AWS 中东机房被炸毁、可用区“永久消失”：你的云服务器数据凭什么只放在一个地方？

老实说，"云"这个词是这二十年里最成功的一次市场营销。它把一堆机房、机柜、硬盘、交换机和空调，包装成了一个听起来没有重量、不会坏、永远在的东西。

直到 2026 年 9 月，AWS 在自己的 Health Dashboard（健康面板）上写下那句很克制的话——"我们无法恢复这个区域内独家托管的资源和数据"——我才觉得这层包装被撕开了一道口子。

这两天技术圈里在传的一件事就是：AWS 在中东的云资源，有一部分永久没了。不是宕机两小时，不是丢了几块盘，是整个区域的数据，官方判定"修不回来了"。

这件事跟做服务器导购、做站长、买 VPS 的你我，关系比你想象的大得多。所以这篇文章，我想把它讲透：到底发生了什么，为什么"修不好"，以及今天你能做点什么。

目录

1. 先说清楚发生了什么
2. Region、AZ、高可用、容灾，是四个概念
3. 为什么"修不好"：钱不是问题，物理层没了
4. 别把 SLA 当保险单
5. 一个老兵的实话：备份这件事，我们做得比欧美差
6. 落到选购：今天你还能决定的三件事
7. 总结

一、先说清楚发生了什么

事情的脉络其实很清楚，只是国内媒体提得不多（来源：The Register，2026-09-16；AWS Health Dashboard）：

• 2026 年 3 月：无人机袭击了 AWS 在阿联酋的两个数据中心（这是当时就公开报道过的）。巴林区域（区域代码 me-south-1）的第一个可用区受损。
• 2026 年 4 月：又来一轮袭击，巴林第二个可用区被打掉，整个巴林区域彻底不可用。
• 2026 年 9 月 16 日：AWS 在健康面板上给出最终结论——巴林区域内独家托管的资源和数据，无法恢复。阿联酋区域的三个可用区里，mec1-az2 同样被判定无法恢复，另外两个（mec1-az1、mec1-az3）还在抢救。

AWS 的原话是这样的：

"The damage to our infrastructure spanned multiple Availability Zones and exceeded what our regional and multi-AZ services are designed to withstand. After a thorough assessment, we have determined that we are unable to restore access to the resources and data hosted exclusively in this Region."

翻成人话：损坏范围跨了多个可用区，超出了我们区域级、多可用区服务的设计承受能力。经过完整评估，这个区域内独家托管的资源和数据，我们恢复不了。

注意最后那句里的关键词——"独家托管（hosted exclusively）"。

AWS 同时说，"大多数客户"通过两种方式活了下来：一是从放在其他区域的远程备份恢复，二是把还能访问的数据复制走，然后切到别的区域继续跑。

你看，问题从来不是"云靠不靠得住"，而是"你有没有把数据的命，拴在一个区域上"。

二、Region、AZ、高可用、容灾，是四个概念

很多人把这几件事混着说，等到出事就全乱套了。我把它们拆开讲。

• Region（区域）：地理上的一大片地方，比如巴林、法兰克福、东京。一个区域里包含多个可用区。
• AZ（可用区）：一个或多个机房，独立供电、独立制冷、独立网络接入，物理上彼此隔开几公里到几十公里。
• 高可用（High Availability, HA）：抗的是单机、单机柜、单机房故障。虚拟机挂了、宿主物理机掉线、某个机房断电——靠多副本、多可用区部署来扛。
• 容灾（Disaster Recovery, DR）：抗的是整个区域级的灾难——战争、地震、大面积停电、光缆全断、洪水、人为误操作把整个账号删空。

这两层不是一回事，也不能互相替代。 AWS 自己在文档里说得很直白：多可用区部署能扛住单个位置的丢失，但挡不住区域级故障；要活过那种场面，必须有一套涉及另一个区域的灾难恢复计划。

打个比方：AZ 就像同一栋楼里的不同楼层，每层都有独立的消防喷淋和电梯；Region 才是整座城市。楼塌了，你别指望再跑上 17 楼找个房间躲一躲。

三、为什么"修不好"：钱不是问题，物理层没了

有读者会问：云上数据不是有好多份副本吗？纠删码、多副本、快照，AWS 有钱有人有工程师，怎么就修不回来？

因为副本和纠删码，绝大多数是在同一个区域内的不同可用区之间做的。这是设计上的最优解——同区域内部延迟低、带宽便宜、复制快。代价就是：区域一旦整体消失，副本一起消失。

而"恢复"这件事，需要三个前提：机房还在、供电制冷还在、能上架新硬件。战争损毁同时打破了这三条。设备烧了、结构坏了、人进不去，你连一块新硬盘都没地方插。

这背后其实是分布式系统里最质朴的一句话——「Everything fails, all the time.」（Werner Vogels，Amazon CTO）。云厂商用工程手段能把故障概率压到很低，但没法把故障概率压到零。物理世界收的税，一分都跑不掉。

四、别把 SLA 当保险单

我见过太多人把 99.99% 当成"我的数据不会丢"。这是个要命的误解。

1. SLA 承诺的是可用性，不是数据完整性。 它说"服务 X% 的时间能访问"，不说"你的数据一份都不会少"。
2. SLA 赔的是服务抵扣金（credit），不是你的数据、你的订单、你的客户。 你丢了三年数据，拿到一张下个月的账单折扣。
3. SLA 里几乎都写着"不可抗力不适用"。 战争、地震、政府行为，是最标准的不可抗力条款。

所以，SLA 是合同，备份是工程。这两样东西没法互相替代。

试问，如果 SLA 能当保险单，为什么 AWS 这次还要专门去提醒客户"从其他区域的远程备份恢复"？因为它自己知道：合同管不了这件事。

五、一个老兵的实话：备份这件事，我们做得比欧美差

讲个真实的故事。

前几年帮一位朋友处理一台被勒索软件加密的 VPS。上去一看，机器上的 backup 目录加密了，挂载的网盘同步目录也加密了——因为他把备份和源数据放在了同一个账号、同一个同步盘里。加密程序当然不会客气，一锅端。他三年的客户资料，就这么没了。

我问他：有没有一份放在别的地方？他愣了一下，说"没想到会这么倒霉"。

这就是问题所在。我们习惯把注意力放在"买哪家、多少核、几 G 内存、多少钱"上，却几乎不花时间和钱在备份这一件事上——因为备份不产生任何可见的产出，直到灾难发生的那一天。

我认识的一些欧美小团队的规矩是这样的：数据必须能在两个不同的区域重建，而且每个月做一次真实的恢复演练。不是看备份文件在不在，是真的把机器拉起来、把应用跑通。

行业里有个公认的原则，叫 3-2-1 备份法则：

• 3 份数据副本（1 份原数据 + 2 份备份）；
• 2 种不同介质或存储服务；
• 1 份放在异地（最好是别的服务商、别的城市，甚至别的国家）。

我再加一条自己的：0 次恢复演练，等于没有备份。

六、落到选购：今天你还能决定的三件事

热点事件看完就忘，等于白看。对买服务器的人来说，这件事其实给了三条很具体的行动建议。

第一，机房选在哪，是要算风险的。

地缘政治风险、自然灾害风险，这些平时不在你的参数表里，但出事时它们的权重是 100%。目前国内用户常选的机房位置：香港、日本、新加坡、美国西海岸、德国/荷兰，都属于相对成熟稳定的选择。中东、边境地区、局势紧张的地带，如果承载的是核心业务数据，要多留一个心眼。

第二，备份放在哪，比备份做不做更关键。

最低要求：不同服务商的账号 / 不同城市 / 不同国家。同机房不同机器，那不叫备份，那叫"一起死"。现在对象存储很便宜，异地备份一个月可能就一顿饭钱。

# 每天一次增量同步，推到另一家服务商的对象存储
rclone sync /var/www/site-backup remote:my-bucket/server-backup \
  --bwlimit 8M --transfers 4 --log-file /var/log/backup.log

配完记得做两件事：把恢复流程写下来（关键时刻人都是懵的），以及每季度真的恢复一次。

第三，别把最重要的数据放在最便宜的机器上。

反过来也一样：别因为机器贵，就假设它不会出事。 便宜 VPS 适合玩具项目、测试环境、临时业务；核心数据无论跑在哪台机器上，都得有异地备份这条命绳。

七、总结

回到那句被撕开的"云"。这次事件给我最大的提醒不是"AWS 不行了"，而是：

• 云不是永动机，可用区不是保险箱，SLA 不是保险单。
• 多可用区解决的是"机房坏了"，跨区域 + 异地备份解决的才是"区域没了"。
• 你花在备份上的钱，永远比数据丢失的代价便宜。

一台服务器、一个区域、一家服务商——这三样东西，任何一样出问题，都不该让你的业务归零。这不是悲观，这是工程。

希望对你有帮助。

（全文完）