高可用与容灾设计

第 2 章 · 高可用与容灾设计

本章讲解 HA（高可用） 与 DR（容灾） 的策略、RTO/RPO/SLA 量化、故障域设计与小紫云计算落地要点。

前置：PaaS 第 15 章；运维第 4 章；架构第 1 章 NFR。

2.1 核心指标

关系：RPO 越小 → 同步复制/更频备份 → 成本越高；RTO 越小 → 热备/自动切换 → 架构越复杂。

2.1.1 SLA 与允许停机对照

2.2 高可用层次

# 应用 HA — 滚动更新零不可用（配合 PDB）
apiVersion: apps/v1
kind: Deployment
metadata:
  name: order-api
spec:
  replicas: 3
  strategy:
    type: RollingUpdate
    rollingUpdate:
      maxSurge: 1
      maxUnavailable: 0
  template:
    spec:
      containers:
        - name: api
          livenessProbe:
            httpGet: { path: /health/live, port: 8080 }
            initialDelaySeconds: 30
          readinessProbe:
            httpGet: { path: /health/ready, port: 8080 }
            periodSeconds: 5
---
apiVersion: policy/v1
kind: PodDisruptionBudget
metadata:
  name: order-api-pdb
spec:
  minAvailable: 2
  selector:
    matchLabels:
      app: order-api

2.3 无状态优先

有状态 Pod ──► 难扩、难迁、备份复杂、发布慢
无状态 Pod ──► 加副本即可扛流量，随时销毁重建

行业案例 · 某票务平台：Session 存 Tomcat 内存，滚动发布时用户批量登出，峰值投诉 2000+。改造为 Redis Session + spring-session 后，发布期间 零强制登出。

2.4 有状态组件 HA 现实

PaaS ch15 §15.2.2：商店多数有状态默认单副本。生产 HA 通常选 外置托管 或 自定义多实例 YAML，先在 test-* Namespace 验证。

2.5 容灾拓扑

2.5.1 同城双活（复杂，金融/超大流量）

                    ┌── GSLB / DNS 权重 ──┐
                    ▼                      ▼
              集群 A（主 60%）         集群 B（主 40%）
                    │                      │
                    └──── 数据双向/单向复制 ──┘

2.5.2 异地冷备（中小企业常见）

生产集群 ──定时备份──► MinIO 异地桶 ──► 灾备集群按需恢复
   │                        │
   └── 实时监控 / 告警 ─────┘

行业案例 · 某 SaaS 服务商：仅做 PVC 快照未做逻辑备份，Longhorn 元数据损坏后 无法挂载卷，RTO 超预期 6 小时。整改：快照 + 每日 mysqldump + 恢复演练。

2.6 故障域与反亲和