云的脆弱性：分析 IBM Cloud 断电事件
云的承诺始终围绕着高可用性和韧性的概念。通过将工作负载分布在庞大的服务器网络中，企业被告知其服务可以抵御单个组件的故障。然而，最近发生的 IBM Cloud 事件是一个严峻的提醒：物理层——数据中心的实际电力和冷却——仍然是可能导致服务完全“蒸发”的单点故障。
事件：当电力失效时
在最近的一次停机中，一个 IBM Cloud 数据中心经历了严重的电力损失，导致受影响客户的服务立即无法使用。虽然人们经常在“虚拟机”和“容器”等抽象术语中讨论云，但这次事件凸显了具体的现实：云其实就是别人的计算机，而那台计算机需要持续、稳定的电流才能运行。
当主电源失效时，数据中心通常依靠不间断电源 (UPS) 和备用柴油发电机来维持连续性。服务的“蒸发”表明，不仅是主电网出现了故障，而且旨在防止这种情况发生的冗余系统也发生了崩溃。
冗余的幻象
对于许多组织而言，转向云端的动力在于希望避免管理自己的硬件和电力冗余。然而，这次事件强调了一个关键的架构教训：单个数据中心（甚至单个区域）内的冗余并不等同于真正的容错能力。
单点故障
尽管使用了复杂的软件层来管理云资源，但物理基础设施往往包含隐藏的依赖关系。如果电力故障影响了整个设施，那么如果底层硬件处于断电状态，无论多少软件定义网络或自动故障转移都无法恢复服务。
影响范围
虽然技术故障很严重，但感知到的影响往往各不相同。一些观察者指出，在 IBM 的全球布局背景下，受影响的客户数量可能相对较少。正如一位社区成员所言：
几十个客户受到影响！几十个！
无论影响是限于几十个还是几千个，根本性的脆弱性依然存在。对于那些确实失去服务的客户来说，供应商的总用户基数是无关紧要的；关键业务运营的丢失是可用性承诺的绝对失败。
对云架构师的教训
为了减轻此类停机暴露出的风险，技术领导者应考虑以下策略：
- 多区域部署：将工作负载分布在地理位置不同的区域，以确保一个数据中心的电力故障不会导致服务完全中断。
- 多云策略：实施多云策略可以防止特定供应商的系统性故障。
- 严格的灾难恢复测试：定期模拟整个站点的故障，以验证团队的故障转移机制在压力下是否确实有效。
结论
IBM Cloud 的断电事件是关于数字基础设施物理依赖性的一次警示。随着我们不断向更抽象和无服务器架构迈进，必须记住，每一比特数据的基石都是物理建筑中的物理机器，并连接在物理电网之上。