如何为高可用（HA）和灾备（DR）设计一个多地域数据库？

Question

IT Interview Practice · Accepted Answer

跨地域复制数据库，并按需求选择拓扑：**主-备（active-passive）**（一个写入者，一个在故障切换时接管的热备）以求简单和强一致性，或**双活（active-active）**（多个写入者）以求低写 latency，代价是冲突解决——然后选择**同步还是异步复制（sync vs async replication）**来在持久性与 latency 之间取舍，并定义驱动故障切换的明确 **RPO/RTO** 目标。

```text
        ┌──────────── Region A (primary) ────────────┐
writes ─▶ app ─▶ DB primary ──┐
                              │ replication
        ┌─────────────────────┼── async (RPO>0) ─────┐
        │                     └── sync (RPO=0, slow)  │
        ▼                                             ▼
   Region B standby                            (failover promotes standby)
        │
   health check ──▶ on primary loss: promote + repoint DNS/traffic
```

## 主-备与双活

**主-备**有一个处理写入的 primary 和只读的备节点；故障时你**提升（promote）**一个备节点。它简单且避免写冲突，但被动容量闲置，且故障切换有一个缺口。**双活**让每个地域都接受写入以获得本地 latency，并且无需故障切换提升——但两个地域可能并发编辑同一行，因此你*必须*解决冲突（last-write-wins、CRDT 或应用层合并）。大多数团队从主-备起步；双活是为了你确实无法以其他方式满足的全球写 latency。

## 同步与异步复制

这是核心的持久性/latency 取舍。**同步：**primary 在提交前等待远程 replica 确认——**RPO = 0**（故障切换时无数据丢失），但每次写都要付跨地域往返 latency（约数十毫秒），且如果 replica 不可达，写入会停滞。**异步：**primary 在本地提交，之后再发送变更——写入快，但一次地域丢失可能损失最后几秒（**RPO > 0**）。跨地域同步往往太慢，因此许多团队运行异步并接受一个小的 RPO。

## 故障切换、RPO 与 RTO

- **RPO（恢复点目标）：**你能丢失多少数据——由同步还是异步决定。
- **RTO（恢复时间目标）：**多久才能恢复——由你检测故障和提升的速度决定。
- 故障切换 = 检测（健康检查）→ 提升备节点 → 重新指向流量（DNS/全局 LB）。将其自动化，但要用 quorum/fencing token 防范**脑裂（split-brain）**（两个地域都以为自己是 primary）。

## 面试视角

考察点：你是否理解 HA/DR 是一个**在一致性、latency 和数据丢失之间的取舍**——而不是"只加一个 replica"。好：带一个备节点的主-备。出色：你陈述 RPO/RTO、同步与异步的含义，以及脑裂风险。陷阱：声称异步能带来零数据丢失，或假设故障切换是瞬时且无损的。

## 权衡与故障模式

- **脑裂：**网络 partition 提升了两个 primary → 数据分叉。使用 quorum、fencing 或一个见证地域（witness region）。
- **回切（Failback）很难：**旧 primary 回归后，对齐分叉的写入既费人工又易出错。
- **成本：**真正的多地域大致使基础设施翻倍，并增加跨地域出口带宽账单。
- **未测试的故障切换会失败：**从未演练的 DR 在真实中断时不会奏效——开展 game-day 演练。

主-备与双活

同步与异步复制

故障切换、RPO 与 RTO

面试视角

权衡与故障模式

相关问题