跨区域容灾与切换编排参考架构

1. 用途和受众

1.1 预期用途

• 指导企业在华为云上为关键业务系统（ECS/CCE 工作负载、RDS/GaussDB 数据库、OBS 对象数据）设计和实施跨区域容灾，覆盖持续数据复制、容灾演练、故障切换与回切全生命周期。
• 借鉴业界主流的"块级持续复制 + 编排化恢复"容灾模式：在源端持续将数据以块级方式复制到目标区域的待命环境（staging），灾难宣告后编排化启动恢复实例，实现秒级 RPO、分钟级 RTO，并支持不影响生产的容灾演练与故障回切。
• 为售前、解决方案设计、实施和审查提供可重用的跨区域容灾架构模式。
• 作为容灾建设交付包、等级保护与行业监管容灾合规要求、实际部署的架构基础。
• 定义可靠性、性能、安全、成本和运营护栏。

1.2 目标受众

• SRE 与容灾应急团队：负责容灾方案设计、演练组织、切换与回切执行
• 交付架构师：负责跨区域容灾架构落地、数据同步配置与切换编排交付
• 云平台管理员：管理容灾资源、复制策略与切换编排流程配置
• 业务连续性管理者：评估 RTO/RPO 指标，制定容灾预案与应急响应流程
• 企业客户（金融/政企/制造等关键业务）：评估跨区域容灾方案，保障核心业务连续性
• 合作伙伴与 MSP：参与容灾实施、演练支持与容灾运营托管

2. 参考架构概述

2.1 架构描述

基于华为云生产区域（Region A）与容灾区域（Region B），构建"生产区域 → 复制与备份通道 → 容灾区域 → 切换编排"四层跨区域容灾架构：生产区域以 ECS/CCE 承载工作负载，数据承载于 EVS 云硬盘、RDS/GaussDB 数据库与 OBS 对象存储；复制通道层以 SDRS 存储容灾服务提供同城跨 AZ 块级同步复制（RPO=0），并以 CBR 云备份跨区域复制、DRS 数据库跨区域实时同步（灾备实例）、OBS 跨区域复制、ECS 镜像跨区域复制将数据持续推送到容灾区域待命环境；CES 监控复制链路与 RPO 指标、SMN 告警闭环；灾难宣告时由 DNS 全局流量管理健康检查触发流量切换，FunctionGraph 编排化启动恢复实例并激活灾备数据库，业务在容灾区域恢复；生产区域恢复后反向同步并回切。全程支持不影响生产的定期容灾演练。

2.2 业务背景

2.3 架构优点

• 多层复制防护：SDRS 同城跨 AZ 同步复制（RPO=0）叠加 CBR/DRS/OBS 跨区域复制，同步与异步结合，兼顾 RPO 目标与容灾成本。
• 秒级 RPO / 分钟级 RTO：块级持续复制与数据库实时同步将数据丢失窗口压缩到秒级；编排化启动恢复实例与激活灾备数据库，将恢复时间压缩到分钟级。
• 无影响容灾演练：SDRS 容灾演练与 CBR 备份恢复演练在容灾区域以隔离方式拉起恢复实例，验证业务可用性与数据完整性，对生产业务零影响，满足合规演练要求。
• 自动化切换编排：FunctionGraph 将恢复/回切动作编排为可复用的编排流程（启动恢复实例、激活灾备数据库、切换解析），减少人工操作失误。
• 全局流量调度：DNS 全局流量管理基于健康检查自动完成区域间流量切换，用户访问无感知。
• 成本可控：容灾区域采用待命模式（低规格待命资源 + 备份/副本存储），无需 1:1 建设完整镜像生产环境。
• 安全合规：IAM 最小权限与跨区域委托授权，复制传输加密，备份库与对象桶版本化防篡改，切换与演练操作可审计。

2.4 设计关注点

2.5 典型架构

华为云跨区域容灾架构图

2.6 流程描述

1. ① 保护组定义与初始全量同步：输入为保护对象清单（ECS/CCE 工作负载、EVS 云硬盘、RDS/GaussDB 实例、OBS 桶）与容灾策略；创建 SDRS 保护组与复制对（同城跨 AZ 保护）、创建 DRS 跨区域容灾任务与 CBR 备份存储库，并执行初始全量数据同步到容灾区域；输出为处于保护状态的容灾链路与完成初始化的容灾区域待命环境。
2. ② 持续复制：输入为生产业务产生的增量数据与变更块；SDRS 执行块级同步复制（同城跨 AZ，RPO=0），DRS 将数据库变更跨区域实时同步至灾备实例，OBS 跨区域复制将对象持续写入容灾区域副本桶（ECS 镜像同步跨区域复制备用）；输出为容灾区域数据与生产保持准实时一致。
3. ③ CBR 跨区域备份留存：输入为备份策略（周期、保留时长）；CBR 对云服务器与数据库执行周期性备份，并将备份跨区域复制到容灾区域存储库存放；输出为可按时间点恢复的跨区域备份集，满足长期留存与防勒索要求。
4. ④ 监控复制状态与 RPO 度量：输入为各复制链路运行指标；CES 采集 SDRS/DRS/CBR/OBS 复制状态、复制时延与 RPO 指标，超阈值经 SMN 告警通知容灾运维团队；输出为复制链路健康度的持续可观测与告警闭环。
5. ⑤ 定期容灾演练验证：输入为演练计划（季度/合规要求）；通过 SDRS 容灾演练或 CBR 备份恢复演练，在容灾区域隔离拉起恢复实例（ECS/CCE）并验证业务可用性与数据完整性；输出为演练报告，全程不影响生产业务。
6. ⑥ 故障切换：输入为区域级故障事件或人工切换指令；DNS 全局流量管理健康检查判定生产区域不可用后将流量切换至容灾区域入口，FunctionGraph 执行恢复编排——基于备份/副本拉起恢复实例、激活 DRS 灾备实例为主用、OBS 副本桶转为读写；输出为业务在容灾区域恢复运行（RTO 分钟级）。
7. ⑦ 回切与复盘：输入为生产区域恢复完成确认；建立 DRS 反向（容灾→生产）同步回流增量数据，FunctionGraph 执行回切编排，DNS 流量切回生产区域并恢复复制方向与保护组；输出为业务回归生产区域、切换复盘报告与容灾策略优化建议。

2.7 云服务产品清单

3. 参考链接

• 产品文档：
• 实施指南：
• 源代码或 IaC：
• 操作手册：
• 安全性和合规性映射：

4. 使用限制

• 初始全量同步占用带宽与存储资源，须安排在业务低峰窗口并限速；超大数据量（数十 TB 级）应评估离线初始化方案。
• 跨区域复制为异步机制（SDRS 同步复制仅限同城跨 AZ），极端故障下可能丢失秒级未同步数据；要求严格 RPO=0 的业务应优先采用同城跨 AZ（SDRS）双活/主备部署。
• 故障切换后容灾区域需扩容承载全量生产流量，须预先预留 ECS 规格、EVS 容量与数据库规格配额，否则 RTO 将显著拉长。
• 回切需建立反向复制链路并执行数据一致性校验，期间双向变更需冲突处理，必须按预演过的回切预案执行。
• 容灾演练与正式切换均涉及 DNS 解析切换，存在分钟级传播时延（受 TTL 影响），客户端应用应具备重试与重连能力。
• 本架构提供容灾能力底座，应用层自身需支持无状态化或状态外置，避免依赖本地磁盘状态；容器化工作负载需同步规划镜像仓库跨区域同步。

附录 A. 术语和缩略语