高可用架构需匹配业务容忍度，而非盲目追求五个九；应按业务影响反推目标，优先降低mttr而非提升mtbf，分层分级设防，并善用云原生托管服务降本增效。
高可用架构不是越高越好，而是要匹配业务真实容忍度。盲目追求五个九（99.999%），年停机时间压到5.26分钟以内，往往意味着冗余翻倍、监控粒度细化、故障演练常态化、人力投入陡增——但多数业务根本用不上这种级别。
按业务影响反推可用性目标
先问清楚：系统宕机多久，业务会真正受损？
- 内部管理后台，停4小时可能只影响行政效率 → 99.9%（8.76小时/年）足够
- 面向C端的电商主站，每分钟损失数万元GMV → 至少99.99%（52.6分钟/年），核心链路如下单、支付需更高
- 银行转账或医疗监护系统，秒级中断都不可接受 → 才值得投入五个九，且必须配合异地多活和强一致同步
合同SLA、用户协议、监管要求都是硬约束，不是技术团队自己拍脑袋定的。
把钱花在缩短恢复时间（MTTR）上，比死磕不坏（MTBF）更划算
公式很清晰：可用性 = MTBF / (MTBF + MTTR)。现实中，把MTTR从30分钟压到2分钟，带来的可用性提升，远高于把MTBF从1年拉长到3年。而且前者见效快、可验证、ROI明确。
- 自动化故障检测（健康检查+指标告警）→ 缩短发现时间
- 预置切换脚本+定期演练 → 缩短决策与执行时间
- 无状态设计+配置中心化 → 缩短重建与恢复时间
相比堆硬件、加副本、建灾备中心这些“重投入”，优化MTTR是典型的“轻投入、高回报”路径。
分层分级，不同模块按需设防
整个系统不需要统一按最高标准建设。比如：
- 订单服务：主从+跨AZ部署+自动切流 → 四个九起步
- 商品搜索：允许短暂降级（返回缓存结果或兜底页）→ 三个九即可
- 用户行为日志上报：异步+批量+可丢弃 → 两个九也够用
通过舱壁模式隔离资源、熔断策略控制依赖、优雅降级预案兜底，让非核心模块的故障不传导、不放大，就能用较低成本守住整体可用性底线。
用云原生能力替代自建冗余
很多团队还在自建Keepalived+MySQL主从，其实云厂商的RDS高可用版、托管Kafka、Serverless函数等，已经把跨AZ容灾、自动扩缩、秒级故障转移封装好了。虽然单实例价格略高，但省掉运维人力、避免配置失误、减少灾备环境闲置成本，综合算下来反而更经济。
- 用云负载均衡（如阿里云SLB）替代自建Nginx集群 → 省掉维护成本和单点风险
- 用对象存储OSS替代自建NAS备份 → 避免存储节点成为SPOF
- 用托管消息队列替代自建RocketMQ集群 → 减少运维复杂度和一致性难题
关键不是“是否上云”，而是“是否用对了云的能力”。该托管的托管，该自研的自研，边界划清楚，成本和可靠性才能兼顾。
