以为自己有备份，出事却恢复不了
备份任务每天的日志都写着成功，却从没真正还原过一次；备份目录还和生产在同一个网络里。
最后一道防线可能是空的
解决方案 技术解决方案 数据容灾
数据容灾解决方案
异地备份 · 定期演练 · 备份校验
把业务层与数据层分开保护，故障节点可切换到备用节点。本地与异地备份一体化，数据在故障与误删后仍拿得回。
- 异地备份
- 快照与回滚
- 裸金属存储节点
- 10G+ 同步通道
按 RTO / RPO 目标倒推配置与代价
业务连续性上，最常见的四类难题
容灾的难点不在能不能备份，而在备份是否可用、切换是否可行。
备份反过来拖累主业务
全量备份占用大量带宽与存储，备份窗口常常正好压在业务高峰上。白天变卡，多半是从这里来的。
备份越做越重，主业务被挤占
多备份节点让成本快速失控
为追求安全不断叠加副本，每多一个节点就多一份硬件与运维成本。
副本数量上去了，成本同步翻倍
机房级故障来临时无处可去
主备节点放在同一机房与同一电力环境，机房级故障会一起停摆。
一次机房事故，两份副本一起停
哪些业务适用这套容灾
数据丢失量和停机时间的容忍度不同，下面按角色给出对应的机型方向。
订单与资金
典型负载
交易、账户与支付不能丢单，停机窗口要短。
为什么适用
生产与备份分机部署，备用节点按最严的恢复目标配置。
内容与日志
典型负载
体量大、可接受更长的恢复点，重点是盘位和归档窗口。
为什么适用
备份存储选大硬盘裸金属，归档与生产环境隔离。
生产业务节点
典型负载
应用与流量仍在主站运行，数据库与备份不能同机。
为什么适用
生产业务选独立服务器，与存储节点分开。
备份存储节点
典型负载
副本要落在大盘位上，阵列越大重建越久。
为什么适用
单机可选多盘位组合，盘位就是容量上限。
跨地域同步
典型负载
增量要在备份窗口内传完，带宽按数据量倒推。
为什么适用
同步通道选 10G+ 大带宽，走国际 BGP 出口。
容灾演练
典型负载
要在出事之前验证备份能不能还原、切换走不走得通。
为什么适用
演练放在独立环境，不占用生产写入路径。
数据容灾方案架构
生产中心与异地容灾中心靠同步通道保持一致，快照归档与切换回滚对应恢复的两条路径。
- 同步与切换流量
- 回滚取数方向
- 演练与归档链路
资源与设施规格
存储盘位、同步通道与节点分布逐项列明，并写明每一项的边界。
| 资源项 | 可选口径 | 边界（什么时候不够用） |
|---|---|---|
| 生产业务节点 | 在售独立服务器，4C/8T 到 40C/80T，生产与备份分开部署 | 生产与备份同机时，一次单机故障会带走两份数据 |
| 备份存储节点 | 大硬盘裸金属服务器，单机可选 1T HDD ×12 或 1T SSD ×8 | 盘位就是上限；阵列越大重建越久，降级窗口越长 |
| 跨地域同步通道 | 10G+ 大带宽服务器承载同步出口，增量小时可走普通机型出口 | 10G 独享理论峰值 1,250 MB/s，单机磁盘写入往往先成为瓶颈 |
| 存储与阵列 | Raid 磁盘阵列、快照与回滚，备份数据与生产环境隔离 | Raid 不是备份：误删与勒索加密会同步写进阵列 |
| 节点分布 | 覆盖 12+ 个地区，主备可跨机房也可跨地域布置 | 同机房的两份副本挡不住机房级故障 |
| 交付与扩容 | 标准配置 30–60 分钟交付，定制配置需 1–2 个工作日 | 盘位与带宽扩容要停机窗口，需提前排期 |
三项最容易误判：把 Raid 当备份、把同机房双机当异地容灾、把备份任务跑成功当成恢复可用。
推荐存储、业务与同步配置
生产、存储与同步三类角色分开选：同步看带宽，存储看盘位，生产看并发。规格和价格以商品页为准。
| 适用场景 / 机型 | CPU | 内存 | 硬盘 | 线路 | 带宽 | 防御 | IPv4 | 参考价格 | 选购 |
|---|---|---|---|---|---|---|---|---|---|
| US-E5-2650V4x2 | E5-2650V4 x 2·24C / 48T | 64G | 1T SSD | CN2 Direct Pro | 30M / 不限流量 | 10G | 3 IPs | $169 /月起 | 选购 |
| JP-Gold-6138 | Gold 6138·20C / 40T | 32G | 1T NVMe | CN2 Direct Pro | 20M / 不限流量 | 10G | 3 IPs | $169 /月起 | 选购 |
| US-Gold-6138x2 | Gold 6138 x 2·40C / 80T | 64G | 1T SSD | CN2 Direct Pro | 30M / 不限流量 | 10G | 3 IPs | $279 /月起 | 选购 |
| US-SV-XL-E5-2683v4x2-6SSD | E5-2683v4 x 2·32C / 64T | 128G | 1T SSD×6 | Global BGP | 10G / 不限流量 | 10G | 5 IPs | $1069 /月起 | 选购 |
价格以商品页为准。未列出的 CPU、内存、硬盘与带宽可按需配置。季付 9.5 折、半年付 9 折、年付 8.5 折，续费同价。
目标定到什么程度，代价差多少
目标是年度允许停机多少分钟，以及为此要多付几台机器。
| 可用性目标 | 年度允许停机 | 对应实现手段 | 代价 | 它挡不住什么 |
|---|---|---|---|---|
| 99%（2 个 9） | 3 天 15 小时 36 分 5,256 分钟 | 单机 + Raid 1 镜像，可用容量 50%，容忍 1 盘 | 一台生产机，另加镜像盘 | 整机硬件故障；换盘只恢复阵列，业务仍要重装 |
| 99.5% | 1 天 19 小时 48 分 2,628 分钟 | 单机 + Raid 5，(n−1)×C 容量，8 盘时利用率 87.5% | 一台生产机，另加 Raid 5 阵列 | 机器级故障；阵列与主机仍在同一故障域 |
| 99.9%（3 个 9） | 8 小时 45 分 36 秒 525.6 分钟 | 双节点 + 每日备份 + 快照回滚 | 生产与备份各一台，另加每日备份 | 同机房故障；两节点放在同一机房会一起停 |
| 99.95% | 4 小时 22 分 48 秒 262.8 分钟 | 主备分处两机房 + 增量同步 + 手动切换 | 两机房各一套，另加增量同步 | 夜间触发；人工确认环节会把实际 RTO 拉长 |
| 四个 9 | 52 分 33.6 秒 52.56 分钟 | 异地双活 + 自动切换 + 10G 同步通道 | 异地双活，另加 10G 同步通道 | 应用不支持多活时；单库写入仍是单点 |
| 五个 9 | 5 分 15.4 秒 5.256 分钟 | 多地域冗余 + 自动故障切换 + 消除人工介入 | 多地域多节点，按评估报价 | 成本随地域数上升，中小业务通常不划算 |
「四个 9」指 99.99，「五个 9」指 99.999。年度允许停机分钟 = 525,600 × (1 − 可用性目标)，按 1 年 = 365 天 = 8,760 小时计。
从 3 个 9 到 4 个 9，年度停机预算从 8 小时 45 分压到 52 分 34 秒，差了近 10 倍；再往上到 5 个 9 只剩 5 分 15 秒，这一步要消掉人工切换环节。
Raid 5 可用容量 = (n−1)×C、容忍 1 盘；Raid 6 为 (n−2)×C、容忍 2 盘但重建更慢；Raid 10 容量只有一半，换来每个镜像对可容错 1 盘。降级期间再坏一块盘，Raid 5 与 Raid 10 都会整组丢数据。
RPO 定多短，反向决定同步带宽
| 每日增量 | 每日一次 6 小时窗口 | 每小时一次 单窗 10 分钟 | 持续同步 全天摊平 |
|---|---|---|---|
| 50 GB | 2.3 MB/s · 20M 档 | 3.5 MB/s · 30M 档 | 0.6 MB/s · 10M 档 |
| 200 GB | 9.3 MB/s · 100M 档 | 13.9 MB/s · 200M 档 | 2.3 MB/s · 20M 档 |
| 1 TB | 46.3 MB/s · 500M 档 | 69.4 MB/s · 1000M 档 | 11.6 MB/s · 100M 档 |
所需速率 = 增量数据量 ÷ 窗口秒数，所需带宽 = 速率 × 8。50 GB 在 6 小时（21,600 秒）内传完要 2.3 MB/s，即 20M 档。这是满速理想值，实际受两端磁盘 IO 与协议开销影响。
想缩短 RPO 又不想加带宽，可以拉长窗口或改成持续同步。用 10G 独享通道传 1 TB 增量大约 13 分 20 秒（1,000,000 ÷ 1,250 = 800 秒）。带宽档位以商品页为准。
方案能力矩阵
把容灾最容易误判的五个环节逐项写清，每项对应可交付做法。
从生产到异地，逐项交付
容灾要稳住，先把生产、同步、存储、切换和演练分开。生产用独立服务器，备份用大硬盘裸金属，跨地域走 10G+ 通道。Raid 不是备份。主备不放在同一机房。备份要能在独立环境还原，才算可用。
生产业务选独立服务器，备份存储另选大硬盘裸金属，两份数据不落在同一台机器上。
对容灾的意义： 一次单机故障不会同时带走生产和副本。
备份与归档以大硬盘裸金属为主，盘位按数据量配置，备份数据与生产环境隔离。
对容灾的意义： 盘位就是容量上限，长大了再追加盘位或存储节点。
跨地域同步用 10G+ 大带宽走国际 BGP。增量小时可走普通出口，窗口按每日增量倒推带宽。
对容灾的意义： 想缩短恢复点，就加大带宽或改成持续同步。
Raid 阵列、快照与回滚一起用。备份与生产隔离，并做加密校验，确认副本未被篡改。
对容灾的意义： 误删和勒索加密不会把唯一的副本一起写坏。
主备可跨机房、跨地域布置，覆盖 12+ 个地区。切换前先在独立环境跑通恢复。
对容灾的意义： 同机房的两份副本挡不住机房级故障。
服务保障
上线不是终点，备份能不能用要在出事之前验过。
工作日 30 分钟内首次响应
工作日 30 分钟内首次响应，夜间及周末仅处理宕机。
30–60 分钟标准交付
标准配置 30–60 分钟内交付，交付后即可建立备份与同步任务。
定制配置 1–2 个工作日
盘位组合、内存与带宽等定制配置需 1–2 个工作日交付。
数据冗余存储
支持 Raid 磁盘阵列、快照与回滚，敏感数据可按需物理隔离。误删之后仍有副本可取回。
中文技术支持
工单与在线渠道均为中文沟通。
演练与流程协助
协助在独立环境跑通备份、恢复与切换，把备份能不能用在出事之前先验一遍。
说说你的数据与业务，我们给出容灾配置
业务系统构成、数据量级、现有的备份方式，以及可接受的数据丢失量与停机时间——把这些信息告诉方案顾问，我们会在 1 个工作日内提供节点、盘位与同步通道的配置建议及报价。
- 按业务分级梳理数据丢失量与停机目标
- 存储、业务与同步节点按数据量级选型
- 协助在独立环境验证恢复与切换流程
- 工作日 30 分钟内首次响应，盘位与带宽可扩容
常见问题
备份解决数据还在不在，容灾解决业务还能不能跑。只做备份时，从备份恢复到业务可用通常要停机操作。容灾把业务层与数据层分别保护，并备好可承接业务的备用节点。
RPO 回答最多能接受丢多少数据，RTO 回答最多能接受停多久。这两个目标决定备份频率、同步方式、副本数量与备用节点规格，也直接决定每月多花多少钱。订单与资金类要求最严格，内容与日志类可放宽。
前提是备用节点与主节点不在同一机房、同一电力与网络环境下。接入层通过健康检查与流量调度把访问指向可用节点，数据层按预设副本策略完成回滚或提升副本为主库。
演练在独立的备份环境中进行，不占用生产节点资源，也不改变线上数据的写入路径。目的是验证备份是否完整可用、恢复流程是否走得通。
关键在于备份是否与生产环境隔离。备份数据与生产隔离，并配合校验确认副本未被篡改。生产数据被加密或误删后，仍可从独立副本与快照回滚找回。
支持 Linux、Unix、Windows 等主流环境。存储侧可以是本地磁盘、Raid 磁盘阵列，也可以是全闪存或混合配置，通过光纤通道、iSCSI 或 FCoE 接入。
备份与归档节点以大硬盘裸金属服务器为主。跨地域同步通道以 10G+ 大带宽服务器提供国际 BGP 出口。数据量增长时可追加盘位、增加存储节点或提升同步带宽。
不算机房级容灾。两台机器若在同一机房、同一电力与网络环境下，机房故障时会一起停。主备要分开机房，数据层再按副本策略回滚或把副本提升为主库。
全量备份若压在业务高峰，会占用带宽和磁盘。同步任务错峰执行，增量小时走普通出口，大增量再使用 10G+ 通道，避免白天变卡。
标准配置 30–60 分钟内交付，交付后即可建立备份与同步任务。定制配置需 1–2 个工作日。工作日 30 分钟内首次响应。