波仔
☁️ 第二章 构建系统优先考虑云服务的时代
📄 一句话概括

看得见的地方靠【选】，看不见的地方只能靠【问】和【写】——SLA 上的 99.9% 要换算成时间才知道意味着什么（一年能停 8.76 小时），海外法律决定的是你的数据受谁管。

📝 本节和前面几节的关系

上一节（利用云服务的注意事项（看得见的地方））处理的是"下单时能勾的项"。这一节处理的是"写在合同里、但不容易看懂的那些"。

而这一节之所以重要，是因为它和 2-1 讲的合规话题遥相呼应：2-1 说 ISMAP 这类制度替你过了一遍合规关，但制度只管"这家厂的资质"，不管"你这份合同的具体条款"。资质是入场券，条款才是你实际拿到的东西——这一节讲的就是怎么看条款。

一、"看不太见的地方"指什么

教材的这个划分很准：看得见的地方是你能在控制台里点选的，看不太见的地方是写在合同、附件和条款里的。

具体是三类：

它们的共同特点是：不选就不会看到，看到了也不容易懂。 所以经常被跳过——而他们恰好是出事之后唯一能指望的东西。

二、SLA 上写的 99.9%，到底是多少时间

把百分比换算成时间，感受立刻不一样：

可用性 一年允许中断 每月允许中断 通俗叫法
99% 3.65 天 7.2 小时 两个 9
99.9% 8.76 小时 43.2 分钟 三个 9
99.95% 4.38 小时 21.6 分钟 三个半 9
99.99% 52.6 分钟 4.32 分钟 四个 9
99.999% 5.26 分钟 25.9 秒 五个 9

这张表最该记住的是第三行：99.9% 意味着一年可以停 8.76 小时。 这个数字听起来还不少——而它正是绝大多数云服务对外承诺的那一档。

换句话说：你用了三个 9 的服务，就要接受【一年里大概有一个工作日是停着的】。 如果你的业务容不下这一点，那么责任不在服务商——它已经把话说清楚了，需要做的是你在上面自己加一层（比如跨可用区部署、双活），而不是指望它把那 8.76 小时降到零。

还有一个细节：越往上，"9" 的边际代价越陡。 从三个 9 到四个 9，允许中断从 8.76 小时缩到 52.6 分钟——这一个"9"，靠的是成倍的基础设施投入。所以别把"追求五个 9"当默认目标。

三、SLA 里的三句话，字面意思和实际意思不一样

SLA 里的三句话 字面意思 你该追问什么
【可用性 99.9%】 一年最多停 8.76 小时 怎么算？按月还是按年？
【服务补偿】 返代金券，不赔你的损失 几倍？怎么申请？
【排除条款】 计划维护、不可抗力不算 维护窗口提前多久通知？

这三句话里，最容易被误解的是第二句。

【服务补偿】指的是"返代金券"，不是"赔偿你的损失"。 也就是说：如果因为云服务故障导致你少赚了一百万，你拿到的是当月费用的若干倍折算成的代金券——它赔的是你的账单，不是你的业务。

这是所有云服务合同的通行做法，不是哪一家的特例。 所以"用了云，出事有人兜底"这个想法，在正常合同下是不成立的。兜底只能自己做——这就是上一节讲的灾备等级为什么重要。

第一句和第三句则决定了你有没有资格索赔：算的是月度还是年度可用率、维护窗口算不算中断、提前多久通知。这些细节不清，那 99.9% 就只是一句装饰。

四、海外法律：四个风险点

风险点 具体是什么 怎么应对
数据主权 数据存在哪国，就受哪国法律管 选境内区域，或专用合规区
长臂管辖 母公司所在国可能要求调取数据 确认提供商的股权与总部
跨境传输 出境要走合规流程 先确认路径，别默认可以
法律冲突 两国要求互相矛盾时无从遵守 用区域隔离规避，不靠承诺

这四条里，第一条最根本：数据存在哪里，就归哪里的法律管。

这条规则推出的结论常常让人意外：你用一家本国的服务商，数据也可能存在境外——因为服务商可能在多个国家有数据中心，而你的资源默认可能分配在离你最近的任何一个区域。所以"合同是跟谁签的"和"数据存在哪里"，是两件需要分别确认的事。

第二条（长臂管辖）则解释了为什么"看厂商注册地"这个判断方法不够用：某些国家的法律会要求其境内的公司（包括其在境外的子公司）配合调取数据。所以选型时真正该问的是"这份数据物理上存在哪些国家、由哪些实体运营"。

这两点合起来，回到 2-1 提过的那句话：ISMAP 这类名单审的是能力，不是国别；而"数据主权"关心的是位置，也不完全是国别。 两个维度都对，但不能相互替代。

五、动手 Demo：把百分比换成时间，把条款摊开看

# 把 SLA 上的 "9" 换成一年能停多久
def downtime(availability):
    return (1 - availability) * 365 * 24 * 60   # 分钟/年

for pct in (99, 99.9, 99.95, 99.99, 99.999):
    m = downtime(pct / 100)
    print("%-8s 一年允许中断 %8.1f 分钟（约 %.2f 小时）" % (str(pct) + "%", m, m / 60))

实跑输出：

==================================================================================================
D11 注意事项（看不太见的地方）：SLA 与海外法律
==================================================================================================
  【一】SLA 上写的 99.9%，换成时间是多少

  可用性      一年允许中断        每月允许中断        通俗叫法
  --------------------------------------------------------------------
  99%         3.65 天             7.2 小时            两个 9
  99.9%       8.76 小时           43.2 分钟           三个 9
  99.95%      4.38 小时           21.6 分钟           三个半 9
  99.99%      52.6 分钟           4.32 分钟           四个 9
  99.999%     5.26 分钟           25.9 秒             五个 9

  【二】SLA 里的三句话，字面意思和实际意思不一样

  SLA 里的三句话              字面意思                    你该追问什么
  --------------------------------------------------------------------------------------
  【可用性 99.9%】            一年最多停 8.76 小时        怎么算？按月还是按年？
  【服务补偿】                返代金券，不赔你的损失      几倍？怎么申请？
  【排除条款】                计划维护、不可抗力不算      维护窗口提前多久通知？

  【三】数据放在海外，会多出哪些法律风险

  风险点            具体是什么                          怎么应对
  --------------------------------------------------------------------------------------
  数据主权          数据存在哪国，就受哪国法律管        选境内区域，或专用合规区
  长臂管辖          母公司所在国可能要求调取数据        确认提供商的股权与总部
  跨境传输          出境要走合规流程                    先确认路径，别默认可以
  法律冲突          两国要求互相矛盾时无从遵守          用区域隔离规避，不靠承诺

  ④ 看得见的地方能靠【选】规避，看不见的地方只能靠【问】和【写】。
     追问三句：怎么算？赔什么？哪些不算？这三问答不清的，
     那份 SLA 基本等于没有。

读这个输出：第一张表里，"每月允许中断"那一列最有体感——四个 9 是"每月 4.32 分钟"，而三个 9 是"每月 43.2 分钟"。每月四十多分钟，大概就是一次"系统好像卡了一下"的经历。 这不是纸面数字，是你实际上会遇到的那种停顿。第二张表的重点在第二行——"返代金券，不赔你的损失"，这一句是所有云合同的共同特征，记住它，就不会对"出了事有人赔"抱有幻想。

六、⚠️ 2026 现状

30 秒实验

打开你常用的一项云服务（网盘、邮箱、在线文档都行），找到它的服务条款或可用性说明，找三样东西：

  1. 它承诺的可用性是多少？ 换算成"一年能停多久"。
  2. 服务补偿是怎么写的？ 是返代金券还是赔偿？多少倍？
  3. 排除条款里列了哪些不算中断的情况？

如果你在三分钟里没找到这三样，那说明这份条款的实际作用是"免责"，而不是"承诺"——而这正是这一节想让你注意的地方：看不见的地方，本来就没人替你检查。

常见误区

  1. 错误：承诺了 99.9%，出问题就能索赔。——纠正：先看补偿是什么形式。绝大多数云服务的补偿是代金券，而且通常只有服务费本身的若干倍——它补的是你的账单，不是你的损失。所以"有 SLA"和"有保障"是两件事：前者是对方的承诺上限，后者要靠你自己在架构上做的冗余。

  2. 错误：越高的"9"越安全，所以尽量挑承诺最高的。——纠正：先看清"承诺"和"实际"的差距。承诺是下限不是上限——服务商实际达到的可用率可能高于承诺，而承诺低的可能实际相当稳。更重要的是：这一个"9"的价格往往是成倍的，而收益是递减的（从 8.76 小时降到 52.6 分钟，要多付很多钱）。正确的顺序是先确定业务能容忍停多久，再去找匹配的那一档，而不是反向挑最高的。

  3. 错误：选了本国服务商，数据就留在本国。——正确认识是："跟谁签约"和"数据存在哪"要分开确认。一家服务商可能在不同国家都有数据中心，资源默认分配在哪取决于你选定的区域。所以真正该查的是区域列表和数据的实际存放位置，而不是服务商的名字或注册地。（这也是 2-1 提到的那句话的延伸：名单审的是能力，不代替你确认位置。）

  4. 错误：合同里写了合规承诺，就不用管了。——纠正：有些法律冲突靠承诺解决不了。当一国的法律要求提供数据、另一国的法律禁止提供时，再详细的合同条款也无法同时满足两者。实践中可行的做法是物理隔离——把数据放在某个区域、不跨区流动，用位置本身来规避冲突，而不是靠条款里的一句保证。这也再次说明：选区域这个动作，承担的功能比想象中多。

自测三问（点开对答案） 1. 为什么说"承诺了 99.9%"这句，光看百分比是看不懂的？ —— 因为**百分比要换算成时间才有体感**：99.9% 等于一年能停 8.76 小时、每月 43.2 分钟。**而这个量级恰好是"会遇到但不算频繁"的那种停顿**——不看换算，很容易把它想成"几乎不会停"。**更关键的是，它还是绝大多数云服务的承诺档位**，所以"差不多够用"其实是"默认档位"的意思。 2. 为什么"服务补偿是代金券"这件事，决定了你必须自己设计冗余？ —— 因为**代金券补的是成本，不是损失**。服务故障导致你少赚的那部分，不在补偿范围内。**所以平台承诺的是"我不会经常坏"，而不是"我坏了你没事"**——后者只能由你自己在架构上实现（跨可用区、多活、降级预案）。**把这两件事分清，就不会在出事之后才发现差了一个数量级。** 3. "数据存哪就受哪国法律管"这条规则，为什么意味着要分开确认"签约方"和"存放位置"？ —— 因为**它们由不同的机制决定**：签约方取决于你跟哪个实体签合同；存放位置取决于你的资源被分配到哪个区域。**这两者可以不一致**——你签的是本国实体，资源却可能落在境外的某个区域。**所以确认合规性时，要查的是区域列表和数据存放的实际情况**，而不是对方的公司名。

相关笔记