云上高可用架构

单一节点故障，整个业务系统将不可用。这是单节点架构中最明显、最致命的风险。缺乏业务服务的冗余、故障转移等容灾能力。

应用系统的服务能力受限于单一节点的性能，存在性能瓶颈。扩容时可能面临成本高、周期长、服务中断等多重问题。

当对单节点进行维护或升级时，可能面临停机停服问题。每台独立机器保持独立的公网入口，安全策略统一管理困难。

关键组件不能只有一份，任何单点都可能成为故障点

系统需要持续感知每个组件的状态，才能及时发现故障

发现故障后必须能自动切换，依赖人工响应会大幅延长中断时间

通过“多实例冗余 + ALB 负载均衡 + 跨可用区部署”的组合，在应用层实现自动化的故障隔离和流量切换，详见本方案的部署实践

将所有可变状态从应用服务器中剥离，存入外部独立的、可被所有实例共享的存储服务中

弹性伸缩让系统既能在高峰期保证服务质量，又能在低谷期节约成本，是高可用与成本优化的结合点

用户信息、订单记录等结构化数据，存储在云数据库 RDS 中，通过主备架构实现高可用：主节点发生不可恢复故障时，系统自动触发主备切换，无需人工干预，对应用透明

图片、视频、文档等非结构化数据，在应用无状态化改造中将其迁移至 OSS，通过多重副本机制保证数据持久性，同时选择同城冗余存储获得可用区级高可用保障

将用户会话迁移到高性能分布式缓存 Tair，任何一台 ECS 处理请求时都通过访问同一个 Tair 实例获取或更新用户状态

在生产地域部署生产环境，在灾备地域部署备用环境。正常情况下，备用环境只接收数据同步（数据传输服务DTS同步结构化数据，OSS跨区域复制实现非结构化数据的跨地域冗余），不处理任何业务请求。灾难发生时，将备用系统激活，手动修改 DNS 记录，或通过全局流量管理 GTM 自动触发切换，在分钟至小时级别内恢复业务。

金融等对稳定性要求极高的行业中常见的增强型架构，本质上是将同城高可用与异地主备容灾分层叠加。生产地域：业务系统同时部署在两个不同可用区，构成能自动抵御单机房故障的同城高可用集群（两中心）；灾备地域：部署一套与上海生产环境保持数据同步的异地灾备中心（一中心）。

多地域同时部署完整的生产环境，并同时处理真实业务请求，不再有主备之分。GTM 根据用户地理位置和网络延迟，将请求路由到最优地域。当某个地域发生故障时，GTM 自动将其从地址池中移除，用户流量自然流向其他健康地域，整个过程对用户无感知，从而实现地域级故障的自动切换。

在应用层（ALB 请求成功率、响应时间、ECS CPU/内存）、数据层（RDS 连接数、慢查询、主备同步延迟，Tair 内存使用率、命中率）和业务层（订单量、支付成功率等核心指标）分别采集关键指标并设置告警阈值，实现全链路监控覆盖。

当一个请求需要经过 ALB → ECS → Tair → RDS 多个组件时，ARMS 应用性能监控能够将这条请求的完整调用链路可视化，精准定位是哪个环节耗时过长或发生了错误，将故障定位时间从小时级缩短到分钟级。

将所有实例的应用日志、访问日志集中采集到日志服务（SLS），避免实例故障后日志丢失，同时支持跨实例的日志搜索和分析，为故障复盘和安全审计提供完整的现场记录。