法國一座資料中心燒沒了，有些資料再也沒回來

2021 年 3 月 10 日午夜剛過，法國史特拉斯堡一處資料中心園區響起了火警。幾個小時內，園區四棟樓裡的一棟——SBG2，一座塞滿伺服器的五層混凝土大樓——火勢徹底失控。整個地區的消防員趕來撲了一夜。天亮時，SBG2 只剩廢墟。

這不是什麼來路不明的託管商。這是 OVHcloud，歐洲最大的雲端服務商之一，客戶數以百萬計。公司創辦人 Octave Klaba 整晚都在 Twitter 上發更新，因為沒有哪份新聞稿能趕上事態的速度。他直接警告客戶：啟動你們的災難復原計畫吧。到早上，數百萬個網站熄了燈——政府服務、遊戲伺服器、小企業、個人專案。而對相當一部分客戶來說，還有更糟的：他們的資料直接沒了。不是暫時連不上。是沒了。

事實證明，「雲」不是雲。它是一棟樓。而樓是會燒的。

雲就是一棟樓

我們說起「雲」，語氣像在說天氣——瀰漫、無處不在、不受局部災難影響。這個比喻替整個行業默默做了很多工作：它暗示一個你摸不著的東西，也就壞不到哪兒去。但你「放進雲裡」的每一個檔案，都躺在某個具體房間、某棟具體大樓、某條具體街道上的一塊硬碟或快閃晶片裡。那棟樓有屋頂、有供電線路、有電池間——正如史特拉斯堡證明的那樣——還有火災荷載。

資料中心在防火上是下了重本的：氣體滅火系統、防火分區、冗餘供電、能在電網斷電時頂上的電池組。OVH 的園區也不例外，是現代化、正規營運的設施。可火還是起了，還是蔓延了，還是一整棟樓沒了。調查人員花了幾個月查原因，焦點落在樓裡的電氣系統上——讓伺服器活著的那套系統，在倒楣的那個小時裡，也能要了它們的命。這個諷刺不是 OVH 獨有的。每座資料中心都把巨大的電能集中在一處，因為規模化運算的必需就是如此。集中是商業模式。集中也是風險。

燒掉的，和再也回不來的

這裡有個最常見的誤解：那些永久丟了資料的客戶，丟資料並不是因為 OVH 粗心。很多人丟，是因為他們的備份就在同一棟樓裡。

一份備份和原始資料住在同一個設施裡，那不叫備份。那叫等著同一場火的第二份拷貝。SBG2 燒起來時，那些所謂「冗餘」是「SBG2 裡另一個機架」的客戶才發現：冗餘和複製不是一回事。真正的複製意味著分離——不同的樓、不同的電網、不同的失效方式。相當多的 OVH 客戶從來沒做過這種分離，因為服務商讓你太容易不必去想它。一切都在一個控制台裡、一張帳單上、一個地方。方便，悄悄替代了韌性。

這件事讓人不舒服的真相是：對大多數人來說，技術恰恰是按設計運行的。同園區的 SBG3 和 SBG4 被預防性關停，後來都恢復了。有異地副本的客戶重建了系統。那些失去一切的人，輸給的不是一個 bug，而是一個假設：以為專業設施本身就是一種保證。

它從來不是。保證是一個流程，不是一個地方。

3-2-1 法則，和那個沒人做的「1」

儲存行業有一句口頭禪，正是為這種場景準備的，叫 3-2-1：資料留三份，放在兩種不同的介質上，其中一份異地存放。行裡人人能背。普通個人卻幾乎沒人真做。

前兩條容易。三份、兩種介質——一塊硬碟加一個雲端同步，或者一台 NAS 加一塊外接硬碟，大多數人能湊齊。偏偏最後那個「1」——異地的、物理分離的、最好還是離線的那份——會被悄悄跳過。跳過的原因是：它是整條法則裡唯一需要持續投入的部分——第二個地點、一套例行工作、一個在你根本不惦記這件事的時候替你照看它的人。

史特拉斯堡懲罰的正是這個被跳過的「1」。有的人幾天就重建完畢。沒有的人，就沒有了。這條法則不在乎威脅是火災、水災、勒索軟體，還是挖斷光纜的挖土機。它只在乎一件事：你的幾份拷貝，是不是共命運。

「但服務商會搞定的」

我們最常聽到的反駁是這樣的：像樣的服務商肯定跨區域複製，所以我用不著操心。有些時候這話成立——前提是你付了錢、配好了、還驗證過。但很多人在預設檔位上，所謂的複製只是「園區之內」，而園區，如前所述，是一棟樓。

把思考整個外包出去，還有一個更深的問題。當服務商包辦一切，你就不再追問了——哪個版本在哪兒、異地那份有多舊、今年有沒有人真做過一次復原測試。服務商的儀表板是綠的，那一切就該沒問題。可儀表板都是變紅之前一直綠著的。大火之後，一些 OVH 客戶才發現，他們以為的「異地冗餘」從來不是他們以為的樣子。人以為自己的系統在做的事，與它實際在做的事，中間那道縫，就是資料死去的地方。

這正是儲存行業的老手在「驗證」上無聊得要命的原因。信任服務商的樓；驗證你自己的拷貝。匠人的版本是這樣說的：如果你沒有親自確認過，有一份拷貝待在單場火災搆不著的地方，你就沒有備份。你只有一個希望。

總要有人負責記得

Seneca 寫過，我們應該預料不幸，並為它做計畫——不是出於悲觀，而是因為計畫能把災難從「結局」變成「插曲」。OVH 這場火就是這句話的案例研究：有真正異地副本的客戶，3 月 10 日是難熬的一週，然後就過去了；沒有的客戶，那一週就是結局。

教訓不是「別用雲」。雲在存取和協作上是件好工具。教訓是：任何你輸不起的東西，都需要一份與原件不共命運的副本——不同的樓、不同的電網、不同的威脅模型——外加一套讓這份副本保持「活著」的例行工作：定期檢查、核對資料、在介質老化失效之前更換。

幾乎沒人親自做這套例行工作，因為備份的全部意義，就是讓你不用再惦記它。這正是悖論所在，也是「保管」會成為一份工作的原因。不是儀表板，不是同步用戶端——而是一個人，在一棟你從沒去過的樓裡，全部工作就是這些不起眼的照管：編號、封存、拍照、每半年檢查一次封條、記錄在案——而且，只有當介質的主人書面提出要求時，才會去校驗介質本身。3-2-1 裡面的那個「1」，由一個只做這一件事的人來完成。

火教會了史特拉斯堡的客戶老手們早就知道的事。雲是一棟樓。樓會燒。按會燒來打算。

Everkeep 為你自己擁有、自己加密的硬碟提供離線保管。每個槽位包含每年兩次的狀態檢查——檢查封條、拍照、記錄在案；除非你書面提出要求，你的硬碟絕不會被通電。兩份拷貝，兩個獨立地點。每個設備槽位 199 美元/年。