2026 年 5 月 6 日至 7 日，AWS 位于美国东部（弗吉尼亚北部）区域的单个数据中心遭遇过热故障，导致 EC2 实例和 EBS 卷服务中断，Coinbase、CME Group、FanDuel 等客户业务受影响。这是继 2025 年 11 月 CME Group 因 CyrusOne 冷却系统故障导致交易中断后，短期内再次出现的重大冷却相关停机事件。事件虽已在数小时内恢复，但它暴露了超大规模云服务商在极端负载条件下冷却系统失效的风险，为行业提供了冷却冗余设计与热监控的实践反思。
N+1 冷却冗余的设计边界
现代数据中心普遍采用 N+1 冷却冗余架构，即在满足满载负荷所需的最小冷却单元数量 N 基础上，额外配置至少一个备用冷却设备。以 AWS 的体量，其数据中心通常部署大量 CRAC（机房空调）单元和冷水机组，单个单元故障时，其他设备可承接全部热负载，避免服务中断。然而，N+1 设计的隐性边界在于：它假设故障是孤立且渐进的，而非多点同时失效或热负载急剧飙升。当单个机柜功率密度突破传统设计的阈值 —— 例如当前 AI 训练集群常见的高密度机架功率可达 20 至 30 千瓦 ——N+1 配置的余量可能不足以应对突发热冲击。
从行业实践看，Uptime Institute 的 Tier III 标准要求冷却系统具备可维护性冗余，但并未强制要求应对极端并发故障。AWS 此次事件中，过热导致温度快速攀升，冷却系统 capacity 达到极限后无法及时恢复，说明单纯依赖 N+1 配置在极端场景下存在薄弱环节。工程上更稳健的做法是引入 2N 完全冗余或扩大 N+1 的系数，同时确保冷却系统具备快速横向扩展能力，例如移动式制冷单元的预置部署。
热点监控的传感器部署与阈值策略
过热事件的核心预警依赖于精准的热点监控体系。根据 ASHRAE（美国采暖制冷空调工程师学会）的指导方针，服务器进风温度推荐保持在 18 至 27 摄氏度之间，出风温度通常不超过 32 摄氏度。超出会阈值会导致服务器自动降频甚至自动关机以保护硬件。有效的热点监控需要在三个层面部署传感器：机架进风口、出风口以及热通道顶部。进风口传感器直接反映冷却单元的送风效果，出风口传感器则捕获服务器的实际排热状态，两者温差（ΔT）是判断冷却效率的关键指标。
除有线传感器外，红外热成像相机用于周期性巡检，可快速识别传统探针难以覆盖的局部热点，例如机柜底部未被空调冷风充分渗透的区域。DCIM（数据中心基础设施管理）软件将温度数据聚合后，可设置多级告警：当任意机架进风温度超过 26 摄氏度时触发黄色预警，超过 30 摄氏度时触发红色告警并联动自动调度 —— 例如将虚拟机迁出受影响可用区。AWS 此次事件中，热失控的快速蔓延表明监控系统可能在温度梯度异常上升时未能及时触发自动容灾流程，这为自动化响应的阈值调优提供了改进方向。
多可用区容灾策略与流量调度
单可用区内的冷却故障本质上是对多可用区架构的实操检验。AWS 的_region 可用区设计允许客户跨多个物理隔离的 AZ 部署工作负载，理论上单一 AZ 故障不影响其他 AZ 的服务连续性。然而，许多客户为降低成本将主负载集中于单个可用区，仅将备份放在其他 AZ，导致单一 AZ 失效时业务仍受冲击。本次事件中，AWS 通过将流量从故障 AZ（use1-az4）主动迁出来减轻影响，这一操作依赖 AWS 的跨 AZ 负载均衡和健康检查机制。
从工程落地角度，容灾策略应包含三个层级：第一层是架构层面的跨 AZ 多活部署，确保任何 AZ 可独立承载全部业务流量；第二层是数据层的同步复制，无论是块存储的快照跨区复制还是数据库的多活架构，均需验证复制链路在真实故障下的 RPO（恢复点目标）和 RTO（恢复时间目标）；第三层是运营层的流量调度能力，包括 DNS 切换、负载均衡器配置变更以及自动化灾备演练。本次事件中 Coinbase 遭受超过五小时的服务中断，说明其灾备架构可能未充分考虑跨 AZ 的完整切换流程。
实践参数与监控清单
综合本次事件与行业最佳实践，数据中心运营方可参考以下参数进行自检：冷却系统 N+1 配置应覆盖峰值负载的 110% 至 120%，高密度机架场景建议提升至 N+2；温度传感器部署密度不低于每机柜 4 个点位（进风、出风、顶部、环境），采样频率不低于每分钟一次；热点告警阈值建议设置为进风温度超过 24 摄氏度触发预警、28 摄氏度触发红色告警并自动触发工作负载迁移；跨 AZ 流量切换的 RTO 目标应不超过 15 分钟，RPO 目标应不超过 1 分钟；每季度至少执行一次模拟单 AZ 完全失效的灾备演练，验证自动化切换脚本的有效性。
过热停机的根本风险在于热失控的传导速度极快 —— 从温度异常到服务器保护性关机可能仅有数分钟窗口。这要求监控系统的响应延迟必须控制在秒级，同时自动化容灾流程必须预先经过充分测试。AWS 此次事件的恢复时间超出预期，提示即便对于具备成熟基础设施的云服务商，冷却系统的极端失效场景仍需更加保守的冗余设计和更快的自动化响应机制。对依赖单一云区域的关键业务而言，多可用区部署与定期灾备演练是不可省略的底线要求。
内容声明：本文无广告投放、无付费植入。
如有事实性问题，欢迎发送勘误至 i@hotdrydog.com。