灾备演练是藏在机房里的生存必修课

上次扎在苏州工业园一家做连锁零售的运维部，蹲完整整8小时的无通知灾备演练，结束的时候运维总监靠在楼梯间的墙根抽烟，指节都捏白了。他说上个月刚碰到核心存储控制器故障的糟心事，要是没提前摸过全流程，整个华东区近千家门店的收银系统得瘫三天，光门店店长打过来的投诉电话就能把值班台的电话线烧融。

你以为的演练和真的故障差在哪

很多人对灾备演练的印象，还停留在提前一周发全员通知，所有涉事岗位把流程顺个三四遍，到点了点几下鼠标切个流量，拍几张现场照片，写个格式工整的报告交差。 说白了就是演戏。 真的故障上门的时候，根本不会给你提前准备的时间。我之前碰过的一个案例，某团队的演练脚本明明白白写着“主库故障后30分钟内完成全量流量切换”，结果真出问题那天，负责切流量的工程师刚好在开另一个跨部门评审会，手机调了静音，值班的实习生连堡垒机的最高权限都没有，等折腾到能登上去操作，时间已经过去了两个多小时，用户端早就炸成了一锅粥。

麻烦在于，你平时演练时省的每一步，真出事的时候都会变成堵在你面前的墙。就说这次蹲的连锁零售团队，这次演练之前根本没给一线运维组打招呼，只给部门负责人透了当天会做实战推演。结果演练刚开始10分钟就卡壳了：负责核心收银系统的运维工程师当天请假，在家陪孩子打疫苗，远程连VPN的时候因为输错三次密码锁了账号，整个流程硬生生卡了40分钟才把人接进指挥室。 这种卡壳，就是演练最值钱的地方。无通知突袭式演练，才是灾备演练真正的价值所在——你永远不知道真出事的时候，哪个环节会突然掉链子。

演练里最容易被忽略的代价

很多公司算灾备演练的账，只算技术层面的成本：切流量会不会影响正常用户，系统切换的时候会不会触发报错，数据同步会不会出偏差。但很少有人算人和流程上的隐形成本。 你把所有相关岗位的人都喊到指挥室，从早上9点坐到下午5点，中间攒下的业务咨询、客户对接、临时故障处理的活，最后还是得这些人下班了加班补。更常见的操作是，为了不影响白天的正常业务，所有演练动作都安排在凌晨1点到4点，熬了通宵的工程师第二天还要正常到岗上班，几次折腾下来，大家对演练的抵触情绪能把整个指挥室的空调吹凉。 说实话，我见过最夸张的一个团队，连续三次把全量演练安排在凌晨，最后值班的工程师直接在部门群里甩了句话，再这么安排我就提离职，谁爱熬谁熬。

这事没那么玄。灾备演练不是越频繁越好，也不是越追求零影响越好。你为了不打扰任何一个用户，把所有演练动作都放在和生产环境完全隔离的测试环境里做，那练出来的流程，跟真刀真枪在生产环境里操作的效果，差了十万八千里。 之前碰到过一个做金融科技的团队，他们算过一笔很实在的账：每季度做一次全量生产环境灾备演练，大概会影响0.2%的非核心用户，但是如果不做，真碰到机房断电、核心网络中断的故障，影响的是100%的交易用户。这笔账怎么算都划算。灾备演练从来不是为了证明系统不会坏，而是为了系统真坏的时候，你知道第一步该摸哪个开关。

别把演练做成给审计看的表演

我见过太多团队做灾备演练的初衷，根本不是为了应对真实故障，是为了应付等保测评，应付大客户的安全检查。整个流程全对着检查表走：有没有演练记录？有。有没有签字的报告？有。有没有灾备系统的健康检查截图？有。至于真把业务切到灾备节点上能不能用，没人真的关心。 有个团队更离谱，他们的异地灾备节点建了三年，从来没真的做过全量业务切换，每次演练就是在灾备服务器上跑个健康检查脚本，显示“运行正常”就算完成任务。结果去年本地机房因为市政施工挖断了主光缆，他们准备切流量到灾备节点的时候才发现，灾备节点上跑的业务版本还是两年前的，连最新的支付接口都没有，切过去根本没法正常对接用户。 你说闹不闹心？ 真正有用的灾备演练，从来不是做给别人看的。你大可以在演练的时候故意制造点“意外”：比如突然断掉主库的对外网络，比如把负责切换的工程师临时安排去开别的会，比如模拟存储阵列的双控制器同时故障，看看大家的反应速度。不要怕演练的时候出问题，演练的时候踩的坑越多，真出事的时候踩的坑就越少。说白了，演练的时候你不花点成本把坑填上，等真故障砸下来，那坑就得拿真金白银的用户损失、品牌口碑来填。 上次从那个连锁零售的机房出来，刚好碰到运维组的几个人在楼下的便利店买冰可乐，几个人脸上都是熬了一上午的倦意，但是聊起刚才演练里卡壳的那几个点，都在掰着手指算下次要怎么改：要给核心岗位的人留备用的账号权限，要把远程接入的应急预案提前写进值班手册，要把跨区域的对接联系人清单更新到最新。 风一吹，可乐罐上的水珠顺着罐身往下滑。 灾备这事从来都不玄。你练过，你就不慌。你没练过，等雷砸到头上的时候，哭都来不及。