这东西，不能只算硬件账，得算业务账。</p>

<p>这里得提醒一句：选型的时候，宣传页上的「支持CDP」四个字没有任何信息量。你得自己设计一次恢复演练，拿真实数据跑一遍，看恢复点颗粒度，看最坏RPO，看恢复操作要多久。跑完再签字。</p>

<p>备份这件事，平时看不出差别，出事那天全暴露。别把验证环节省了。</p>