1. 跨区域灾备：为什么是PolarDB的必修课
在云原生时代，数据库的可用性保障早已超越了单机高可用的范畴。地域级别的自然灾害、数据中心电力中断、网络光纤断裂等极端场景，都可能让单一地域内的所有可用区同时陷入不可用状态。对于金融、电商、政务等核心业务系统而言，数据零丢失（RPO=0）和服务快速恢复（RTO在秒级到分钟级）已成为刚性需求。阿里云PolarDB作为一款云原生数据库，通过全球数据库网络（Global Database Network，简称GDN）提供了原生的跨区域灾备能力，让用户无需修改业务代码即可实现从同城部署到多地部署的平滑扩展。
跨区域灾备的核心诉求可以概括为三个层面：第一是数据可靠性，即灾难发生后数据不能丢失；第二是业务连续性，即服务中断时间必须控制在可接受范围内；第三是运维简易性，即灾备系统的日常管理和故障切换不应过于复杂。PolarDB的GDN方案恰好在这三个维度上提供了系统性的解决方案。
需要先登录阿里云控制台，点击：阿里云控制台
2. 认识GDN：PolarDB跨区域灾备的核心引擎
2.1 什么是全球数据库网络
全球数据库网络（GDN）是由分布在同一个国家内多个地域的多个PolarDB集群组成的网络，网络中所有集群的数据保持同步。GDN由一个主集群（Primary Cluster）和最多四个从集群（Secondary Cluster）构成。每个集群均可提供读服务，写服务则统一由主集群处理并同步至所有从集群。
GDN的核心价值在于解决了跨地域部署的两大痛点：一是跨地域网络延迟导致的数据访问性能下降，二是异地容灾场景下的数据同步与切换复杂度。通过GDN的跨地域低延迟同步机制和本地就近读取能力，各地域的应用可以访问本地域的从集群，将数据库访问延迟控制在秒级以内。
2.2 GDN的技术架构与数据同步原理
GDN的数据同步基于PolarDB的物理复制技术。在主集群中，每一次数据变更都会生成对应的物理日志（Redo Log），这些日志通过跨地域的网络通道实时传输到各个从集群，从集群接收到日志后在本侧进行重放（Replay），从而实现数据的最终一致性。这种基于Redo Log的异步物理复制机制，配合物理日志并行回放等技术，可将主从集群间的数据复制延迟控制在2秒以内。这种同步方式不会影响主集群的性能和稳定性，从而确保了数据在全局范围内的最终一致性。
为了应对不同压力场景下的同步需求，GDN采用了智能的同步策略：在低压力下采用单流Binlog复制，保证同步的稳定性；在高压力下则自动切换为多流Binlog多路复制，通过并行传输提升同步吞吐量，将全球同步延迟控制在秒级。此外，GDN在网络传输层面进行了Batching和Pipelining优化，有效降低了跨地域长距离传输的延迟开销。
2.3 异地灾备与异地多活：两种典型场景
GDN支持两种典型的跨地域部署场景。
第一种是异地灾备场景：业务流量主要集中在一个地域，其他地域的从集群仅作为灾备用途，日常不承担业务读写，只在主地域发生故障时才切换业务流量。这种场景适用于对成本敏感但需要异地数据冗余保障的业务。
第二种是异地多活场景：业务部署在多个地域，每个地域的应用访问本地域的从集群进行读操作，写操作统一由主集群处理。通过GDN的跨地域低延迟同步、跨地域读写分离、本地就近读取等特性，可以确保各地域的应用访问数据库时的延迟控制在秒级。对于写入延迟敏感的场景，GDN多写版提供了表级多写方案，各子集群可对其拥有写权限的表执行本地写入，有效降低跨地域写入延迟。
3. 跨区域灾备部署前置条件
在开始部署跨区域灾备之前，需要确认主集群满足以下前置条件：
- 集群类型：企业版集群版系列
- 至少包含一个只读节点
- 数据库引擎版本要求：MySQL 8.0.2、MySQL 8.0.1（小版本8.0.1.1.17及以上）、MySQL 5.7（小版本5.7.1.0.21及以上）、MySQL 5.6（小版本5.6.1.0.32及以上）
对于PolarDB-X，集群实例版本需5.4.19及以上，且集群下挂的CDC日志引擎版本需大于等于5.4.19-20240709。对于PolarDB for PostgreSQL，所有集群必须运行PostgreSQL 14。
GDN支持的地域覆盖全球包括中国内地、中国香港及海外地域在内的10多个地域。主集群与从集群的地域映射关系如下：
- 中国内地主集群：从集群可部署在同地域或中国内地其他任何地域
- 海外地域主集群：从集群可部署在中国香港、日本（东京）、韩国（首尔）、新加坡、马来西亚（吉隆坡）、印度尼西亚（雅加达）、菲律宾（马尼拉）、泰国（曼谷）、德国（法兰克福）、美国（硅谷）、美国（弗吉尼亚）、英国（伦敦）
需要注意的是，对于非中国内地地域，在创建从集群前需要签署《跨境数据传输合规协议》。跨境的从集群部署需要单独提交工单申请。
4. 创建全球数据库网络（GDN）
创建GDN是跨区域灾备部署的第一步。以下是详细的操作步骤：
4.1 控制台操作步骤
第一步：登录PolarDB控制台，在左侧导航栏中单击\"全球数据库网络（GDN）\"。
第二步：在GDN页面，单击\"创建GDN\"按钮。
第三步：选择已有集群作为主集群，或新购集群作为主集群。如果选择已有集群，请确认该集群满足前置条件。
第四步：配置GDN的基本信息，包括网络类型、地域等参数。
第五步：确认配置无误后，单击\"创建\"完成GDN的创建。
4.2 通过API创建GDN
对于需要自动化部署的场景，可以通过阿里云OpenAPI创建GDN。以下是一个使用Python SDK创建GDN的示例：
import aliyunsdkcore.client import aliyunsdkpolardb.request.v20170809.CreateGlobalDatabaseNetworkRequest
client = aliyunsdkcore.client.AcsClient( 'your-access-key-id', 'your-access-key-secret', 'cn-hangzhou' )
request = aliyunsdkpolardb.request.v20170809.CreateGlobalDatabaseNetworkRequest.CreateGlobalDatabaseNetworkRequest() request.set_accept_format('json') request.set_DBClusterId('pc-xxxxxxxxxxxxx') request.set_GDNDescription('Production-CrossRegion-DR')
response = client.do_action_with_exception(request) print(response)
5. 添加从集群
GDN创建完成后，需要向其中添加从集群以实现跨地域数据同步。
5.1 控制台添加从集群
第一步：登录PolarDB控制台，单击左侧导航栏中的\"全球数据库网络（GDN）\"。
第二步：在全球数据库网络（GDN）页面，找到目标GDN，单击操作栏中的\"添加从集群\"。
第三步：在弹出的售卖页中，配置以下参数：
- 地域：选择从集群部署的地域
- 创建方式：选择\"创建从集群\"
- 全球数据库网络：选择目标GDN（默认已选中）
- 数据库引擎：必须与主集群保持一致
- 计算节点规格：必须大于或等于主集群的计算节点规格，建议保持一致
第四步：完成购买后，返回全球数据库网络（GDN）页面，单击目标GDN的ID进入详情页，在集群列表区域即可看到新创建的从集群。
5.2 添加从集群的限制
在添加从集群时，需要注意以下限制：
- 一个GDN只能包含一个主集群和最多四个从集群
- 每个集群默认包含2个节点，最多可扩展至16个节点
- 从集群的计算节点最低要求4核（仅限非Serverless集群）
- 每个集群只能属于一个GDN
- 只有新创建的集群才能作为从集群加入GDN，已有集群不能被转换为从集群
- 主集群和从集群必须运行相同的数据库引擎版本
- GDN中的集群不支持库表恢复功能
- 对于PolarDB for PostgreSQL，GDN中的集群不支持Serverless功能和列存索引（IMCI）
6. 跨地域读写分离与请求路由
GDN中的集群（主集群和从集群）读写请求路由由每个集群的数据库代理配置所决定。应用程序无需修改代码，只需连接到相应集群的地址，读写请求便会按以下逻辑自行路由：
- 写请求（如INSERT、UPDATE、DELETE等）、其他广播语法（如SET语句）和事务中的所有请求，会被自动转发到主集群的主节点处理
- 读请求默认会路由到本地从集群的只读节点，实现就近访问
如果开启了会话一致性，部分读请求也可能被路由到主集群的主节点以保证数据一致性。
需要注意的是，业务应用连接从集群的集群地址时，从集群到主集群（主节点）的链路多为跨地域（Region）连接。若业务应用使用短连接，频繁建立跨地域后端连接容易受网络波动影响，进而影响性能。建议在此场景下为从集群数据库代理开启按需建连功能。
此外，GDN还提供了一个统一的连接地址，这不仅能够实现就近访问，还能在主集群切换后保持域名不变。
7. 主从切换：故障恢复与灾备演练
当主集群出现地域级别的故障时，可以通过主从切换将业务快速切换到从集群。主从实例切换可以在120秒内完成。这不仅适用于容灾场景，还适用于常态的实例迁移场景，例如借助GDN实现PolarDB-X的跨地域迁移，以及实现低版本实例向高版本的跨机升级。
7.1 控制台手动切换
第一步：登录PolarDB分布式版控制台，在左侧导航栏中单击\"全球数据库网络\"，进入GDN列表页面。
第二步：在GDN列表页面，找到目标从实例，然后单击右侧的\"提升为主实例\"按钮。
第三步：在弹出的确认对话框中，确认切换操作，单击\"确定\"完成切换。
切换完成后，原从集群成为新的主集群，原主集群变为从集群，数据同步方向自动反转。
7.2 通过API执行切换
以下是通过阿里云OpenAPI执行主从切换的示例：
import aliyunsdkcore.client import aliyunsdkpolardb.request.v20170809.SwitchOverGlobalDatabaseNetworkRequest
client = aliyunsdkcore.client.AcsClient( 'your-access-key-id', 'your-access-key-secret', 'cn-hangzhou' )
request = aliyunsdkpolardb.request.v20170809.SwitchOverGlobalDatabaseNetworkRequest.SwitchOverGlobalDatabaseNetworkRequest() request.set_accept_format('json') request.set_GDNId('gdn-xxxxxxxxxxxxx') request.set_DBClusterId('pc-secondary-xxxxxxxxxxxxx')
response = client.do_action_with_exception(request) print(response)
7.3 灾备切换的注意事项
在执行灾备切换时，需要注意以下几点：
- 切换前应确认从集群的数据同步延迟在可接受范围内，可通过监控面板查看复制延迟指标
- 切换操作会导致短暂的写服务中断，建议在业务低峰期执行计划内切换
- 切换完成后，需要更新应用程序的数据库连接配置，或使用GDN统一连接地址避免配置变更
- 定期进行灾备切换演练，验证切换流程的有效性和RTO达标情况
8. 跨可用区自动切换
除了跨地域的GDN灾备方案，PolarDB还支持跨可用区（AZ）的自动切换功能，用于应对同地域内可用区级别的故障。
8.1 跨可用区自动切换概述
PolarDB开启跨可用区自动切换后，当主可用区故障（例如，主可用区所有计算节点同时故障）时，集群会自动进行主备可用区切换，备可用区中的备库升级为新的主库，恢复集群的可用性。
PolarDB还提供了半同步模式来进行跨可用区的数据复制，降低自动切换的RPO，大大降低数据丢失的可能性。半同步模式与异步模式的主要区别在于：
- 半同步模式：在事务提交时，需要等待此次事务产生的redo日志在跨可用区备份节点完成持久化后，才能返回事务提交成功
- 异步模式：在事务提交时，不需要等待此次事务产生的redo日志在跨可用区备份节点完成持久化，只需在RW上完成持久化就可以返回事务提交成功
8.2 开启跨可用区自动切换
第一步：登录PolarDB控制台，在左侧导航栏单击\"集群列表\"，选择集群所在地域，并单击目标集群ID进入集群详情页。
第二步：在基本信息页面，单击\"可用区容灾自动切换\"右侧的\"开启\"。
第三步：在弹出的对话框中，单击\"确定\"。
第四步：（可选）开启半同步模式进行跨可用区的数据复制。
8.3 回切到原主可用区
开启跨可用区自动切换后，当原主可用区的故障恢复时，可以通过回切原主可用区或更换主可用区，手动回切到原主可用区。集群自动切换到备可用区后，网络处于跨可用区访问状态，会出现一定的访问延迟，建议及时回切到原主可用区。
9. 灾备演练与自动化监控
9.1 灾备演练的最佳实践
定期进行灾备演练是确保灾备系统有效性的关键。以下是灾备演练的最佳实践建议：
- 演练频率：建议每季度至少进行一次完整的灾备切换演练，核心业务系统可适当增加频率
- 演练范围：演练应覆盖从故障检测、切换决策、执行切换到业务验证的全流程
- 演练目标：验证RTO和RPO是否满足业务要求，识别切换流程中的瓶颈和风险点
- 演练记录：详细记录每次演练的步骤、耗时、遇到的问题和解决方案，形成知识库
- 增量演练：在业务变更（如数据模型变更、配置变更）后，应进行针对性的增量演练
9.2 自动化监控脚本示例
以下是一个使用Python监控GDN同步延迟的脚本示例：
import json import time import aliyunsdkcore.client import aliyunsdkpolardb.request.v20170809.DescribeGlobalDatabaseNetworkRequest
def check_gdn_replication_lag(gdn_id, threshold_seconds=5): client = aliyunsdkcore.client.AcsClient( 'your-access-key-id', 'your-access-key-secret', 'cn-hangzhou' )
request = aliyunsdkpolardb.request.v20170809.DescribeGlobalDatabaseNetworkRequest.DescribeGlobalDatabaseNetworkRequest() request.set_accept_format('json') request.set_GDNId(gdn_id)
response = client.do_action_with_exception(request) data = json.loads(response)
# 解析从集群的同步延迟信息 for cluster in data.get('DBClusters', []): if cluster.get('Role') == 'secondary': lag = cluster.get('ReplicationLag', 0) print(f\"从集群 {cluster.get('DBClusterId')} 同步延迟: {lag} 秒\")
if lag > threshold_seconds: print(f\"警告: 从集群 {cluster.get('DBClusterId')} 同步延迟超过阈值 {threshold_seconds} 秒\")
if __name__ == '__main__': check_gdn_replication_lag('gdn-xxxxxxxxxxxxx', threshold_seconds=5)
9.3 自动化切换脚本示例
以下是一个使用Shell脚本调用阿里云CLI执行主从切换的示例：
#!/bin/bash
# 配置变量 GDN_ID=\"gdn-xxxxxxxxxxxxx\" SECONDARY_CLUSTER_ID=\"pc-secondary-xxxxxxxxxxxxx\" REGION=\"cn-hangzhou\"
# 检查当前从集群的同步延迟 LAG=$(aliyun polardb DescribeGlobalDatabaseNetwork --GDNId $GDN_ID --region $REGION | jq -r '.DBClusters[] | select(.Role==\"secondary\") | .ReplicationLag')
echo \"当前从集群同步延迟: $LAG 秒\"
# 如果延迟小于阈值，执行切换 if [ $LAG -lt 5 ]; then echo \"同步延迟正常，开始执行主从切换...\" aliyun polardb SwitchOverGlobalDatabaseNetwork --GDNId $GDN_ID --DBClusterId $SECONDARY_CLUSTER_ID --region $REGION echo \"主从切换已触发，请等待切换完成\" else echo \"同步延迟过高，暂不执行切换，请检查数据同步状态\" exit 1 fi
10. 方案对比：GDN vs DTS同步 vs 两地三中心
10.1 GDN方案
GDN是PolarDB原生的跨区域灾备方案，具有以下特点：
- 优势：原生集成，无需修改业务代码；基于物理复制，同步延迟低（2秒以内）；支持就近读取，降低跨地域读延迟；配置灵活，主从集群可独立配置规格
- 限制：从集群必须为新购集群；一个GDN最多支持4个从集群；不支持库表恢复功能
- 适用场景：需要跨地域数据冗余和快速灾备恢复的核心业务系统
10.2 DTS数据同步方案
数据传输服务DTS支持PolarDB集群之间的单向和双向数据实时同步。与GDN相比：
- 优势：支持跨账号、跨云厂商的数据同步；支持异构数据库之间的同步；同步链路配置更灵活
- 限制：基于逻辑复制（Binlog解析），同步延迟相对较高；需要额外购买DTS实例，增加成本
- 适用场景：跨账号灾备、混合云灾备、异构数据库迁移等场景
10.3 两地三中心架构
两地三中心是金融行业常用的高可用架构模式，采用两个机房作为主中心，一个机房作为备份中心。PolarDB-X基于Paxos多副本协议支持两地三中心5副本+主备集群的部署架构，满足跨域高可用下的RPO=0。
两地三中心架构的特点：
- 单副本故障：触发Leader重新选举，同机房副本优先
- 机房故障：5副本动态降级为3副本，保证多数派可用
- 地域故障：剩余备份中心1副本，单副本启动提供服务，业务切流到异地备实例
两地三中心适用于对数据零丢失有极致要求的金融核心业务，但架构复杂、成本较高。
10.4 方案选择建议
- 对于大多数需要跨地域灾备的云原生业务，GDN是最优选择——原生集成、低延迟、易运维
- 对于跨账号或混合云场景，DTS是更灵活的选择
- 对于金融级核心业务且对RPO=0有刚性要求，可考虑两地三中心架构
11. 成本分析与优化策略
11.1 GDN的费用构成
GDN的费用主要由两部分构成：
- 集群自身费用：主集群和每个从集群的计算节点费用和存储费用，按量付费或包年包月计费
- 跨地域数据传输费用：目前GDN的跨地域传输流量可以免费使用。但需注意，自2026年1月1日起，跨境数据传输将开始收费。跨境场景（一个集群在中国内地，另一个在海外）按0.80美元/GB收费，按小时计费。非跨境场景（两个集群均在中国内地，或均在中国内地以外的地域）传输免费
11.2 成本优化策略
- 合理规划从集群规格：从集群的计算节点规格建议与主集群保持一致，但可根据读流量情况适当调整
- 利用免费传输额度：在规划跨区域灾备时，优先选择非跨境部署以享受免费传输
- 选择合适的计费方式：长期稳定运行的生产环境可选择包年包月，临时测试环境可选择按量付费
- 监控资源使用：定期检查集群的资源使用率，避免过度配置造成浪费
12. 常见问题与最佳实践总结
12.1 部署建议
- 在部署跨区域灾备前，明确业务的RPO和RTO要求，选择合适的灾备方案
- 生产环境建议使用包年包月计费方式，并开启自动续费避免意外中断
- 从集群的地域选择应综合考虑网络延迟、合规要求和成本因素
- 建议为GDN中的每个集群配置独立的监控告警，重点关注复制延迟指标
12.2 运维建议
- 建立标准化的灾备切换操作流程和审批机制
- 定期进行灾备切换演练，验证RTO达标情况
- 关注GDN的版本更新和功能迭代，及时升级获取最新能力
- 在业务变更后及时评估对灾备方案的影响，必要时调整配置
13. 问答
问1：GDN支持多少个从集群？从集群必须是新购的吗？
答：一个GDN支持一个主集群和最多四个从集群。从集群必须是新创建的集群，已有集群不能被转换为从集群加入GDN。
问2：GDN的数据同步延迟大概是多少？
答：GDN通过异步物理复制机制实现跨地域数据同步，借助物理日志并行回放等技术，主从集群间的数据复制延迟可控制在2秒以内。
问3：主从切换需要多长时间？
答：主从实例切换可以在120秒内完成。具体耗时取决于数据量和网络状况，建议在业务低峰期执行计划内切换。
问4：GDN的跨地域传输流量收费吗？
答：目前GDN的跨地域传输流量可以免费使用。但自2026年1月1日起，跨境数据传输（一个集群在中国内地，另一个在海外）将按0.80美元/GB收费。非跨境场景传输免费。
问5：GDN和DTS数据同步有什么区别？
答：GDN是PolarDB原生的跨区域灾备方案，基于物理复制，同步延迟低（2秒以内），无需修改业务代码。DTS是数据传输服务，支持跨账号、跨云厂商的数据同步，基于逻辑复制（Binlog解析），配置更灵活但延迟相对较高。
问6：从集群从GDN移除后会怎样？
答：从集群从GDN移除后，数据同步停止，集群切换为读写模式，成为一个独立的PolarDB集群。需要注意的是，移除操作不可逆，被移除的集群不能再作为从集群加入任何GDN。
