隔离装置要不要做双机冗余：从业务连续性要求倒推，而不是从预算倒推

隔离装置串接在数据交换链路上，设备本身或者链路一旦中断，跨区的数据交换就停了。所以"要不要做冗余"是方案阶段必须回答的问题。但这个问题常常被当成预算问题来讨论，判断依据其实应该来自业务侧。

判断起点：这条链路断了会怎样

把经过这台隔离装置的业务逐条列出来，对每一条问同一个问题：这条数据流中断若干小时，会造成什么后果。

按后果大致可以分三类。第一类，中断会直接影响运行监视或者调度决策，这类业务对连续性要求高。第二类，中断会导致数据积压，恢复后可以补传，影响是延迟而不是丢失。第三类，中断只影响非实时的统计分析类工作。

如果一台装置上承载了第一类业务，冗余就不是可选项。如果只有第二、三类，可以结合恢复时间要求来判断。

不要只看设备，要看整条链路

一个常见的疏漏是只给设备做了冗余，但两台设备接在同一台交换机上，或者共用同一路供电。这种情况下设备冗余的实际效果有限，因为故障点转移到了别处。

判断时建议把整条链路画出来：两侧的接入设备、中间的隔离装置、供电方式、以及机柜位置。找出其中的单点，再决定在哪一层做冗余更有效。

冗余带来的附加工作

冗余不是加一台设备那么简单，它会带来几项额外工作。

一是切换行为要明确。什么条件下切换、切换需要多长时间、切换过程中在途的数据怎么处理，这些要在方案阶段说清楚，而不是留到运行中去发现。

二是两台设备的配置一致性。配置不同步是冗余方案里比较常见的隐患，需要有明确的维护约定。

三是日常验证。备用路径如果长期不用，出问题的时候能不能顶上是未知的。运行单位需要有定期验证的安排。

这三项都属于运行期的工作，建议在方案阶段就与运行单位确认由谁负责，避免交付后无人跟进。

需要结合本地要求确认的部分

各单位对业务连续性的要求、可接受的恢复时间和运行管理安排不同。本文提供的是判断方法，具体是否冗余、如何冗余，应由运行单位依据业务重要程度和本地规程确认。