因伊朗无人机袭击导致云端受损，“仅靠数据复制”为何还不够

人们一直相信，将数据存储在云端可以使其脱离物理空间从而更加安全，但这一信念正在动摇。2026年3月1日凌晨，由于伊朗的自杀式无人机袭击导致中东地区的 AWS 数据中心受损，出现了即便在多处进行了数据复制，最终仍无法恢复部分数据的案例。

当时情况非常紧急。位于 UAE 的两处 AWS 数据中心遭到无人机袭击并引发火灾，消防部门为了扑灭火灾，不得不切断了建筑物的电力并关闭了应急发电机。在此过程中，灭火设施启动，导致部分设备遭受了被水浸泡的损失。问题在于，这些设备中存储着客户的数据。虽然云端感觉像是数据漂浮在空中，但实际上数据是记录在数据中心内部的硬盘或 SSD 等物理存储设备上的，因此一旦设备损坏，没有备份的数据也会随之消失。

根据 Unrealscience 的视频，此次事件的核心在于云端设计的根基——“独立性假设”因战争这一变量而崩溃。通常的云端设计会将单个可用区域（AZ）发生故障的概率设定得极低，并假设各 AZ 相互独立运行。例如，如果三个 AZ 各自发生故障的概率为 0.1%，那么三处同时停止运行的概率理论上仅为 10 亿分之一。然而，这种计算仅在各 AZ 的故障互不影响时才成立。

但是，像战争这样的灾难会引发“Common Cause Failure”。视频中解释道：“如果同一支军队连续攻击某一地区的设施，那么当一个 AZ 受损时，其他 AZ 也面临被攻击的可能性也会随之升高。”事实上，由于无人机袭击引发的火灾、为了灭火而进行的断电，以及灭火设施运作导致的浸水损失交织在一起，导致位于 UAE 的 AWS 数据中心无法恢复存储在部分 AZ 中的数据。AWS 发布声明称，特别是在被称为“MEC One, AZ Two”的特定可用区域中存储的部分资源和数据，最终无法挽回。巴林区域也因多个 AZ 接连受损，最终导致整个区域无法使用。

人们不禁产生疑问：如果将数据复制到其他区域（Region），是否就能避免损失？AWS 的服务方式因数据类型而异。用于保存照片或文档等文件的“Amazon S3 Standard”会将文件制作成多个副本，并分散存储在彼此分离的至少三个 AZ 中。相比之下，以连接服务器使用的硬盘或 SSD 形式存在的“EBS”，基本上只在同一个 AZ 内保存副本。因此，为了应对整个 AZ 停止运行的情况，必须单独创建跨越区域内不同 AZ 的“快照（Snapshot）”。

虽然将数据复制到距离更远的区域是可行的，但视频指出了两个现实的限制。第一是成本和管理问题。AWS 并不会自动将数据复制到其他区域，客户必须亲自设置备份方式并承担相应的额外费用。第二是各国的数据监管。在 UAE 或巴林等国家，法律严格限制医疗、金融、政府数据等敏感信息的跨境传输。例如，UAE 强烈限制医疗数据的跨境传输，金融或政府数据也适用各领域的规定。这些监管因素使得企业难以在发生故障时立即将服务切换到海外区域。当时，海湾地区的 AWS 区域仅有巴林和 UAE，而沙特阿拉伯区域预计于 2026 年 12 月才开设，选择范围非常有限。

此次事件充分暴露了数据中心的物理脆弱性。数据中心是固定在特定位置的巨大建筑，难以隐藏位置，且是无人机或导弹等廉价武器足以打击的非对称攻击目标。伊朗边境媒体报道称，伊斯兰革命卫队判断 AWS 设施支持敌方的军事情报活动，从而发动了攻击。此外，由于服务器运行需要巨大的电力和散热管理，一旦电力供应或冷却系统瘫痪，由于结构性限制，服务器必须自动降低功率或关机。即使备有应对停电的不间断电源（UPS）和应急发电机，一旦冷却功能丧失，服务器为了防止过热和设备损坏也必须停止运行。

为了应对这一问题，国家层面的战略也在讨论中。UAE 正在考虑修改原有的集中式数据中心建设计划，改为将设施分散到多个地区。在原计划于阿布扎比建设 5GW 规模的 AI 数据中心园区的基础上，通过分散设施，确保即使一处受到攻击，整体也不会停止运行。除了利用山地地形、引入拦截设备或抗爆炸混凝土等物理防御手段外，像爱沙尼亚那样通过“数据大使馆”将国家核心数据备份到海外（如卢森堡等）的方式也被提为替代方案。爱沙尼亚通过 2017 年的协议，将人口登记簿和土地登记簿等核心数据保存在卢森堡，这些数据享有等同于实际大使馆的豁免权和保护。

乌克兰过去的案例展示了数据保护的重要性。在 2022 年俄罗斯入侵之前，乌克兰通过了云服务法，为公共机构使用云端奠定了基础。入侵当天，乌克兰利用能够移动海量数据的“Snowball”设备，成功在当年 6 月前将 42 个政府机构和 24 所大学等必需的 10 PB 以上数据迁移到了 AWS 云端。最终，云端时代的数据安全已不再仅仅是增加副本数量的问题，而是扩展到了“在哪里、如何进行物理隔离存储”的问题。