3-2-1-1-0 是什么
3-2-1-1-0 在 3-2-1 基础上补上两个常被忽略的环节：多出的『1』指 1 份离线或不可变副本，末尾的『0』指零错误——即备份经过验证确实可恢复。它由 Veeam 等厂商文档与行业实践推广，针对的是勒索软件加密在线备份、以及备份静默失效这两类让备份形同虚设的场景。
五个要素
| 要素 | 要求 | 解决什么问题 |
|---|---|---|
| 3 份副本 | 原始数据加 2 份备份 | 单副本损坏 |
| 2 种介质 | 不同存储类型 | 同类介质批量故障 |
| 1 份异地 | 离开生产站点 | 站点级灾难 |
| 1 份离线或不可变 | air-gap 或 WORM 锁定 | 勒索软件加密在线备份 |
| 0 错误 | 定期验证可恢复 | 备份静默失效 |
离线与不可变的差别
离线的重点是『不可达』：磁带离柜、磁盘拔下、单向传输网关都属于这一类，攻击者即使拿到账号也碰不到介质。不可变的重点是『拒绝修改』：对象存储在保留期内不接受覆盖与删除请求。两者都能阻断在线攻击，但离线副本还需要轮换与读取校验，不可变副本则依赖服务端策略配置正确无误。
基本信息
| 与 3-2-1 的关系 | 在介质与位置要求之外追加离线与验证 |
|---|---|
| 落地难点 | 离线副本轮换与验证需要固定人力安排 |
| 常见实现 | 对象锁、WORM 磁带、离线硬盘轮换 |
| 验证频率 | 核心系统按季度试恢复，一般系统至少半年一次 |
验证手段与覆盖范围
| 验证手段 | 发现的问题 | 覆盖范围 |
|---|---|---|
| 校验和比对 | 介质损坏、传输被截断 | 单个副本 |
| 归档列表抽查 | 结构异常、缺少关键文件 | 单份归档 |
| 试恢复 | 恢复流程、脚本与依赖缺失 | 完整链路 |
| 业务抽检 | 数据正确性与一致性 | 恢复后的可用性 |
典型使用场景
- 勒索软件防护：在线副本可能被加密，离线或不可变副本是最后一道可恢复的退路
- 合规审计：监管与审计方要求证明备份不仅存在，而且验证过可以恢复
- 长期归档：把历史副本锁定在对象存储归档层，防止误删与内部篡改
- 关键系统加固：核心数据库在 3-2-1 之外追加离线段与验证记录
- 演练制度化：把试恢复纳入例行工作，用固定节奏替代『想起来才测』
锁定与轮换示例
锁定与轮换示例
aws s3api put-object-lock-configuration --bucket my-backup \
--object-lock-configuration 'ObjectLockEnabled=Enabled,Rule={DefaultRetention={Mode=COMPLIANCE,Days=30}}'
# 离线介质：磁带离柜或硬盘轮换，登记介质编号与内容清单
# 每次上线抽检：读取一份历史副本并核对校验和
sha256sum -c /mnt/offline/full-2026-09-30.tar.gz.sha256落地检查清单
- 每类数据是否都有一份离开生产网络的副本，且轮换节奏写进了值班表
- 不可变策略是否覆盖全部写入路径，包括临时上传与生命周期转换产生的新对象
- 验证记录是否留档，包含验证时间、执行人、恢复点与结果
- 恢复演练是否覆盖完整链路，而不只是抽取单个文件确认可读
- 离线介质是否有保管台账，记录位置、编号、内容与最近一次校验时间
『0 错误』应理解为把试恢复与校验纳入例行流程，而不是宣称零故障；它的实际含义是：每次验证都有记录，可恢复性可以被证明。
启用 COMPLIANCE 模式前要评估成本影响：保留期内任何账号都无法删除对象，误传的大文件会长期占用容量并持续计费。