3. 灾备策略全景
在 AWS 多区域高可用与灾备架构中，业界通常用四个递进的策略档位来描述恢复能力：备份与恢复（Backup & Restore）、指示灯（Pilot Light）、暖备用（Warm Standby）、多站点主动-主动（Multi-Site Active/Active）。它们并不是四个互斥的产品，而是同一条“恢复时间 RTO / 恢复点 RPO / 成本”曲线上的四个坐标点。理解这条曲线的关键，是看清每个档位在灾难发生时“哪些资源已经存在、哪些还需要现场创建”，以及由此带来的时间与费用差异。
四个档位的本质差异：预热程度
把灾备想象成一家餐厅应对“主店突然关门”的预案。备份与恢复是“只留了一份菜谱和账本”，需要重新租店面、买设备、招人；指示灯是“店面已租好、水电已通，但厨房没开火”；暖备用是“厨房已开火、食材已备好，只是没接待客人”；主动-主动则是“两家店同时营业，客人随时分流”。预热程度越高，切换越快，但平时烧的钱也越多。
映射到 AWS 资源上：
- 备份与恢复：主区域运行全部资源；备用区域几乎为空，只有 S3 中的备份、AMI 快照、数据库快照、CloudFormation 模板。灾难时用这些“原材料”从零重建整套环境。
- 指示灯：备用区域常驻最核心、最难快速创建的部分——通常是数据库（如 RDS 跨区域只读副本或 Aurora 全局数据库的从集群），以及网络骨架（VPC、子网、安全组、IAM 角色）。应用服务器、容器集群等仍以模板形式保存，切换时才启动。
- 暖备用：备用区域运行一套缩小版但功能完整的栈——例如主区域 10 台 EC2，备用区域常驻 2 台；数据库持续复制；负载均衡器、Auto Scaling 组已就绪。切换时把备用扩容到生产规模并切流量。
- 多站点主动-主动：两个（或更多）区域同时承载生产流量，数据双向或单向近实时复制，用户按延迟或权重被路由到最近/最优区域。任一区域故障，其余区域立即接管全部流量。
下面这张图把四个档位放在同一条“预热程度—切换速度—成本”轴上，并标出每个档位在备用区域“已经存在什么、还缺什么”，这是选择策略时最该先看清的一张全景图。
成本模型：钱花在哪里
四个档位的成本差异，本质上是“常驻资源”与“按需创建资源”的比例差异。可以用一个简化模型来估算：
月度灾备成本 ≈ 备用区常驻资源费 + 数据复制流量费 + 备份存储费 + 定期演练费
其中：
常驻资源费 = 备用区运行中的 EC2/RDS/容器等按需或预留费用
复制流量费 = 跨区域数据传输（如 RDS 复制、S3 CRR、DynamoDB 全局表）
备份存储费 = S3 存储 + 快照存储（按 GB·月计）
演练费 = 定期拉起完整环境做切换测试产生的临时费用以一个月度主区域成本约 10,000 美元的典型三层 Web 应用为例（示例假设，非实测）：备份与恢复档位备用区常驻几乎为零，主要是 S3 与快照存储，约 300～600 美元；指示灯档位常驻数据库只读副本与网络，约 1,200～1,800 美元；暖备用档位常驻缩小版完整栈，约 3,500～4,500 美元；主动-主动档位两区各承担约一半流量，总资源接近翻倍，约 18,000～20,000 美元。可以看到，从指示灯到暖备用，成本跳升最明显，因为“完整栈”开始常驻；从暖备用到主动-主动，成本再次翻倍，因为要承担双份生产容量。
适用场景与选择依据
选择哪个档位，不应只看预算，而应先明确业务对 RTO 与 RPO 的硬性要求，再倒推策略。以下判断依据可作为决策起点：
| 策略 | 典型 RTO | 典型 RPO | 适用场景 |
|---|---|---|---|
| 备份与恢复 | 数小时～数天 | 小时级 | 内部系统、开发测试环境、合规归档、成本极度敏感且可容忍长时间中断的业务 |
| 指示灯 | 数十分钟 | 分钟级 | 核心数据库不能丢、但应用层可接受重建时间的中型业务，如企业内部 ERP、订单后台 |
| 暖备用 | 分钟级 | 秒～分钟级 | 面向客户的关键业务，如电商、SaaS 平台，要求快速恢复但可接受短暂降级 |
| 多站点主动-主动 | 近零～秒级 | 近零 | 金融交易、实时通信、全球用户低延迟访问、监管要求零中断的关键系统 |
实际落地时，很多团队会采用“混合档位”：核心交易数据库用主动-主动或暖备用，周边报表、日志、批处理用备份与恢复。这样既守住关键路径的 RTO/RPO，又避免全系统成本失控。选择时还要考虑运维复杂度——主动-主动带来的数据冲突、幂等设计、全局一致性、故障注入演练等挑战，往往比成本更考验团队能力。
总结来说，四个档位是一条连续光谱，没有绝对优劣，只有与业务要求是否匹配。先量化 RTO/RPO，再评估预算与团队运维能力，最后选择档位并配套演练机制，才是灾备策略设计的正确顺序。