1. 高可用与冗余设计导论
企业网络一旦中断，影响的往往不只是“上不了网”这么简单：ERP 无法下单、VoIP 通话中断、视频会议掉线、分支与总部数据不同步，甚至生产系统停摆。因此，高可用与冗余设计不是网络建设完成后的“锦上添花”，而是从需求分析阶段就必须量化的工程目标。本节先建立一套可度量、可识别、可落地的思维框架：用可用性目标与 SLA 定义“要做到什么程度”，用 MTBF/MTTR 解释“为什么能做到”，用单点故障识别找出“哪里最可能先坏”，最后用冗余设计原则回答“怎么改”。
一、可用性目标：把“稳定”翻译成数字
可用性（Availability）通常用百分比表示，含义是系统在统计周期内处于可服务状态的时间比例。其基本关系为：
可用性 = MTBF / (MTBF + MTTR) × 100%
其中：MTBF = 平均无故障时间，MTTR = 平均修复时间把百分比换算成年度停机时间，才能让业务方真正理解代价。按一年 365 天（8760 小时）计算：
| 可用性等级 | 年停机时间（约） | 典型场景 |
|---|---|---|
| 99%（两个 9） | 87.6 小时 | 普通办公网、非关键接入 |
| 99.9%（三个 9） | 8.76 小时 | 一般企业核心业务 |
| 99.99%（四个 9） | 52.6 分钟 | 金融交易、核心生产 |
| 99.999%（五个 9） | 5.26 分钟 | 电信级、关键基础设施 |
需要强调的是，可用性目标必须分层设定。整网 99.99% 并不意味着每个接入交换机都要 99.99%，而是关键路径（如总部核心到数据中心、双出口链路、认证与 DNS 服务）需要更高等级，边缘接入可以适当放宽。否则成本会急剧上升，而收益有限。
二、SLA：把目标写成可考核的承诺
SLA（Service Level Agreement，服务级别协议）是可用性目标的合同化表达。一份可执行的网络 SLA 至少应包含：服务范围（哪些链路、设备、应用）、可用性指标（月度或年度）、停机定义（计划维护是否计入）、测量点（从用户侧还是设备侧探测）、故障响应与恢复时限、赔付或整改条款。例如，某企业约定“总部到数据中心专线月度可用性不低于 99.95%，单次中断超过 15 分钟计入考核，计划维护窗口提前 3 个工作日通知且不计入停机”。这样的描述才具备可测量、可追责、可改进的基础。
三、MTBF 与 MTTR：可靠性与可维护性的双引擎
MTBF（Mean Time Between Failures）反映设备或链路平均能连续工作多久，是“可靠性”指标；MTTR（Mean Time To Repair）反映故障发生后平均多久能恢复，是“可维护性”指标。两者共同决定可用性。举例说明：某核心交换机 MTBF 为 100000 小时，若 MTTR 为 4 小时，则可用性约为 100000/(100000+4)=99.996%；若 MTTR 因备件不足、配置复杂、厂商响应慢而升至 24 小时，可用性降至约 99.976%，年停机时间从约 21 分钟扩大到约 2.1 小时。可见，提升可用性有两条路：提高 MTBF（选高可靠设备、冗余电源、冗余链路）和降低 MTTR（备件、标准化配置、监控告警、快速切换、清晰排障手册）。在预算有限时，降低 MTTR 往往性价比更高。
四、单点故障识别：找到最脆弱的那一环
单点故障（SPOF，Single Point of Failure）是指某个组件失效后，会导致整条服务路径或整个网络不可用。识别方法不是凭感觉，而是沿着“用户—接入—汇聚—核心—出口—数据中心/云”的路径逐段追问：这里有没有第二条路？切换需要多久？切换后容量是否足够？
常见 SPOF 包括：单台核心交换机、单条上联链路、单台出口路由器、单个防火墙、单台认证服务器、单路市电、单台 UPS、单个 DNS、单条运营商专线、堆叠线缆单点、甚至一个未做冗余的 VLAN 网关。识别时建议用“故障注入”思维：假设该对象此刻完全失效，哪些用户、哪些业务会中断？中断多久？有没有自动切换？如果没有，它就是 SPOF。
五、冗余设计的基本原则
识别出 SPOF 之后，冗余设计要遵循几条原则，避免“为了冗余而冗余”。
- 消除单点，而非简单叠加：冗余必须覆盖电源、链路、设备、路径、服务五个层面。只做设备双机但共用一条上联，仍然存在链路 SPOF。
- 冗余路径要物理分离：两条光纤走同一管道、同一桥架，一次施工挖断就会同时失效。理想情况下，双链路应走不同路由、不同运营商、不同供电。
- 冗余要能自动切换且可验证：配置了备份路径不等于故障时会切换。需要定期做切换测试，确认收敛时间、路由协议、VRRP/HSRP 状态、会话同步是否正常。
- 冗余后容量仍需满足业务：双链路各 50% 负载，一条故障后另一条要能承载全部流量，否则切换后拥塞，等于“降级可用”。
- 避免冗余引入新故障域：堆叠、VPC、MLAG 等技术的控制面若配置不当，可能因一条心跳线或一个软件缺陷导致双机同时失效。冗余设计必须考虑“共因故障”。
- 与成本、复杂度平衡：不是所有环节都要双活。可按业务重要性分级：核心双活、汇聚双上联、接入单上联但快速更换，边缘非关键区域允许单点但缩短 MTTR。
六、从目标到行动：一个简化的落地思路
实际项目中，可以按以下顺序推进：第一，与业务方确认关键业务清单和可接受停机时间，形成分层可用性目标；第二，把目标写入 SLA，明确测量点、停机定义和考核周期；第三，绘制当前网络拓扑，沿关键路径逐段识别 SPOF，记录每个 SPOF 的影响范围、现有切换能力和 MTTR；第四，按“影响大、修复成本低”优先排序，制定冗余改造计划；第五，改造后通过故障演练验证切换效果，并把结果反馈到 SLA 和 MTBF/MTTR 统计中，形成持续改进闭环。