金融级高可用方案：华为云跨Region双活容灾参考架构

1. 用途和受众

1.1 预期用途

• 核心用途：指导客户在华为云上设计和部署多区域 Active/Active 灾难恢复架构，在两个或更多华为云区域中同时运行工作负载并处理生产流量，实现近零 RTO（恢复时间目标）和近零 RPO（恢复点目标），在自然灾害、技术故障或人为操作等灾难事件发生时保持业务持续可用。

• 适用场景：金融领域对业务连续性有极高要求的组织，特别适合有严格 RTO/RPO SLA 约束、全球分布用户需要低延迟访问、以及监管要求跨地理区域容灾的场景。

• 业务场景：跨多个华为云区域同时运行业务栈，通过 GeminiDB 双活实例、GaussDB(for MySQL) 跨区域复制和 DCS for Redis 跨区域容灾实现数据秒级实时同步；使用华为云 DNS 地理位置/线路类型路由或 GA 全球加速进行流量分发；支持多种读写模式（本地读/本地写、本地读/全局写、本地读/分区写）以适应不同应用需求；区域故障时通过低 TTL DNS 切换或 GA 流量拨盘实现近零 RTO 故障转移。

• 合规要求：满足等保 2.0、数据本地化、金融行业容灾监管（如银监会两地三中心要求）等合规要求；通过地理位置路由策略确保数据驻留在指定区域内；各区域数据备份至 OBS 并启用多版本控制，防范数据删除或损坏；跨区域数据复制全程加密传输。

• 部署规模：2 个或更多华为云区域（推荐 2~4 个），每个区域跨多可用区（AZ）部署；支持从中小规模（2 区域 × 3 AZ）到大规模（4 区域 × 3 AZ）的弹性扩展。

• 限制条件：多区域活动栈成本高于 Active/Passive 方案，需由业务对最低 RTO/RPO 的需求证明其合理性；需预先规划数据一致性策略（最终一致性下的写冲突需选择全局写或分区写模式）；DNS 故障转移依赖低 TTL 配置，缓存 DNS 记录的客户端可能经历延迟；需配置跨区域数据复制链路和监控告警体系。
  

1.2 目标受众

• 金融与监管行业机构：银行、证券、保险等对业务连续性有强制监管要求的组织，需满足银监会"两地三中心"等容灾合规标准，要求灾难发生时核心交易系统近零中断、数据近零丢失，且容灾切换过程可审计、可追溯。

2. 参考架构概述

2.1 架构描述

一种多区域 Active/Active 灾难恢复架构，在两个或更多不同的华为云区域中同时运行工作负载并处理生产请求。每个区域托管一个高可用的、跨多可用区的工作负载栈。数据在各数据存储之间实时复制并进行备份，在所有 DR 策略中提供最低的 RTO（恢复时间目标）和 RPO（恢复点目标）。此架构可防范自然灾害、技术故障或人为操作等灾难事件。

2.2 业务背景

2.3 架构优点

该方案使用华为云区域作为活动站点，创建多区域 Active/Active 架构。每个区域托管一个高可用的、跨多可用区（AZ）的工作负载栈。主要优点包括：

• 在所有 DR 策略中最低的 RTO 和 RPO — 工作负载持续可用，无切换延迟。
• 流量路由 通过华为云 DNS 的地理位置或线路类型路由策略，或通过华为云 GA（全球加速）进行非 DNS 路由（Anycast IP 就近接入）。
• 跨区域实时数据复制 — GeminiDB 双活实例在秒级复制写入；GaussDB(for MySQL) 跨区域复制延迟通常在秒级以内（RPO=0，跨 Region 切换 RTO < 120 秒）。
• 多种读写模式 — 本地读/本地写、本地读/全局写、本地读/分区写 — 以适应不同的应用需求。
• 各区域数据备份 防范数据删除或损坏，备份可恢复至最近的已知良好状态。
• 故障转移 通过更新 DNS 记录或 GA 流量拨盘实现，本地写模式可实现近零 RTO，因为任何区域都可在无需更改数据层的情况下接受写入。

2.4 设计关注点

2.5 典型架构

典型架构图

该图展示了两个华为云区域（Active/Active），每个区域包含工作负载栈。华为云 DNS 使用地理位置或线路类型策略路由流量。数据通过 GeminiDB 双活实例、GaussDB(for MySQL) 跨区域复制或 DCS for Redis 跨区域容灾在区域间实时复制。每个区域还维护数据备份至 OBS。

2.6 流程描述

sequenceDiagram
    actor User as 用户
    participant DNS as 华为云 DNS
    participant RegionA as 区域 A（活动）
    participant RegionB as 区域 B（活动）
    participant Data as 数据复制层
    participant Backup as 备份（OBS）

    User->>DNS: 1. DNS 查询
    DNS->>DNS: 2. 评估路由策略（地理位置/线路类型）
    DNS->>RegionA: 3. 路由到最近/符合条件的区域
    RegionA->>RegionA: 4. 处理读/写（本地读模式）
    RegionA->>Data: 5. 将写入复制到其他区域
    Data->>RegionB: 6. 实时数据复制（秒级）
    RegionA->>Backup: 7. 定期备份至 OBS
    RegionA-->>User: 8. 返回响应

    Note over DNS,RegionB: 区域故障时：
    DNS->>RegionB: 9. 故障转移 — 更新 DNS 记录（低 TTL）
    RegionB-->>User: 10. 从健康区域提供服务

逐步说明：

1. 用户提交请求 — 用户发送 DNS 查询以解析应用端点。
2. DNS 评估路由策略 — 华为云 DNS 应用配置的路由策略（地理位置或线路类型）来确定目标区域。
3. 路由到目标区域 — 请求被路由到最近或符合条件的活动区域（正常运行时为区域 A）。
4. 本地处理读/写 — 使用本地读/本地写模式，所有读写请求均由本区域处理以保持低延迟。
5. 跨区域复制写入 — 写入通过 GeminiDB 双活实例（秒级）、GaussDB(for MySQL) 跨区域复制（秒级以内）或 DCS for Redis 跨区域容灾实时复制到其他区域。
6. 实时数据复制 — 数据复制层将变更传播到区域 B，确保两个区域都有最新数据。
7. 定期备份 — 每个区域定期将数据备份到华为云 OBS，以防范数据删除或损坏。
8. 返回响应 — 本地区域将响应返回给用户。
9. 故障转移（区域故障时） — 如果某区域不可用，DNS 更新 DNS 记录（低 TTL）或 GA 调整流量拨盘，将流量路由到健康区域。
10. 从健康区域提供服务 — 健康区域继续以近零 RTO 处理生产流量。

2.7 云服务产品清单

3. 参考链接

• 华为云全球加速 GA 产品页：https://www.huaweicloud.com/product/ga.html
• 华为云 DNS 云解析产品页：https://www.huaweicloud.com/product/dns.html
• 华为云 GeminiDB 双活搭建指南：https://support.huaweicloud.com/usermanual-geminidb/geminidb_05_0001.html
• 华为云 GaussDB(for MySQL) 跨区域容灾：https://support.huaweicloud.com/usermanual-gaussdb/gaussdb_05_0001.html
• 华为云 DCS for Redis 跨区域容灾：https://support.huaweicloud.com/usermanual-dcs/dcs_05_0001.html
• 华为云 OBS 跨区域复制：https://support.huaweicloud.com/usermanual-obs/obs_03_0001.html
• 华为云 CES 云监控：https://support.huaweicloud.com/usermanual-ces/ces_01_0001.html

4. 使用限制

• 成本较高：在多个区域运行活动栈比 Active/Passive DR 策略更昂贵。成本必须由业务对最低 RTO/RPO 的需求来证明其合理性。
• 运维复杂性：跨多个区域的管理、监控和部署增加了运维开销。
• 写冲突：使用 GeminiDB 双活实例的本地读/本地写模式时，不同区域对同一项目的并发更新可能导致"后写者胜"的协调策略，可能丢失数据。需要强一致性的应用应使用全局写或分区写模式。
• DNS TTL 依赖：使用 DNS 进行故障转移时，DNS TTL 必须设置得足够低以满足 RTO 目标。缓存 DNS 记录的客户端可能经历延迟。
• 数据治理：必须仔细配置地理位置路由，以确保满足数据驻留合规要求。
• 故障转移时重新分区：使用分区写模式时，如果受影响的区域是某些记录的归属区域，工作负载必须将这些记录重新分区到剩余区域。

附录 A. 术语和缩写