異地備援規劃：災難來了，系統怎麼不斷線？
本文整理自李忠曆教授 2025 年 10 月 7 日發表於 Facebook 的觀念好文〈異地備援大揭密：災難來了，系統怎麼不斷線？〉。
為什麼要談異地備援
文章以南韓近期的機房事件為引子，說明異地備援的重要性。作者基於長期管理校院網路、學術網路與參與政府稽核的經驗指出：「異地備援」的涵義其實很廣，不同做法之間的花費與工作量差異巨大，是全民都應該理解的概念。
想像一個情境：政府或企業的主要機房因為地震、火災或大停電而癱瘓，網站無法連線、交易停擺、造成巨額損失。異地備援系統的目的，就是讓服務能在另一個地點迅速接手。但要特別強調——異地備援並不是單純「再蓋一個備用機房」而已。
異地備援的四種常見型態
1. 熱備援（Hot Standby / Active-Standby）
- 平時狀態：備援機房與主系統同步運作，資料即時複寫。
- 故障時：瞬間切換，無需重新啟動服務。
- 適用場景：金融交易平台、電商網站。
- 優缺點：速度最快，但建置與維護成本最高。
- 比喻：平時兩間店同時營業，一家故障時客人立即轉向另一家。
2. 溫備援（Warm Standby）
- 平時狀態：備援系統低度運作，僅同步資料，不對外提供服務。
- 故障時：以手動或自動方式啟用，切換時間從數分鐘到數小時。
- 適用場景：中大型企業內部系統、需要平衡成本與效率的服務。
- 優缺點：建置成本比熱備援低，但切換速度較慢。
- 比喻：在另一個地點備妥器材，故障時才開門營業。
3. 僅備份資料庫（Standby Database Only）
- 平時狀態：只有資料庫備份或非即時同步，沒有完整的備援系統。
- 故障時：需要臨時建置應用程式環境，復原時間可能長達數小時至數天。
- 適用對象：成本敏感、可容忍暫時停機的公司。
- 比喻：把菜單和食材備份在另一個地點，但沒有廚房；出事時才臨時租廚房開伙。
4. 冷備援（Cold Site）
- 平時狀態：只有空間和基礎設施，沒有系統、也沒有資料同步。
- 故障時：從零開始重建，需要數天時間。
- 適用對象：極度成本導向、能忍受長時間停擺的單位。
- 比喻：先預留一塊土地，出事後才開始蓋店面。
雙迴路電源
電力是機房的命脈。如果只有單一供電路徑，一旦故障就會全面停擺。雙迴路電源的做法是讓每台伺服器同時連接兩個獨立的供電來源。
常見做法：
- A/B Feed：伺服器配置兩組電源供應器，分別接到不同的 UPS 或市電來源。
- 搭配發電機：停電時先由 UPS 支撐，再切換到柴油或天然氣發電機。
一句話說明：就是「兩條電線」＋「備用電池」＋「發電機」，避免一次停電就全黑。
雙迴路網路
網路路徑同樣存在單點故障風險，例如光纖被挖斷、電信商骨幹中斷。
實現方式：
- 同時接入不同電信業者或不同的物理路線。
- 使用 BGP 多重連線（Multi-homing），讓流量可以自動切換。
- 較先進的公司會使用 SD-WAN 或專門的負載平衡設備來管理多條路線。
一句話說明：就像有兩條高速公路可以去上班，今天國道一號塞車或封閉，就立刻改走國道三號。
給行政機關及企業的選擇建議
| 情境 | 建議方案 |
|---|---|
| 服務中斷損失巨大（金融、電商、醫療） | 熱備援＋雙迴路電源＋雙迴路網路 |
| 一般企業內部系統 | 溫備援＋UPS＋至少兩條網路路線 |
| 成本導向或可忍受長時間停機 | 僅備份資料庫或冷備援，搭配災難復原演練 |
核心結論
異地備援成功的關鍵，在於依據兩個指標來決定投入多少資源：
- RTO（Recovery Time Objective）：可接受的停機時間。
- RPO（Recovery Point Objective）：可容忍的資料損失量。
文章最後點評南韓事件是「連最簡單的都沒有」，並以作者自嘲「為什麼都沒人找我去做資安長」作結，表達對相關機構缺乏異地備援規劃的無奈。
原始頁面：異地備援規劃-觀念好文（舊站）