安全的最后一块拼图是"坏了也能继续用"——容错思想换着队形出现：双机热备一台干活一台待命（心跳线随时喊话）；集群多台同时干活、负载均衡分单且坏一台自动摘除；网卡绑定和 RAID 把同一招用到网络口和硬盘上（两根线/多块盘顶一个岗）；数据层面用"周日完整备份 + 每天差分备份"打底，恢复只需两份；电源层面 UPS 顶住停电瞬间、自发电接管长时间停电。所有招数共享同一个基因：不把命押在任何一个零件上。
7.1-7.7 防的是"人祸"（入侵、泄漏、病毒），本篇防的是"天灾"——硬盘坏、网卡坏、停电、机器罢工。第二章的冗余（双电源/热插拔）是零件级容错，本篇升级到机器级（双机/集群）、线路级（网卡绑定）、磁盘级（RAID——3.7-3.11 讲过它的原理与"RAID≠备份"）、数据级（备份）和机房级（UPS/自发电）。6.1-6.2 的监控负责"发现坏了"，本篇负责"坏了也没事"。
一、容错、双机化与负载分散：故障应对的三种姿势
容错（Fault Tolerance） 是总思想：假定任何零件都会坏，坏了业务也不能停。落到服务器上三种队形：
- 双机化（热备）——一台主服务器干活，一台备服务器热待命，中间一条心跳线：主机器每几秒喊一声"我还活着"，某天喊不应了，备机自动接管（IP、服务一起接）。代价：备机常年空转，切换瞬间也有几秒中断。适合数据库这类"只能一个实例写"的服务
- 负载分散——把活摊到多台机器上，不把所有业务压在一台上：文件服务器管文件、数据库另放一台——一台出事只死一角（对照 6.1 的"多雇人一起干"）
- 集群——下面单讲，它是"多台当一台用"的进阶形态
二、集群与负载均衡：多台服务器当一个用
集群（Cluster） 把一群服务器组成一个逻辑整体，对外只露一个门面（一个虚拟 IP、一个域名），负载均衡器站在门口分单：
- 分单——请求轮流/按负载发给各成员，没有闲人也没有累死鬼（6.1 "多雇人一起干"的正规编制）
- 健康检查——负载均衡器不停探活每台成员，某台没心跳就自动摘出队伍，客户毫无感知；修好再加回来
- 随加随扩——业务涨了往集群里加机器就行（横向扩展的正规军，第一章爆发系的终极答案）
双机热备 vs 集群一句话分清：双机是"一台坏另一台顶"（可用性方案，备机平时闲着）；集群是"大家一直一起干，坏一台其余的分摊"（可用性 + 性能双收）。成本也顺理成章：双机便宜，集群贵但值。
三、网卡绑定与 RAID：同一招用在网线和硬盘上
集群防的是"整机故障"，再往下拆，线路和磁盘也要冗余——而且用的是同一个思想：多个物理件顶一个逻辑岗。
- 网卡绑定（NIC Teaming）——服务器插两根网线、装两块网卡，系统里合成一块"逻辑网卡"：平时双线分担流量（还顺手提速），断一根线业务不掉（自动走另一根）。双机心跳线本身也常用绑定防"心跳线被拔"这种荒诞事故
- RAID（磁盘阵列）——多块硬盘组成一个逻辑盘：RAID 1 镜像（一份数据两块盘各存一份）、RAID 5/6 带校验（坏 1~2 块盘数据不丢）。原理在 3.7-3.11 讲过，本篇放回容错语境：RAID 是磁盘界的双机热备——坏一块盘热插拔换上，阵列自动重建
四、完整备份与差分备份：数据的最后防线
先立一个观念：RAID 防的是盘坏，RAID 不是备份——误删、勒索病毒加密、整台机器被偷，RAID 一个都防不住（坏消息会同步到每一块盘上）。真正的数据防线是备份。
主流搭配是"完整备份 + 差分备份"的周日历：
- 周日：完整备份（Full）——全部数据整份拷走（例子里的 100 GB）
- 周一~周六：差分备份（Differential）——每天只备份"自周日完整备份以来变过的部分"；一天比一天肥，到下个周日清零重来
- 恢复 = 两份就够——周日完整 + 最后一个差分，两份一拼就是最新数据
对照记忆增量备份（Incremental）：它备份"自上次备份（不管哪种）以来的变化"，每天都很瘦，但恢复要"完整 + 周一 + 周二 + …"一整串，缺一份就断链。差分备份次数多、增量备份链条长——前者恢复快但占空间多，后者省空间但恢复繁琐，按业务能容忍的恢复时长来选。
备份的终极铁律：备份放在别处才算备份——另一台机器、磁带库、异地机房。同一台服务器上的"副本"防不了火灾、进水、勒索病毒。以及：没验证过恢复的备份不叫备份——定期做恢复演练才知道真出事时捞得回来多少。
五、自发电与 UPS：电源的备份
第二章见过双电源 + 双路供电，那是"市电内部"的冗余。停电再升级一层，还有两级缓冲：
- UPS（不间断电源）——墙电和服务器之间的一块大电池：市电一断，它零间隙顶上，但只够撑几分钟到几十分钟。它的任务不是"长期供电"，而是争取体面：要么撑到市电恢复，要么撑到发电机接手，最不济也要撑到服务器安全关机（防止磁盘数据写一半损坏）
- 自发电（柴油发电机）——长时间停电的主力，启动需要时间（几十秒到几分钟）——正好由 UPS 填这段空窗。UPS 顶瞬间，发电机接管长期，两级接力才算完整的电源备份
重要系统常配"双路市电 + UPS + 发电机"三级，机场、医院、数据中心都是这个配方。
六、常见误区
- "上了集群就不用备份了"——集群防"机器坏"，防不了"数据被删/被加密/被搞坏"——集群把坏数据实时同步到每一台成员上，反而坏得更快更全；可用性和数据安全是两条线。
- "差分备份比增量备份先进"——没有谁更先进：差分备份频繁但恢复只拼两份，增量备份省空间但恢复链条长；选型看"出事时你能容忍多久恢复"，不看谁新。
- "UPS 能撑很久，停电不用慌"——UPS 是电池不是发电机，分钟级续航；它存在的意义是"争取体面"（恢复供电或安全关机），指望它长期供电是拿红牛当饭吃。
- "网卡绑定就是为了提速"——提速是副产品，主业是容错：一根线、一个口、一台交换机坏，业务不断；只当提速用，等于白买保险。
七、动手 Demo：给重要文件做一次"完整 + 差分"
用 robocopy（Windows 自带的镜像复制工具）体验完整/差分的手工版：
周日版：完整备份（全量镜像到备份盘）
robocopy "C:\Data" "E:\Backup\Data" /MIR
看到什么算成功：输出一张统计表（文件数/字节数），E:\Backup\Data 里出现完整副本。
周一版：差分思想（只拷"变了的"——robocopy 默认跳过未变化的文件）
robocopy "C:\Data" "E:\Backup\Data" /MIR /LOG:"E:\Backup\diff_mon.txt"
看到什么算成功：日志里绝大部分文件显示"跳过"（Skipped），只复制了改动过的文件——这正是差分备份的本质：只搬"自上次完整以来变了的"。 /MIR 会同步删除，模拟的就是"备份盘与源目录一模一样"。
30 秒实验：删掉源目录里随便一个测试文件，再跑一遍第二条命令，然后去 E:\Backup\Data 看——那个文件在备份里也没了。这一刻你就亲眼见到了"镜像备份"的锋利与危险：源坏了它会忠实地把坏同步过去——这就是为什么正经备份方案要做多版本、放别处。
自测三问（点开对答案）
1. 双机热备和集群的本质区别？——双机=一台坏另一台顶（备机平时闲着，切换有秒级中断）；集群=多台一直一起干、负载均衡分单+健康检查自动摘除（可用性与性能双收）。 2. 差分和增量备份差在哪？恢复各要几份？——差分基准是"上次完整备份"（一天比一天肥，恢复=完整+最后一个差分，两份）；增量基准是"上次任何备份"（每天很瘦，恢复=完整+整条链，缺一份断链）。 3. UPS 和发电机怎么配合？——UPS 零间隙顶住停电瞬间但只有分钟级电量，撑到发电机启动接管长期供电；两者接力才是完整电源备份。- ☑ 第八章 服务器的导入——服务器配置、性能估算、设置环境 已开课 → 导入的外部环境