数据中心机柜间交织的光纤线缆

一次「恢复不了」的公告

9 月 15 日，AWS 在健康面板上写下了一句很少见的话：经过完整评估，他们无法恢复 mec1-az2 这个可用区里独占存放的资源与数据。这批机房受损发生在今年 3 月，中东冲突初期的无人机袭击，巴林的损失还横跨了多个设施。从 4 月到 9 月，这是第一次公开更新。

公告里最关键的词是「独占存放」。它划出了一条界线：只在那个可用区里有副本的东西，找不回来了；在别处还有副本的，还能切过去。

为什么「云」不等于「不会丢」

云的高可用是按可用区和区域设计的。同城多可用区能扛住单机房故障，异地多活才能扛住区域级灾难。但这两件事都建立在同一个前提上：你的数据在不止一个地方有副本。

现实中，很多上云的企业恰好违反了这条前提。为了延迟、为了成本、为了省事，数据只落在最近的那个区域，甚至只在一个可用区；对象存储开了版本控制，却没做跨区域复制；数据库做了主从，但从库和主库在同一个机房里。日常看不出问题，灾难来临时才发现，自己买到的是算力的弹性，不是数据的冗余。

给还在上云路上的企业三个提问

第一，副本在哪里？如果答案只有一个城市，那它就是单点。第二，数据能不能导出来？能不能在一周内用自建工具导出一份完整快照？第三，RTO 和 RPO 各是多少，谁签字确认过？

这三个问题不需要预算，只需要有人愿意认真回答。没有异地副本的容灾方案，本质上是把风险换了个名字继续持有。

地缘风险进了基础设施清单

过去评估云厂商，看价格、看性能、看 SLA。这次之后，机房的物理位置、所在国的局势、同城是否真有两个独立供电的可用区，都该进清单。

云依然是目前最划算的算力与冗余方案，只是它需要被正确使用。把「用了云」当成「数据安全了」，是这一轮里代价最贵的一课。