8-2 服务器的备份方法 · 波仔的云计算课

📄 一句话概括

这一节讲服务器坏了怎么办，办法是把机器分成备机从冷到热的四个档位——冷备（关机等着）、温备（装好待机）、热备（同时运行随时接管）、双活（两边都扛流量）。档位越高，恢复越快、账单越贵。而【自动故障转移】是让这套机制自己动起来的那只手：人工切换要半小时，自动切换只用一分多钟，差距全在【谁来按按钮】。

📝 本节和前面几节的关系

它接上 8-1 的【跨可用区】：上一节说【分散部署能扛住机房级故障】，这一节要说清【分散之后靠什么自动接上】。 只把机器摆开还不够，得有一套机制在坏掉的那一刻把流量挪过去。

它也是 5-8【三机容错】的具体展开：那一节讲的是【冗余这个思路】，这一节把它落到【冷、温、热、双活】这四档可选的代价上。

一、先分清两件事：备份和容灾

讲具体方法之前，得先分清两个经常被混为一谈的词——它们的目标完全不同：

维度	备份	容灾
要解决什么	数据不丢	业务不停
核心指标	数据能回到多久以前（RPO）	多久能重新服务（RTO）
防的是	误删、写坏、勒索软件	机房断电、区域级灾害
平时的状态	静静躺着，不参与业务	实时同步，随时能接班

一句话记住区别：备份像手机的云相册——手机丢了，照片还在，但你要重新买一台手机、重新登录；容灾像你同时用着两台手机——一台坏了，拿起另一台就能用，什么都不用重来。

这一节讲的是容灾那一侧（备机怎么热、怎么自动切换）；下一节 8-3 讲的是备份那一侧（数据怎么存、怎么恢复）。两者是两道不同方向的防线，缺一不可。

二、动手 Demo：四种主备形态与自动切换的时间账

看到什么算成功：

==================================================================================================
【Demo 2】服务器的备份方法：热备份、冷备份、自动故障转移
==================================================================================================

  【一】四种主备形态：备机到底热到什么程度

  形态      备机状态                      数据同步              RTO           RPO
  ------------------------------------------------------------------------------------------
  冷备      关机，故障时人工开机          定时拷贝（每天）      小时 ~ 天     等于备份间隔
  温备      待机，服务装好不进流量        准实时（分钟级）      10 ~ 30 分钟  数分钟
  热备      与主机同时运行，随时接管      实时同步              秒 ~ 1 分钟   近零
  双活      两边同时扛流量                双向实时              近零          近零

  越往上越快，也越贵。选哪一档，取决于【业务能容忍停多久】。

  【二】自动故障转移的时间账

  一次自动切换 = 检测 + 决策 + 切换 + 验证

  环节              做什么                                      耗时
  ------------------------------------------------------------------------------------
  检测              心跳每 2 秒一次，连续 3 次失败才判定        约 6 秒
  决策              冷静期，防止抖动造成误切                    约 30 秒
  切换              低 TTL 的 DNS 生效，连接重连                约 20 秒
  验证              健康检查通过，确认能对外服务                约 10 秒

  合计约 66 秒。人工切换通常要 30 分钟以上 —— 差距全在【谁来按按钮】。

读结果：

第一张表的四个档位，是按【备机有多接近主机】排的。冷备的备机根本没开，所以恢复慢、但便宜；热备的备机一直和主机同步跑着，所以几乎无缝，但你要为两台机器付两份钱。中间那个温备，是性价比的折中——这也是它最常被中小企业选用的原因。
要特别注意的是 RPO 那一列。冷备的 RPO 等于备份间隔——每天备份一次，就意味着一出事最多丢一天的数据。很多人只盯着 RTO（多久能恢复），却忘了问一句【恢复回来的数据，是到什么时候的】——这才是真正决定损失的那个数。
第二张表把【自动】两个字拆开了。66 秒里，真正花在【切换动作】上的只有 20 秒，其余 46 秒都花在检测和冷静期上。这说明一件事：自动故障转移的难点不在【快】，而在【准】——太灵敏会把抖动当故障（误切），太迟钝又救不回来。中间那个【连续 3 次失败才判定】和【30 秒冷静期】，就是拿来买【准】的。

三、四档备机，各配什么业务

把这四档对应到业务上，就有了选择的依据：

形态	适合什么	不适合什么
冷备	内部工具、归档系统、测试环境	任何需要连续对外服务的业务
温备	中小企业的核心系统、有容忍度的业务	秒级中断就会损失惨重的业务
热备	数据库、交易系统、对外主站	成本敏感的非核心系统
双活	支付、金融核心、不能停的业务	预算和运维能力有限的团队

这里有两条经验值得记下：

第一，档位不是越高越好，是【够用就行】。 一个每月只用几次的内部报表系统，给它配双活是浪费；反过来，一个每秒都在收钱的交易系统配冷备，是把风险当成本省。所以选档位的依据，永远是【业务停一分钟损失多少】，而不是【哪个听起来最安全】。

第二，温备和热备有一个共同的坑：【平时不用、用时故障】。 备机长期待机，脚本会过时、密码会过期、配置会漂移——真出事时才发现切不过去。 业内有句话："超过一半的企业从没真正演练过主备切换。" 所以配了备机，还要定期真的切一次——没演练过的备机，等于没有。

四、自动故障转移：让机器自己接棒

人工切换慢在哪？慢在【人要先发现故障、再决定要不要切、再找到脚本、再执行】——这几步加起来，半小时都算快的。 而自动转移把这套流程交给系统：

检测：靠心跳机制——备机每隔几秒问一次主机【你还在吗】。连续几次没回应，才判定为故障（单次超时可能只是网络抖了一下）。
决策：留一段冷静期，防止假故障触发真切换。
切换：把指向主机的访问入口（比如 DNS 记录）改到备机，让新流量找到它。
验证：确认备机真的能对外服务，才算切换完成。

整个过程里最重要的设计原则是【宁可晚一点，不可切错】。因为一次误切（把好的主机当成坏的踢掉），造成的混乱往往比故障本身还大。所以这套机制宁可多等几秒确认，也不急着动手。

五、2026 现状

① 云上的【冷备】正在退场。 自建时代冷备很常见（备机平时关机省电），但在云上，按需的机器是【按秒计费】的——你可以让备机平时不存在，出事时用自动化脚本几分钟内拉起来（这叫【从基础设施代码重建】）。结果就是：云上的冷备恢复速度，比自建时代的冷备快了一个数量级。

② 【演练】被写进了合规要求。 2026 年，金融、医疗等受监管行业不再只看【你有没有备机】，而是要看【你多久真演练一次】。未经演练的备份与容灾方案，在审计里是不合格的。

③ RTO / RPO 成了业务语言的词。 现在很多企业不是让技术团队自己定这两个指标，而是让业务部门先说【停多久、丢多少数据接受不了】，技术再去实现。这个顺序上的变化很重要——它把容灾从【技术选型】变成了【业务决策】。

30 秒实验

找一个你现在正在用的在线服务（网银、邮箱、常用的 App 都行），做两件事：

想想它上一次让你等很久、或者报错是什么时候，大概等了多久。
再想想：如果它停一整天，你会怎么办——是换个方式办，还是只能干等？

做完你会对【业务能容忍停多久】这件事有一个具体的感受。这个感受，就是选【冷备还是热备】时该拿出来的那把尺子——尺子不在技术团队手里，在你手里。

常见误区

错误：只要有备份，服务器坏了就不怕。——纠正：备份保的是数据，不是业务。服务器坏了，你确实能把数据恢复回来，但那要花时间——从找备份、恢复到重新提供服务，几个小时甚至几天都有可能。 如果你的业务【停一小时就损失惨重】，光有备份是不够的——还得有备机顶着。备份解决【丢不丢】，容灾解决【停不停】。
错误：备机配得越热越好，反正现在机器便宜。——纠正：热备的成本不只是机器费——备机要一直运行、一直同步数据、还要买相应的许可。双活的代价更高：你要解决双向同步的冲突、处理两边状态不一致的问题。 所以档位要按业务需求选，不是按预算上限选——给一个内部工具配双活，是把钱花在了体验不到的地方。
错误：配了自动故障转移，就不用管了。——纠正：自动切换的前提是【它真的能切】，而这个前提只有演练才能验证。心跳配置错了、切换脚本引用的地址过期了、备机上的应用版本落后了——这些平时都看不出来，真出事时才暴露。所以【配了】和【能用】之间，隔着【定期演练】这一步。 2026 年监管要求里专门盯着这一点，不是没有道理的。
错误：故障转移越快越好。——纠正：快是要付出【准】的代价的。心跳检测越灵敏，把网络抖动误判成故障的概率越高；一次误切造成的混乱，可能比多等 30 秒更大。所以自动转移的设计原则是先保准确、再求速度——Demo 里那 46 秒的检测加冷静期，不是拖沓，是故意留出的安全余量。

自测三问（点开对答案）

1. 为什么说【有备份】和【有容灾】是两件不同的事？ —— 因为它们**防的是两类不同的故障，保的是两样不同的东西**。**备份保数据**——**误删、写坏、勒索软件面前，它是唯一的救命稻草**，但它的恢复要花时间（**业务照样停着**）。**容灾保业务**——**机房掉电、区域灾害面前，它让服务继续跑**，但它**挡不住逻辑错误**（**你删的数据会同步复制到备机，两边一起丢**）。**所以真正的体系必须两个都有**：**备份兜底数据，容灾兜底时间。** 2. 为什么自动故障转移要设置【冷静期】，而不是一发现没响应就立刻切？ —— 因为**误判的代价可能更大**。**如果只是网络抖了一秒，主机其实好好的，你却把它判成故障、把流量切到备机——** **这就造成了一次【原本不必发生的中断】**，而且**切回来又是一次中断**。所以设计上**宁可多等几秒确认，也不赌那一秒**。**这体现的是容灾设计的一条底层原则**：**目标不是【切得最快】，而是【切得最准】**——**因为一次切错的损失，往往大于多等 30 秒。** 3. 为什么【温备和热备共同的坑】是【平时不用、用时故障】？ —— 因为**备机是【一套独立运行的东西】，它和主机一样会过时、会漂移**。**主机的配置在改，备机的脚本可能还停在半年前**；**主机的密码换了，备机里存的可能还是旧的**。**平时没人碰它，这些差异就一直藏着**——**等到真需要它接班的那一刻，才一起爆发出来。** 这就是为什么**【备机维护】和【切换演练】不是可选项**——**它们是让【备用】这两个字真正成立的唯一办法。**

☐ 下一节（8-3 系统的备份方法：暖备份）