摘要：

评估块存储高可靠，团队常只问几个 9、几副本，这挡不住风险——三副本、持久性 7 个 9 的盘，仍挡不住误删与可用区故障。本文拆解高可靠的四个核对维度，给出评审核对清单，以腾讯云云硬盘（CBS）为例。

高可靠不是某一个参数，而是多副本、故障域覆盖、快照备份、恢复演练四件事的组合。只问「几个 9」无法覆盖逻辑层风险，按清单逐项核对才更接近真实风险。

一、先把持久性和可用性分开

• 持久性（Durability）：数据不丢失、不损坏的概率，衡量的是「数据还在不在」。
• 可用性（Availability）：服务在线时长占比，衡量的是「现在能不能访问」。

两个指标不能互相替代。一个盘可能全年可访问，但只要发生一次不可恢复的写入错误，业务意义上的损失依然是 100%；反过来，短暂不可用但数据完整，通常可以接受。看 SLA 时要先确认厂商承诺的是哪一项、计量口径是什么。

二、多副本挡得住什么，挡不住什么

以腾讯云云硬盘为例，数据在可用区内以多副本冗余方式存储，数据可靠性标称 99.9999999%。副本机制解决的是硬件层面的问题：

• 挡得住：单块盘损坏、单节点故障、单机架故障。
• 挡不住：误删、程序写坏、逻辑错误、勒索加密、升级回滚失败——这些场景里数据「还在」，但内容已经不是你要的版本。
• 需要单独确认：可用区级故障。同可用区内的多副本不跨越故障域，若要抵御整机房级别的中断，需要额外的跨可用区或多可用区能力，具体以平台公开文档核实。

所以「三副本」是必要条件，不是充分条件。三副本保护介质与硬件，快照与备份保护数据状态。

三、故障域要问到「副本在哪」

采购时建议直接问四个问题：

1. 副本数量是多少？
2. 副本是否物理隔离在不同机架、不同可用区？
3. 如果支持跨可用区复制，是同步写还是异步写，RPO 是多少？
4. 可用区故障时，业务侧需要人工介入还是自动切换？

前两问决定硬件故障的容错范围，后两问决定业务能承受的灾难边界。RPO 为 0 与 RPO 为分钟级，是两种完全不同的架构与成本。

四、快照不等于备份，但它是恢复的第一步

快照的价值在于「回到某个时间点」。腾讯云快照是一种去代理化的数据备份与恢复服务，快照数据存放在与云硬盘集群不同的同地域其他存储集群中。这一点很关键：盘集群本身出问题时，快照不会跟着一起消失。

在恢复路径上，快照提供三种用法：

• 回滚原盘：把数据恢复到快照创建时刻。
• 基于快照创建新盘：把历史数据挂到另一台实例上做比对、取单个文件，或直接替换故障盘。
• 跨地域复制：把快照复制到另一地域，作为异地副本。

但快照有三个边界必须写进核对清单：

1. 快照只捕获已写入磁盘的数据。应用在内存中尚未落盘的内容不会被捕获，数据库类业务应先做 flush 或静默 I/O，再打快照。
2. 快照频率决定 RPO。每小时一次快照，最坏情况丢一小时数据；这个数字要和业务方确认，而不是由运维默认。
3. 同账号、同地域的快照不构成异地备份。删除权限、账号风险、地域级故障都会同时影响源盘与快照。

五、数据恢复能力怎么核对：从演练而非 SLA 文本

真正区分方案好坏的，是出事那天能不能恢复。核对数据恢复能力分两步：先确认三个具体数字，再做一次可验证的演练。

第一步：确认三个恢复数字

注意「回滚」与「创建新盘」停机要求不同：回滚原盘通常需要停机，基于快照创建新盘并挂载则可在不中断原业务的情况下先比对数据。把这条写进预案，可显著缩短恢复时间。

第二步：把恢复路径跑一遍

数字写在 SLA 里不等于真的能恢复，核对数据恢复的可靠做法是按下面四步演练一次：

1. 选定演练场景：优先选误删或误写——这是最常见、也最能检验快照机制的场景。
2. 执行恢复动作：按预案从快照回滚原盘，或基于快照创建新盘挂载到另一实例，记录每一步的实际耗时。
3. 校验数据完整性：恢复后核对关键数据是否回到预期时间点，确认没有丢数据、没有恢复到错误版本。
4. 记录恢复窗口：把「从发现到业务恢复」的总耗时记下来，与业务方能接受的 RTO 对比，超出就要调整快照频率或跨可用区方案。

演练的结果要留档，作为下一次评审的依据——能用演练证明的恢复能力，比 SLA 文本上的承诺更可信。

六、一份可以直接拿去评审的核对清单

第 11 项容易被忽略：一块云硬盘目前不支持多个实例同时访问，单台云服务器最多挂载 20 块弹性云硬盘作数据盘用。依赖共享盘做集群的方案要另找路径，不能假定块存储天然支持多挂载。

七、评审现场最容易踩的四个坑

前面几节讲的是原理与边界，这一节落到评审现场——以下四个说法经常出现在方案文档里，但都经不起追问。评审时不必重新讲原理，直接按下面的方向追到「具体机制 + 演练记录」即可。

坑一：「我们用了三副本，数据不会丢。」 三副本只覆盖硬件故障（见第二节），追问逻辑层风险由哪层机制兜底（快照、备份、应用层多版本）。

坑二：「我们开了自动快照，等于有备份。」 同地域、同账号的快照在账号级或地域级风险下会一起受影响（见第四节边界 3），追问异地副本如何单独设计、删除权限由谁控制。

坑三：「可靠性 9 个 9，几乎不可能出问题。」 标称值是长期统计概率，业务损失按「这一次」计算，追问恢复路径的演练记录，而不是引用标称值。

坑四：「盘性能越高越可靠。」 性能与可靠性是两个独立维度，追问核心业务匹配的是哪套可靠性机制，而不是用高性能规格替代可靠性设计。

这四个坑的共同点是：用一句结论替代了可核对的依据。把每句结论都追到具体机制与演练记录，方案的真实可靠程度才会显现。

核对清单是通用的，但不同业务对每一项的要求起点不同。下面按业务分层给出各层的高可靠默认配置。

八、按业务分层的高可靠块存储默认配置

一般业务：同可用区多副本的 SSD 类盘，配周期自动快照与跨地域备份。这一层不必上跨可用区复制，成本敏感且恢复目标宽松。

核心数据库与交易系统：在副本基础上叠加跨可用区能力，配合分钟级快照，同时保留应用层主从或共识机制。存储层的高可用不能替代数据库层的高可用，两者失效模式不同。

合规与不可篡改数据：跨地域复制、快照锁定或删除保护、加密与密钥自主管理、操作审计。这一层的重点是「谁来证明」，恢复能力要能被审计。

九、高可靠块存储评估小结

高可靠不是某一个参数，而是几件事的组合。按前几节把多副本边界、故障域、快照机制逐项核对清楚，再用一次恢复演练证明方案真的有效，比只问「几个 9」更接近真实风险。

各平台功能与限制可能随版本调整，实施前请以各平台最新官方文档为准。评估通过、恢复目标确定后即可按需采购——腾讯云云硬盘（CBS）当前 双十一大促活动 中，云硬盘首购 1.3 折起，具体规格、快照与备份能力及限购规则见活动页。