阿里云PolarDB跨区域灾备部署完全指南：从GDN架构到异地容灾实战

1. 跨区域灾备：为什么是PolarDB的必修课

在云原生时代，数据库的可用性保障早已超越了单机高可用的范畴。地域级别的自然灾害、数据中心电力中断、网络光纤断裂等极端场景，都可能让单一地域内的所有可用区同时陷入不可用状态。对于金融、电商、政务等核心业务系统而言，数据零丢失和服务快速恢复已成为刚性需求。阿里云PolarDB作为一款云原生数据库，通过全球数据库网络提供了原生的跨区域灾备能力，让用户无需修改业务代码即可实现从同城部署到多地部署的平滑扩展。

跨区域灾备的核心诉求可以概括为三个层面：第一是数据可靠性，即灾难发生后数据不能丢失；第二是业务连续性，即服务中断时间必须控制在可接受范围内；第三是运维简易性，即灾备系统的日常管理和故障切换不应过于复杂。PolarDB的GDN方案恰好在这三个维度上提供了系统性的解决方案。

需要先登录阿里云控制台，点击：阿里云控制台

2. 认识GDN：PolarDB跨区域灾备的核心引擎

2.1 什么是全球数据库网络

全球数据库网络是由分布在同一个国家内多个地域的多个PolarDB集群组成的网络，网络中所有集群的数据保持同步。GDN由一个主集群和最多四个从集群构成。每个集群均可提供读服务，写服务则统一由主集群处理并同步至所有从集群。

GDN的核心价值在于解决了跨地域部署的两大痛点：一是跨地域网络延迟导致的数据访问性能下降，二是异地容灾场景下的数据同步与切换复杂度。通过GDN的跨地域低延迟同步机制和本地就近读取能力，各地域的应用可以访问本地域的从集群，将数据库访问延迟控制在秒级以内。

2.2 GDN的技术架构与数据同步原理

GDN的数据同步基于PolarDB的物理复制技术。在主集群中，每一次数据变更都会生成对应的物理日志，这些日志通过跨地域的网络通道实时传输到各个从集群，从集群接收到日志后在本侧进行重放，从而实现数据的最终一致性。这种基于Redo Log的异步物理复制机制，配合物理日志并行回放等技术，可将主从集群间的数据复制延迟控制在2秒以内。这种同步方式不会影响主集群的性能和稳定性，从而确保了数据在全局范围内的最终一致性。

为了应对不同压力场景下的同步需求，GDN采用了智能的同步策略：在低压力下采用单流Binlog复制，保证同步的稳定性；在高压力下则自动切换为多流Binlog多路复制，通过并行传输提升同步吞吐量，将全球同步延迟控制在秒级。此外，GDN在网络传输层面进行了Batching和Pipelining优化，有效降低了跨地域长距离传输的延迟开销。

2.3 异地灾备与异地多活：两种典型场景

GDN支持两种典型的跨地域部署场景。

第一种是异地灾备场景：业务流量主要集中在一个地域，其他地域的从集群仅作为灾备用途，日常不承担业务读写，只在主地域发生故障时才切换业务流量。这种场景适用于对成本敏感但需要异地数据冗余保障的业务。

第二种是异地多活场景：业务部署在多个地域，每个地域的从集群承担本地读流量，实现就近访问。GDN多写版还提供表级多写方案，各子集群可对其拥有写权限的表执行本地写入，有效降低跨地域写入延迟。

3. GDN部署前置条件与限制

3.1 主集群前置条件

在创建GDN之前，主集群需要满足以下要求：

• 企业版集群，且为集群版系列
• 至少包含一个只读节点
• 引擎版本需为以下之一：MySQL 8.0.2、MySQL 8.0.1（小版本8.0.1.1.17及以上）、MySQL 5.7（小版本5.7.1.0.21及以上）、MySQL 5.6（小版本5.6.1.0.32及以上）

3.2 集群与节点限制

GDN在集群和节点层面有以下限制：

• 每个GDN包含1个主集群，最多4个从集群
• 每个集群默认2个节点，最多可扩展至16个节点
• 从集群的计算节点最低要求4核CPU（非Serverless类型）
• 每个集群只能属于一个GDN
• 只有新创建的集群才能作为从集群加入GDN，已有集群不能被转换为从集群
• 主集群和从集群必须运行相同的引擎版本

3.3 支持的地域

GDN支持以下地域的部署：

• 中国内地所有地域
• 中国（香港）
• 日本（东京）、韩国（首尔）
• 新加坡、马来西亚（吉隆坡）、印度尼西亚（雅加达）、菲律宾（马尼拉）、泰国（曼谷）
• 德国（法兰克福）、美国（硅谷）、美国（弗吉尼亚）、英国（伦敦）

跨境部署从集群需要单独申请。对于非中国内地地域，在创建从集群前需要签署《跨境数据传输合规协议》。

4. 创建GDN的完整操作流程

4.1 创建全球数据库网络

以下是创建GDN的详细步骤：

步骤一：登录控制台

登录PolarDB控制台，在左侧导航栏中单击"全球数据库网络"。

步骤二：创建GDN

在全球数据库网络页面，单击"创建全球数据库网络"。在创建对话框中配置以下信息：

• 兼容性：选择数据库引擎类型（MySQL或PostgreSQL）
• 名称：为GDN配置具有业务意义的名称
• 主地域：选择主集群所在的地域
• 主集群：选择一个已有集群作为GDN的主集群

步骤三：确认创建

单击确定完成GDN的创建，即可在全球数据库网络列表中查看已创建的GDN。

4.2 添加从集群

创建GDN后，需要向其中添加从集群。添加从集群时需注意：

• 从集群必须为新创建的集群，不能使用已有集群
• 从集群的计算节点规格需大于或等于主集群的计算节点规格，建议保持一致
• 从集群与主集群的数据库引擎版本必须一致

添加从集群的操作可在GDN详情页中完成，选择目标地域并创建新的PolarDB集群作为从集群加入GDN。

4.3 配置跨地域备份（可选补充方案）

除了GDN实时同步方案外，PolarDB还支持跨地域备份功能作为灾备的补充手段。通过备份策略设置，可自动将全量数据备份和增量日志备份从源地域转储到目标地域，并支持将备份数据恢复为目标地域的数据库实例。

开启二级备份后，若一级备份超出设置的保留时间，将会被自动转存为二级备份，转存速度约为150 MB/秒。二级备份支持同地域备份和跨地域备份。跨地域恢复支持按时间点与按备份集两种全量恢复方式。

5. 主从切换：灾备切换的核心操作

5.1 切换场景与类型

PolarDB的主从切换分为计划内切换和计划外容灾切换两种类型。计划内切换包括集群升降配和小版本升级等场景；计划外容灾切换则是在主地域发生故障时的应急响应。

将业务从主集群切换到从集群，不仅适用于容灾场景，还适用于常态的实例迁移场景，例如借助GDN实现PolarDB的跨地域迁移，以及实现低版本实例向高版本的跨机升级。

5.2 无感秒切技术

PolarDB的无感秒切技术从故障探测、切换速度和切换体验三个方面对切换场景进行了优化。当只读节点未开启热备时，主备切换过程中可能会出现20到30秒左右的闪断；当只读节点开启了热备功能时，主备切换将在3到10秒内完成。PolarDB开启跨可用区自动切换后，当主可用区故障时，集群会自动进行主备可用区切换，备可用区中的备库升级为新的主库，恢复集群的可用性。

5.3 手动切换操作示例

对于PolarDB PostgreSQL轻量版，支持使用pdbcli进行主备节点手动切换。以下是手动切换的核心步骤：

# 查看所有可切换的只读节点
pdbcli list
# 执行主备节点切换
pdbcli switchover --target <目标节点ID>
# 验证切换结果
pdbcli status

完成主备节点切换后，执行pdbcli status验证，如每个节点的phase均为RUNNING，则表明手动切换成功。

5.4 跨区域主备同步的MySQL复制方案

对于需要自定义复制配置的场景，也可以通过MySQL原生复制功能实现跨区域主备同步。以下是配置步骤：

获取主节点复制信息：

SHOW MASTER STATUS;

配置备节点复制（编辑my.cnf或my.ini）：

[mysqld]
server-id=2
relay-log=/data/mysql-relay-bin
log-slave-updates

在备节点启动复制：

CHANGE MASTER TO
  MASTER_HOST='<主节点地址>',
  MASTER_USER='<复制用户名>',
  MASTER_PASSWORD='<复制密码>',
  MASTER_LOG_FILE='<binlog文件名>',
  MASTER_LOG_POS=<binlog位置>;
START SLAVE;

监控复制状态：

SHOW SLAVE STATUS\G;

6. 灾备自动化：脚本示例与监控实践

6.1 Python自动化灾备检查脚本

以下Python脚本可用于自动化检查GDN中主从集群的同步状态和健康度：

import boto3
import json
import time
from datetime import datetime
def check_gdn_status(region, gdn_id):
    client = boto3.client('polardb', region_name=region)
    
    # 获取GDN信息
    response = client.describe_global_database_network(
        GlobalDatabaseNetworkId=gdn_id
    )
    
    clusters = response['GlobalDatabaseNetwork']['Clusters']
    
    for cluster in clusters:
        status = cluster['Status']
        role = cluster['Role']
        sync_status = cluster.get('SyncStatus', 'Unknown')
        
        print(f"[{datetime.now()}] Cluster: {cluster['ClusterId']}, "
              f"Role: {role}, Status: {status}, Sync: {sync_status}")
        
        if status != 'Running':
            print(f"WARNING: Cluster {cluster['ClusterId']} is not running!")
            return False
            
        if role == 'Secondary' and sync_status != 'Synced':
            print(f"WARNING: Secondary cluster {cluster['ClusterId']} "
                  f"is not synced!")
            return False
    
    return True
if __name__ == '__main__':
    gdn_id = 'your-gdn-id'
    region = 'cn-hangzhou'
    
    while True:
        ok = check_gdn_status(region, gdn_id)
        if not ok:
            # 发送告警通知
            print("ALERT: GDN status check failed!")
        time.sleep(60)

6.2 Shell脚本自动化切换演练

以下Shell脚本可用于定期的灾备切换演练：

#!/bin/bash
# PolarDB GDN 灾备切换演练脚本
GDN_ID="your-gdn-id"
PRIMARY_REGION="cn-hangzhou"
SECONDARY_REGION="cn-beijing"
LOG_FILE="/var/log/polardb_drill.log"
log_message() {
    echo "[$(date '+%Y-%m-%d %H:%M:%S')] $1" | tee -a $LOG_FILE
}
# 步骤1: 检查当前主集群状态
log_message "Step 1: Checking current primary cluster status"
aliyun polardb DescribeGlobalDatabaseNetwork \
    --GlobalDatabaseNetworkId $GDN_ID \
    --region $PRIMARY_REGION
# 步骤2: 执行主从切换（演练模式）
log_message "Step 2: Performing switchover drill"
aliyun polardb SwitchOverGlobalDatabaseNetwork \
    --GlobalDatabaseNetworkId $GDN_ID \
    --TargetRegionId $SECONDARY_REGION \
    --region $PRIMARY_REGION
# 步骤3: 等待切换完成
log_message "Step 3: Waiting for switchover to complete"
sleep 60
# 步骤4: 验证新主集群状态
log_message "Step 4: Verifying new primary cluster status"
aliyun polardb DescribeGlobalDatabaseNetwork \
    --GlobalDatabaseNetworkId $GDN_ID \
    --region $SECONDARY_REGION
# 步骤5: 切回原主集群
log_message "Step 5: Switching back to original primary"
aliyun polardb SwitchOverGlobalDatabaseNetwork \
    --GlobalDatabaseNetworkId $GDN_ID \
    --TargetRegionId $PRIMARY_REGION \
    --region $SECONDARY_REGION
log_message "Drill completed successfully"

7. 方案对比：GDN vs 跨地域备份 vs 两地三中心

7.1 GDN方案

GDN是PolarDB原生的跨区域灾备方案，通过物理复制实现跨地域数据同步。其优势在于RTO极低、无需修改应用代码、支持就近读取。适用于对RTO要求严格的异地灾备和异地多活场景。

7.2 跨地域备份方案

跨地域备份通过将备份集转存到目标地域的OSS实现数据异地冗余。其优势在于成本较低、支持长期归档（最长10年）。但RTO相对较高，需要从备份集恢复数据后才能提供服务。适用于对成本敏感、可接受较长恢复时间的灾备场景。

7.3 两地三中心架构

两地三中心架构将PolarDB-X实例部署在一个地域的两个主数据中心和另一个地域的一个灾备数据中心。该拓扑提供跨地域高可用，RPO为零，满足金融行业四级到六级灾备要求。PolarDB-X采用基于Paxos多数派共识协议的五副本机制实现RPO=0。主地域两个数据中心共四个副本，灾备地域一个副本，多数派同步需要至少三个副本响应。适用于金融级高可用场景。

7.4 方案选型建议

• 业务连续性要求极高、需要秒级RTO：选择GDN方案
• 成本敏感、可接受分钟级到小时级RTO：选择跨地域备份方案
• 金融级合规要求、RPO=0：选择两地三中心架构

8. 灾备演练最佳实践

8.1 演练频率与范围

灾备演练应定期执行，建议每季度至少进行一次完整的切换演练。演练范围应包括：

• 主从切换流程验证
• 数据一致性校验
• 应用连接切换测试
• 业务流量回切验证

8.2 演练注意事项

• 演练前应备份当前配置和数据状态
• 选择业务低峰期执行演练，减少对生产的影响
• 演练过程中全程监控同步延迟和集群健康状态
• 演练完成后及时回切并验证业务恢复正常
• 记录演练过程中的问题和改进点，形成演练报告

9. 成本控制策略

9.1 计费构成

GDN的费用主要由两部分构成：

• 集群自身费用：主集群和从集群的计算与存储资源费用
• 跨地域数据传输费用：主从集群间的数据同步流量费用

传输费用根据是否跨境而不同：同在中国内地或同在中国内地以外地域为免费；跨境传输为0.80美元/GB，按小时计费。

9.2 成本优化建议

• 合理规划从集群规格：从集群的计算节点规格应与主集群保持一致或略低
• 选择合适的部署地域：尽量将主从集群部署在同一国家内，避免跨境传输费用
• 按需调整同步策略：对于非核心业务，可适当放宽同步延迟要求以降低网络资源消耗
• 利用包年包月计费：对于长期运行的灾备集群，包年包月比按量付费更经济
• 灾备集群规格优化：异地灾备场景下，从集群仅作为灾备用途时，可选择较低规格的计算节点

10. 常见问题与解答

问1：GDN支持的最大从集群数量是多少？

每个GDN包含1个主集群和最多4个从集群。如需更多从集群，可在配额中心申请提高配额。

问2：GDN的数据同步延迟一般是多少？

GDN通过物理日志并行回放等技术，主从集群间的数据复制延迟可控制在2秒以内。在网络传输层面通过Batching和Pipelining优化进一步降低延迟。

问3：已有集群能否直接作为GDN的从集群？

不可以。只有新创建的集群才能作为从集群加入GDN，已有集群不能被转换为从集群。

问4：跨地域备份与GDN有什么区别？

GDN通过实时物理复制实现跨地域数据同步，RTO极低；跨地域备份则是将备份集转存到目标地域，RTO相对较高。GDN适用于对业务连续性要求高的场景，跨地域备份适用于成本敏感、可接受较长恢复时间的场景。

问5：GDN切换时业务会中断多久？

当只读节点开启了热备功能时，主备切换将在3到10秒内完成。PolarDB的无感秒切技术进一步优化了切换体验。

问6：两地三中心架构能否保证RPO=0？

可以。PolarDB-X采用基于Paxos多数派共识协议的五副本机制，在两地三中心架构下可实现RPO=0。当主地域两个数据中心都故障时，灾备地域的单个副本可通过强制启动模式恢复服务。