TG咨询全球业务服务器容灾面对的并不是单一故障。机房断电、网络中断、存储损坏、误删数据和软件版本故障，都可能让业务无法正常访问。真正可执行的方案，通常要同时解决两件事：数据能否恢复，以及用户能否切换到可用环境。前者依靠备份策略，后者依靠故障切换机制，二者缺一不可。
先把“备份”和“切换”分成两个问题
备份解决的是数据保护。服务器、数据库和文件需要被复制到与主站点不同的故障域，并保留一定历史版本，避免主机损坏后连同备份一起丢失。切换解决的是服务连续性，包括流量如何转向、应用如何启动、数据库如何接管，以及切换后如何避免双写。
设计前应先明确两个指标：恢复点目标表示最多能接受丢失多长时间的数据；恢复时间目标表示故障发生后，业务需要在多长时间内恢复。内部知识库可能允许较长恢复时间，而支付、账户登录或订单写入服务通常需要更严格的限制。指标越严格，复制频率、备用资源和演练成本通常越高。
备份体系要覆盖数据、配置和密钥
数据库备份不能只依赖整库快照
以 PostgreSQL 为例，可将定期基础备份与连续归档结合使用。基础备份用于搭建备用库，WAL 归档用于恢复到更接近故障发生的时间点。MySQL 也可以采用全量备份、增量备份和二进制日志组合。只保存每天一次的整库文件，可能造成接近一天的数据缺口；只保留实时复制，又难以应对误删表或错误脚本。
文件类数据应保存多个版本，并将备份放在不同账户、不同区域或不同存储系统中。对象存储的版本控制和生命周期规则可以减少误删影响，但需要定期检查恢复权限。备份加密密钥也要单独规划，不能把密钥和备份文件放在同一台服务器上。
建议采用分层备份
- 短周期副本：用于处理主机故障或最近数据恢复，保留时间可按业务要求设置为数小时到数天。
- 长期副本：用于误删、勒索软件或较早版本回退，通常按周或按月保留。
- 离线或隔离副本：限制删除权限，并使用独立凭据，降低主账户被入侵后备份同时被破坏的风险。
全球部署中，备用架构有三种常见选择
| 架构 | 主要做法 | 适用条件 | 局限 |
|---|---|---|---|
| 冷备 | 平时只保存备份，故障时重新创建资源 | 可接受较长恢复时间、预算有限 | 启动和数据恢复耗时较长 |
| 温备 | 备用区域保持部分服务器和数据库同步 | 希望缩短恢复时间但不要求持续承载流量 | 仍需准备扩容、配置和切换流程 |
| 热备 | 多个区域持续运行并保持数据同步 | 跨区域高可用、不能长时间中断的业务 | 架构复杂，跨区域写入和一致性成本较高 |
冷备适合低频访问的管理系统或非关键内容服务；温备常用于主区域与备用区域之间的业务接管；热备更适合需要持续提供服务的场景，但并不代表数据天然一致。跨区域数据库写入仍可能遇到延迟、冲突和网络分区，必须明确谁拥有写入权。
故障切换应设计成可执行流程
全球业务服务器容灾不能只写“发生故障后自动切换”。自动化动作必须有触发条件、人工确认和回切方案，否则短暂网络抖动可能造成频繁切换，甚至形成双主写入。
- 确认故障范围：区分单台服务器、数据库、区域网络还是整个主站点故障，并检查监控、日志和业务探针。
- 冻结高风险操作：必要时暂停批处理、管理后台写入或非关键队列，记录最后确认成功的事务时间。
- 提升备用数据库：按复制延迟选择可用节点，检查数据完整性、账号权限和应用连接配置。
- 切换流量：通过全局流量调度、负载均衡或域名解析将请求指向备用区域，并逐步放量观察错误率。
- 验证关键路径：至少检查登录、读数据、写数据、文件上传、消息消费和后台任务，不能只看首页是否打开。
- 记录并回收：保存切换时间、丢失数据范围和操作日志。主站点恢复后先重建数据同步，再制定回切窗口。
若使用域名解析切换，需要注意缓存时间并不完全可控；缩短解析缓存只能提高切换速度，不能保证所有用户立即转移。对要求更快收敛的业务，可使用具备健康检查能力的流量调度，但仍应保留人工接管手段。
用演练验证方案，而不是只验证备份文件
至少应按月或按季度安排恢复演练，频率取决于业务重要性和系统变化速度。演练可以先在隔离环境恢复数据库和应用，再进行一次受控的区域切换。重点记录实际恢复耗时、复制延迟、配置缺失、证书有效期、第三方接口限制和人工操作步骤。
检查结果应形成清单：备份是否能读取，恢复后的数据是否可查询，应用是否连接到正确数据库，队列是否重复消费，权限是否完整，切换后监控是否仍然报警。任何未经过恢复验证的备份，都只能算作“已保存”，不能算作“可用”。
常见问题
备份放在另一个区域就足够了吗？
不一定。还要验证账号隔离、删除权限、加密密钥、恢复带宽和实际恢复步骤。若两个区域共用同一管理凭据，账户被攻破时仍可能同时影响两边。
自动切换一定比人工切换好吗？
不是。自动切换适合故障边界清晰、健康检查可靠的场景；存在网络抖动、数据库状态不明或可能双写时，人工确认更安全。
只复制数据库，应用服务器可以临时创建吗？
可以，但前提是应用镜像、配置、依赖包、证书和部署脚本都已保存并测试过。否则数据库虽然恢复，应用仍可能因缺少配置而无法启动。
如何判断方案是否达标？
用实际演练结果对照恢复点目标和恢复时间目标，并记录数据缺口、业务中断时间和人工操作量。全球业务服务器容灾只有在备份能够恢复、流量能够切换、业务能够验证时，才真正具备连续性价值。
