3. 备份恢复接口概述

在 Error Budget 变更窗口体系中，备份恢复接口是保障服务韧性的最后一道防线。当变更引发预期外故障、配置漂移或数据损坏时，备份恢复接口提供标准化的回退路径，确保 SLO 目标不被单次变更击穿。本章从接口作用、分类体系与调用场景三个维度建立完整认知。

3.1 备份恢复接口的作用

备份恢复接口的核心价值在于：将变更窗口的“可回退性”转化为可编程的 API 契约。具体作用包括：

• 故障隔离与快速回滚：当变更导致 Error Budget 消耗速率超过阈值时，通过恢复接口将系统状态回退至变更前的已知正常状态。
• 配置一致性校验：备份接口不仅存储数据，还记录配置快照的元数据（版本号、时间戳、变更 ID），用于回滚前的差异比对。
• 跨环境状态同步：在蓝绿部署、金丝雀发布等场景中，备份恢复接口支持将生产环境的稳定状态复制到预发环境进行验证。
• 审计与合规支撑：每次备份与恢复操作均生成不可篡改的操作日志，满足 SOC2、PCI-DSS 等合规要求。

3.2 接口分类

根据操作对象与恢复目标，备份恢复接口分为三大类。下表从数据维度、配置维度和状态维度进行对比：

3.2.1 数据备份接口

数据备份接口负责持久化存储层的快照与增量备份。典型 API 设计如下：

# 创建全量备份
POST /api/v1/backup/database/{db_name}/snapshot
{
  "backup_type": "full",
  "storage_class": "STANDARD_IA",
  "expire_days": 30
}

# 创建增量备份（基于上次全量或增量）
POST /api/v1/backup/database/{db_name}/incremental
{
  "base_snapshot_id": "snap-20250320-001",
  "wal_segment_range": ["0000000100000001", "0000000100000002"]
}

# 列出可用备份
GET /api/v1/backup/database/{db_name}/snapshots?status=completed&limit=20

3.2.2 配置备份接口

配置备份接口关注基础设施即代码（IaC）的版本化。每次变更窗口开启前自动触发配置快照：

# 创建配置快照（自动关联变更 ID）
POST /api/v1/backup/config/{service_name}/snapshot
{
  "change_request_id": "CR-20250320-042",
  "include_secrets": false,
  "format": "yaml"
}

# 对比两个配置版本
GET /api/v1/backup/config/{service_name}/diff
  ?base_version=20250320.001
  &target_version=20250320.002

3.2.3 状态恢复接口

状态恢复接口处理无状态服务中的“有状态”缓存层，常用于 Session 迁移或缓存预热：

# 触发缓存节点状态导出
POST /api/v1/restore/cache/{cluster_id}/export
{
  "export_path": "s3://backup/cache/cluster-a-20250320.rdb",
  "node_ids": ["cache-01", "cache-02"]
}

# 从备份恢复缓存集群
POST /api/v1/restore/cache/{cluster_id}/import
{
  "source_path": "s3://backup/cache/cluster-a-20250320.rdb",
  "restore_strategy": "replace_all"  // 或 merge
}

3.3 接口调用场景

在 Error Budget 变更窗口生命周期中，备份恢复接口在以下四个关键场景被调用：

1. 变更前基线建立：在变更窗口开启前 5 分钟，自动调用数据备份接口与配置备份接口，生成“变更前基线快照”。该快照的元数据被写入变更工单。
2. 变更中健康检查失败：当金丝雀或蓝绿部署的健康检查连续 3 次失败，且 Error Budget 消耗速率超过 2x 基线时，自动触发状态恢复接口回滚缓存层，再调用配置恢复接口回退配置版本。
3. 变更后验证回退：若变更后 SLO 指标在 15 分钟内未恢复至阈值以上，SRE 通过手动或自动化管道调用数据恢复接口，将数据库回滚至变更前快照。
4. 跨区域容灾演练：定期调用备份恢复接口将主区域的数据与配置复制到灾备区域，验证恢复时间目标（RTO）与恢复点目标（RPO）是否满足 Error Budget 契约。

3.4 接口调用链路与 Error Budget 联动

备份恢复接口并非孤立存在，而是与 Error Budget 消耗、变更窗口状态机深度耦合。下图展示了一次典型变更中备份恢复接口的调用时序：

3.5 接口设计原则总结