1. 跨区域灾备：为什么是PolarDB的必修课
在云原生时代，数据库的可用性保障早已超越了单机高可用的范畴。地域级别的自然灾害、数据中心电力中断、网络光纤断裂等极端场景，都可能让单一地域内的所有可用区同时陷入不可用状态。对于金融、电商、政务等核心业务系统而言，数据零丢失（RPO=0）和服务快速恢复（RTO在秒级到分钟级）已成为刚性需求。阿里云PolarDB作为一款云原生数据库，通过全球数据库网络（Global Database Network，简称GDN）提供了原生的跨区域灾备能力，让用户无需修改业务代码即可实现从同城部署到多地部署的平滑扩展。
跨区域灾备的核心诉求可以概括为三个层面：第一是数据可靠性，即灾难发生后数据不能丢失；第二是业务连续性，即服务中断时间必须控制在可接受范围内；第三是运维简易性，即灾备系统的日常管理和故障切换不应过于复杂。PolarDB的GDN方案恰好在这三个维度上提供了系统性的解决方案。
需要先登录阿里云控制台，点击：阿里云控制台
2. 认识GDN：PolarDB跨区域灾备的核心引擎
2.1 什么是全球数据库网络
全球数据库网络（GDN）是由分布在同一个国家内多个地域的多个PolarDB集群组成的网络，网络中所有集群的数据保持同步。GDN由一个主集群（Primary Cluster）和最多四个从集群（Secondary Cluster）构成，每个集群均可提供读服务，写服务则统一由主集群处理并同步至所有从集群。
GDN的核心价值在于解决了跨地域部署的两大痛点：一是跨地域网络延迟导致的数据访问性能下降，二是异地容灾场景下的数据同步与切换复杂度。通过GDN的跨地域低延迟同步机制和本地就近读取能力，各地域的应用可以访问本地域的从集群，将数据库访问延迟控制在秒级以内。
2.2 GDN的技术架构与数据同步原理
GDN的数据同步基于PolarDB的物理复制技术。在主集群中，每一次数据变更都会生成对应的物理日志（Redo Log），这些日志通过跨地域的网络通道实时传输到各个从集群，从集群接收到日志后在本侧进行重放（Replay），从而实现数据的最终一致性。
为了应对不同压力场景下的同步需求，GDN采用了智能的同步策略：在低压力下采用单流Binlog复制，保证同步的稳定性；在高压力下则自动切换为多流Binlog多路复制，通过并行传输提升同步吞吐量，将全球同步延迟控制在秒级。此外，GDN在网络传输层面进行了Batching和Pipelining优化，有效降低了跨地域长距离传输的延迟开销。
2.3 异地灾备与异地多活：两种典型场景
GDN支持两种典型的跨地域部署场景。第一种是异地灾备场景：业务流量主要集中在一个地域，其他地域的从集群仅作为灾备用途，日常不承担业务读写，只在主地域发生故障时才切换业务流量。这种场景适用于对成本敏感但需要异地数据冗余保障的业务。
第二种是异地多活场景：业务部署在多个地域，每个地域的用户就近访问本地域的PolarDB集群——读请求发往本地从集群，写请求则自动转发至主集群处理。这种场景在提升用户体验的同时，也实现了跨地域的负载分担和容灾能力，是新一代的容灾解决方案。
3. 部署准备：GDN的前置条件与规划
3.1 主集群的版本与规格要求
创建GDN之前，主集群需要满足以下条件：必须是集群版系列的企业版集群；至少包含一个只读节点；数据库引擎版本需为MySQL 8.0.2、MySQL 8.0.1（小版本8.0.1.1.17及以上）、MySQL 5.7（小版本5.7.1.0.21及以上）或MySQL 5.6（小版本5.6.1.0.32及以上）。对于PolarDB for PostgreSQL，所有集群需统一运行PostgreSQL 14版本。对于PolarDB-X，集群实例版本需为5.4.19及以上。
3.2 支持的地域与网络规划
GDN覆盖全球包括中国内地、中国香港及海外在内的10多个地域。在中国内地范围内，主集群与从集群可以部署在任何支持PolarDB的地域，例如主集群在华东1（杭州），从集群可以选择华北2（北京）或华南1（深圳）等。海外地域之间的组合需要遵循地域映射表的限制，非中国内地地域创建从集群前需签署跨境数据传输合规协议。
网络层面需要特别注意：GDN依赖跨地域内网互通，所有集群之间的数据同步通过阿里云的内网骨干网络进行，不经过公网，既保证了安全性也降低了延迟。
3.3 配额与限制说明
每个GDN包含一个主集群和最多四个从集群。每个PolarDB集群只能属于一个GDN。从集群必须是新建的集群，已有集群不能被添加为从集群。主集群与从集群的数据库引擎版本必须保持一致。从集群的计算节点规格需大于或等于主集群规格，建议保持一致。默认配额下最多支持四个从集群，如需更多可通过配额中心申请提升。
此外，GDN中的集群不支持Serverless功能和列存索引（IMCI），也不支持库表恢复功能。这些限制需要在规划阶段就充分评估。
4. 实战部署：一步步搭建PolarDB跨区域灾备
4.1 创建全球数据库网络
部署GDN的第一步是创建全球数据库网络。操作路径如下：登录PolarDB控制台，在左侧导航栏中单击\"全球数据库网络（GDN）\"，进入GDN列表页面后单击\"创建全球数据库网络\"。在创建对话框中配置以下参数：选择兼容的数据库版本（MySQL或PostgreSQL）、填写GDN名称（建议具有业务含义以便识别）、选择主集群所在地域、然后选择一个已有集群作为主集群。全局域名功能目前暂不支持，保持关闭状态即可。
完成创建后，GDN即处于就绪状态，但此时网络中仅有主集群，尚未添加任何从集群。
4.2 添加从集群
在GDN创建完成后，需要为它添加从集群以实现跨地域数据同步。操作步骤如下：在GDN列表页面找到目标GDN，单击操作列中的\"添加从集群\"。在购买页面配置以下关键参数：选择从集群所在地域（需在支持范围内）、创建方式选择\"创建从集群\"、系统会自动关联目标GDN、数据库引擎必须与主集群一致、计算节点规格需大于或等于主集群规格。
购买完成后返回GDN详情页面，新添加的从集群会出现在集群列表中，并自动开始与主集群的数据同步。数据同步的初始阶段需要进行全量数据复制，所需时间取决于数据量大小和网络带宽，在此期间从集群处于同步中状态，暂不可用于读取。
4.3 验证数据同步状态
从集群添加完成后，可以通过控制台或API验证数据同步状态。在GDN详情页面，每个集群会显示同步延迟指标，通常以秒为单位。正常情况下，同步延迟应保持在秒级以内。如果延迟持续增大，需要检查跨地域网络质量或主集群的写入压力。
也可以连接到从集群执行查询，验证数据是否已成功同步。需要注意，从集群默认提供读服务，写操作会被自动转发到主集群。
5. 灾备切换：从理论到实战
5.1 手动切换：将业务从主集群切换到从集群
当主集群所在的地域发生故障，或者需要进行计划内的灾备演练时，需要将业务从主集群切换到从集群。切换操作在PolarDB控制台中完成：登录PolarDB控制台，在左侧导航栏中单击\"全球数据库网络\"进入GDN列表页面，找到目标从集群，单击右侧的\"提升为主实例\"按钮。
切换完成后，原从集群升级为新的主集群，可读写；原主集群降级为从集群，仅可读。整个切换过程可以在120秒内完成。切换后，应用程序需要更新数据库连接地址，指向新的主集群。如果使用了全局域名或DNS方案，可以通过域名解析的切换实现更平滑的业务迁移。
5.2 自动化切换脚本（Python示例）
在生产环境中，灾备切换往往需要与监控告警系统联动，实现半自动化或全自动化的故障切换。以下是一个使用阿里云SDK进行主从切换的Python脚本示例：
import json\nfrom aliyunsdkcore.client import AcsClient\nfrom aliyunsdkpolardb.request.v20170801 import SwitchOverGlobalDatabaseNetworkRequest\n\n# 初始化客户端\nclient = AcsClient('<your-access-key-id>', '<your-access-key-secret>', 'cn-hangzhou')\n\ndef switch_gdn_primary(gdn_id, secondary_cluster_id):\n request = SwitchOverGlobalDatabaseNetworkRequest.SwitchOverGlobalDatabaseNetworkRequest()\n request.set_accept_format('json')\n request.set_GDNId(gdn_id)\n request.set_TargetDBClusterId(secondary_cluster_id)\n \n response = client.do_action_with_exception(request)\n result = json.loads(response)\n print(f'切换结果: {result}')\n return result\n\nif __name__ == '__main__':\n # 替换为实际的GDN ID和目标从集群ID\n switch_gdn_primary('gdn-xxxxx', 'pc-xxxxx')
5.3 切换后的业务验证与回切
切换完成后，必须进行业务验证：检查新主集群的读写功能是否正常、数据是否完整、应用连接是否成功。建议在切换前准备好验证脚本，切换后自动执行数据一致性检查和业务功能冒烟测试。
当原主集群所在地域恢复后，可以选择将业务切回（回切）。回切操作与切换类似，在控制台中将当前从集群（即原主集群）提升为主实例即可。需要注意，回切过程中会产生额外的数据同步负载，建议在业务低峰期执行。
6. 架构进阶：两地三中心与跨地域备份
6.1 两地三中心架构解析
对于金融级核心业务系统，仅靠GDN的单主集群加从集群的架构可能仍不足以满足最高的可用性要求。两地三中心架构在此基础上进一步强化了同城的高可用保障。PolarDB-X基于Paxos多数派共识协议支持两地三中心5副本加主备集群的部署架构，同城两个机房各部署2副本，异地灾备机房部署1副本，多数派强同步在同城即可完成，同时满足跨地域容灾RPO=0的要求。
两地三中心架构适用于对RPO和RTO均有极致要求的场景，如支付结算、证券交易等。但需要注意的是，这种架构的成本较高——灾备中心需要部署可承载100%流量的系统资源。PolarDB-X的两地三中心形态当前主要支持专有云DBStack环境。
6.2 跨地域备份方案
除了GDN的实时同步方案，PolarDB还提供了跨地域备份功能，作为灾备体系的补充。跨地域备份将数据备份集自动复制到另一个地域的对象存储服务（OSS）中，可用于监管合规、长期归档或灾难恢复。
跨地域备份与GDN的核心区别在于：GDN提供的是实时数据同步和快速切换能力，RTO可达分钟级；而跨地域备份提供的是数据归档和恢复能力，恢复时间取决于备份集大小，通常需要数十分钟到数小时。两者可以结合使用——GDN负责快速的跨地域切换，跨地域备份作为最后一道防线，防范数据误操作或逻辑损坏等场景。
7. 灾备演练：验证可用性的必修课
7.1 定期演练的重要性
灾备系统的价值在于灾难真正发生时能够发挥作用。然而，如果没有经过充分的演练验证，灾备系统在关键时刻可能无法按预期工作。定期进行灾备切换演练是保障灾备有效性的关键手段。演练内容包括：模拟主集群故障、执行主从切换、验证业务功能、评估切换时长、验证数据完整性等。
7.2 自动化演练脚本（Shell示例）
以下是一个使用阿里云CLI进行自动化灾备演练的Shell脚本框架：
#!/bin/bash\n# 灾备切换演练脚本\n\nGDN_ID=\"gdn-xxxxx\"\nSECONDARY_CLUSTER_ID=\"pc-xxxxx\"\nALIYUN_PROFILE=\"default\"\n\n# 步骤1: 记录切换前状态\necho \"[$(date)] 开始灾备切换演练\"\naliyun polardb DescribeDBClusters --region cn-hangzhou --profile $ALIYUN_PROFILE\n\n# 步骤2: 执行主从切换\necho \"[$(date)] 执行主从切换...\"\naliyun polardb SwitchOverGlobalDatabaseNetwork \\\n --GDNId $GDN_ID \\\n --TargetDBClusterId $SECONDARY_CLUSTER_ID \\\n --profile $ALIYUN_PROFILE\n\n# 步骤3: 等待切换完成\nsleep 30\n\n# 步骤4: 验证新主集群状态\necho \"[$(date)] 验证新主集群状态...\"\naliyun polardb DescribeDBClusterEndpoints \\\n --DBClusterId $SECONDARY_CLUSTER_ID \\\n --profile $ALIYUN_PROFILE\n\n# 步骤5: 业务验证（示例：执行简单查询）\n# mysql -h <new-primary-endpoint> -u <user> -p<password> -e \"SELECT 1\"\n\necho \"[$(date)] 灾备切换演练完成\"
7.3 演练注意事项
灾备演练应当在隔离的测试环境或专门的演练时段进行，避免影响生产业务。演练前需备份当前配置和数据状态，演练后及时回切并验证业务恢复。每次演练后应输出演练报告，记录切换耗时、数据一致性检查结果、发现的问题及改进措施，持续优化灾备预案。
8. 成本优化：让灾备更经济
8.1 GDN的费用构成
GDN的跨地域传输流量目前可以免费使用，用户仅需支付每个PolarDB集群自身的计算和存储费用。这意味着从集群的计算资源和存储资源是成本的主要组成部分。从集群的规格建议与主集群保持一致，这在一定程度上增加了成本，但保证了切换后业务的承载能力。
8.2 成本控制策略
在异地灾备场景下，如果从集群仅作为灾备用途而不承载日常读流量，可以考虑在灾备集群上使用较低的规格配置，但在切换前需要提前升配。另一种策略是使用PolarDB的Serverless集群作为从集群（需确认版本支持情况），在无访问时自动缩容以节省成本。
跨地域备份的费用包括两部分：备份数据的存储费用和跨地域传输的网络流量费用。以中国内地之间的跨地域备份为例，二级备份总大小为1000GB、跨地域备份转储消耗500MB网络流量时，每小时费用约为0.0691美元。跨地域备份按天出账。合理设置备份保留周期和备份频率，可以在满足合规要求的前提下控制备份成本。
8.3 按需选择灾备方案
不同业务对灾备的需求等级不同，对应的成本投入也应有所区别。对于核心交易系统，建议采用GDN异地多活或两地三中心方案，保障分钟级RTO和零数据丢失。对于非核心业务系统，可以采用GDN异地灾备方案（从集群不承载读流量），或仅开启跨地域备份功能，以较低的代价获得数据异地冗余能力。对于开发测试环境，则可以通过定期备份和手动恢复的方式实现基本的异地数据保护。
9. 监控与告警：守护灾备系统的健康
9.1 关键监控指标
跨区域灾备系统的日常运维需要重点关注以下监控指标：GDN数据同步延迟——这是衡量灾备系统健康度的核心指标，正常应保持在秒级；从集群的可用性状态——确保从集群在线且可正常提供服务；跨地域网络质量——网络延迟和丢包率直接影响数据同步的稳定性；主集群和从集群的存储空间使用率——避免因存储空间不足导致同步中断。
9.2 告警配置建议
建议为以下场景配置告警：数据同步延迟超过阈值（如10秒）时触发告警；从集群状态异常（如不可用或同步中断）时触发告警；跨地域网络质量下降时触发告警；集群存储空间使用率超过85%时触发告警。告警可以通过阿里云云监控服务配置，支持短信、邮件、钉钉等多种通知方式。
10. 总结
阿里云PolarDB通过全球数据库网络（GDN）为跨区域灾备提供了完整的解决方案。从架构层面看，GDN基于物理复制技术实现了跨地域数据的实时同步，支持异地灾备和异地多活两种典型场景。从部署层面看，创建GDN和添加从集群的操作在控制台中即可完成，无需修改业务代码。从运维层面看，主从切换可在120秒内完成，配合自动化脚本可以实现高效的灾备演练和故障切换。
在实际选型时，需要根据业务的RPO/RTO要求、预算约束和运维能力综合评估：GDN方案适合需要快速切换和低延迟同步的场景；跨地域备份方案适合以数据归档和合规为主要目标的场景；两地三中心架构适合对可用性有极致要求的金融级核心系统。无论选择哪种方案，定期演练和完善的监控告警都是保障灾备系统有效性的关键。
常见问题解答
问1：PolarDB GDN支持多少个从集群？
答：每个GDN包含一个主集群和最多四个从集群。如需更多从集群，可以通过配额中心申请提升配额。
问2：GDN的主从切换需要多长时间？
答：主从切换可以在120秒内完成。实际切换时间取决于数据量和网络状况，建议在切换前进行充分的演练验证。
问3：GDN的跨地域数据传输是否收费？
答：目前GDN的跨地域传输流量可以免费使用，用户仅需支付每个PolarDB集群自身的计算和存储费用。
问4：从集群可以承载业务读请求吗？
答：可以。GDN中的每个集群均可提供读服务，读请求会被直接发送到当前地域下的从集群，写请求则自动转发至主集群。这为异地多活场景提供了基础。
问5：已有集群可以添加为GDN的从集群吗？
答：不可以。从集群必须是新建的集群，已有集群不能被添加为从集群。如果需要将已有集群纳入GDN，需要先创建新的从集群，然后通过数据迁移的方式将数据同步过去。
问6：GDN和跨地域备份有什么区别？如何选择？
答：GDN提供实时数据同步和快速切换能力，RTO可达分钟级，适合需要快速恢复的业务场景。跨地域备份提供数据归档和恢复能力，恢复时间通常较长，但成本更低，适合合规归档和长期数据保护场景。两者可以结合使用，互为补充。
