什么是容灾？备用通道的准备，一次讲明白

AI 服务的机房断电、云厂商故障、上游大模型接口集体失联——真出事的那一刻，决定损失的从来是之前备好了什么，而不是现场的反应速度。容灾就是这份「之前」：在风平浪静的日子里，把出事后的退路一条条准备妥当。

备用通道是消防通道

写字楼的消防通道平时空着，占用了会被罚款，可没有它整栋楼都不合格。容灾的备用通道就是系统的消防通道：平时看起来是闲置的浪费，出事时它是唯一的生路。这个类比还提醒了一件事——消防通道要定期检查，锁死的消防通道等于没有，备用通道不演练，出事时同样可能打不开。

对 AI 服务来说，容灾覆盖的不只是模型本身：接口挂了怎么办、数据丢了怎么办、密钥失效了怎么办、整个云区域不可用了怎么办，每一类故障都要有对应的备用方案。

容灾的三个等级

第一级是组件级容灾：单点出问题单点补，比如主模型不可用时切备用模型，密钥作废时立刻换新，属于局部修补，恢复快、成本低，对应日常的大多数故障。

第二级是服务级容灾：整个服务不可用时整体顶上，典型做法是多活部署——同一套服务在两个机房或两个云区域各跑一份，一边塌了另一边接全部流量，代价是成本接近翻倍。

第三级是数据级容灾：最坏情况下的底线，核心数据定期备份到独立的位置，服务可以慢、可以降级，数据不能丢。三级不是单选题，正经的容灾体系是三层都备，只是投入比例不同。

容灾等级速查

• 组件级：备用模型、备用密钥、备用网关，应对日常故障
• 服务级：多活部署、异地互备，应对整机柜级故障
• 数据级：异地备份、定期校验可恢复性，守住最后底线
• 投入原则：故障概率乘以损失大小，决定为哪一级花钱

先想清楚最怕什么，再决定备什么。

演练：不演不知道

容灾方案写在文档里人人都会，真拉闸试一次才知道哪里是纸糊的。演练就是定期主动制造故障：把主模型停掉看切换要多久，把备份恢复一遍看数据完不完整，把某把密钥作废看服务能不能无感续上。演练中暴露的问题——切换脚本从没跑通过、备份文件损坏没人发现、回切流程无人会操作——每一个都比真出事时才发现便宜得多。

频次按系统重要程度定：核心服务一季一次小演练、一年一次全链路演练，普通服务半年一轮也够。关键是演练要有记录，每次改进一项，容灾能力是攒出来的。

小团队怎么起步

容灾容易吓退小团队，其实起步没那么贵。第一周做盘点：列出所有单点——哪个模型、哪家接口、哪台机器、哪把密钥是独木桥。第一个月做组件级：给最重要的三个单点各配一个备用，成本往往只是多申请一把密钥、多接一个模型。第一个季度做演练：挑一个低峰时段把主服务停五分钟，全组人盯着看切换过程，记录每一处卡壳。做完这三步，你就已经超过大多数没有准备的同行了。

三步按周、月、季排开，照着顺序落地就行。

把退路练成习惯

容灾的本质是承认故障必然发生，把应对从临场发挥变成照单执行。从单点盘点开始，用组件级容灾兜住日常，用演练验证一切，投入跟着「故障概率乘以损失」走。日常的自动切换逻辑见什么是降级路由？主模型不可用时，花钱的度怎么把握看什么是预算告警？超支前提醒，别再混淆了，可用性承诺的白纸黑字在什么是 SLA？服务等级承诺，一个例子讲透，自建第二据点的账本见什么是私有化部署？企业自建 AI 的账本，本地云上怎么分工读什么是混合部署？敏感的本地通用的上云。

聊聊容灾的常见疑问

• 容灾和备份是一回事吗？：不是。备份是留底，容灾是整套「出事后怎么继续」的安排，备份只是容灾体系里的一个零件。
• 用大厂的云服务还需要自己做容灾吗？：需要。大厂保证的是它那一层，你的配置错误、账号问题、依赖的第三方接口故障，都不在它的承诺范围内。
• 容灾投入有没有个大致比例？：经验上从「停服一小时的损失」倒推，备用方案的年成本控制在损失的一到两成内就算合理，再高就该重新设计方案。