逐字节核对的第二份副本

人人都有备份。让人不安的问题是：真正需要它们的那天，它们还值多少——因为从“我们有做备份”到“我们能把你的业务完整还给你”，中间隔着一整套功夫。关于经过测试的恢复我们此前写过；这篇讲的是这套功夫的另一半：副本住在哪里，谁在核对它们。

同一层架子上的两份副本，等于一份

大多数备份故事都栽在地理上。副本躺在同一块磁盘、同一个账号、同一套凭据之下，与它要保护的东西共存亡——于是摧毁原件的任何事故（坏掉的硬盘、被攻破的账号、敲错窗口的一条命令）会在同一击里把副本一并摧毁。共享故障域的冗余只是算术，不是保护：

挨着原件的副本，算不上第二份副本。

夜间的节奏

每天夜里，每个实例把自己的数据库、文件与配置打包，加密后送往它自己的异地存储——保留策略是七份每日、四份每周、十二份每月。随后，第二台独立的机器——独立硬件、另一处地点、自己的凭据——维护整棵目录树的带版本镜像：不只是最新副本，还有每个文件昨天的版本、上个月的版本。有一样东西被刻意排除：机密。凭据从不进入备份；恢复时重新生成，因此副本永远不可能泄露密钥。

逐字节核对

没人读的备份只是传闻。每月 15 日我们真刀真枪地恢复一次，并将镜像与主副本逐字节比对；每月 20 日排练完整的灾难恢复——一个生产实例从零重建，走完全程。沉默也被当作故障：每个备份任务都带着“死人开关”，悄悄没跑的那份副本会拉响警报，而不是留下惊吓。这是无聊的机器，按月保养——而这恰恰是你的业务在最糟的一天最想踩在脚下的东西。