Home Assistant 配置备份与灾难恢复实战：全量快照、加密外备与一键回滚

摘要

Home Assistant 跑久了，配置文件、自动化、集成和实体历史的体量会越来越大。一次误删、一次版本升级翻车、一块 SD 卡损坏，就可能让全屋智能瞬间归零。本文给出一套覆盖"本地快照—加密外备—一键回滚"的完整备份与灾难恢复方案。

为什么 HA 特别需要备份

与单应用不同，HA 是一个持续演化的系统：YAML 配置、.storage 里的 UI 配置、自定义集成、HACS 组件、数据库（记录电表/温湿度历史）、证书与密钥……这些文件分散在多个目录，且彼此强耦合。只备份某一个文件夹，恢复后大概率跑不起来。

更棘手的是 HA 的升级频率极高，每月都有大版本。社区里"升级后循环重启"的案例比比皆是。因此备份不是可选项，而是 HA 运维的底线。

第一步：厘清要备份哪些目录

标准部署的关键路径：

• /config：核心配置、automations.yaml、scripts.yaml、scenes.yaml、secrets.yaml。
• /config/.storage：UI 编辑产生的状态（lovelace 仪表盘、helper、zone）。
• /config/custom_components：手动安装的集成。
• /config/www：自定义的卡片、图片。
• /config/home-assistant_v2.db：历史数据库（体积大，可单独策略）。
• /ssl 或 /config/letsencrypt：证书。
• secrets.yaml：含 TOTP、API Token，必须加密外备。

第二步：用官方快照做本地全量备份

HAOS 自带"备份"功能（Supervisor → 备份），可一键打包全部配置、附加组件、容器。建议：

1. 在"设置 → 系统 → 备份"新建自动备份，选"完整备份"，每天凌晨执行。
2. 保留最近 7 份，避免磁盘被撑爆。
3. 备份文件默认存于 /backup/*.tar，可用 Samba 共享或 SCP 取回。

对于 Docker 部署（无 Supervisor），则用脚本打包 /config 与数据库：

docker compose stop
tar -czf ha-config-$(date +%F).tar.gz -C /config .
docker compose start

暂停写入后再打包，保证一致性。

第三步：加密外备，防止云盘泄露

本地快照防不住"整台机器没了"。应再异地加密一份。推荐用 restic 对备份目录加密推送到 OneDrive / S3 / NAS：

restic -r rest:https://dav.example.com/ha-backup   --password-file /root/.restic_key init
restic backup /config --tag ha-daily

restic 默认 AES-256 加密，即使对象存储被泄露，没有密码也无法解密。也可用 gpg -c 先加密 tar 再上传，但 restic 的去重与增量更省空间。

第四步：演练一键回滚

备份的价值只在能恢复。建议每月做一次恢复演练：

1. HAOS：备份页选一份快照点"恢复"，可选仅恢复配置或全量。
2. Docker：停止容器，解包 tar 覆盖 /config，启动并观察日志。
3. 关键校验：检查 configuration.yaml 是否完整、集成是否全部加载、自动化是否触发。

演练能暴露"备份了却恢复不了"的隐患，比真正出事时手忙脚乱强百倍。

第五步：升级前的"黄金快照"

每次大版本升级前，先手动打一份带标签的快照（如 pre-2026.11）。若升级后循环重启，可在 HAOS 恢复模式（安全模式）下一键回退。切忌"边升边改配置"——定位问题时你会分不清是升级锅还是自己改的锅。

第六步：证书与密钥的特殊处理

secrets.yaml、TOTP 二维码、API Token 属于高敏感数据。加密外备之外，还应单独存一份离线副本（如加密 U 盘），因为一旦密钥丢失，所有依赖它的集成都要重新授权，成本极高。

小结

HA 的灾难恢复可以很简单：本地快照兜日常、加密外备兜设备损毁、升级前快照兜人为事故。三道防线叠加，即使 SD 卡当场暴毙，也能在一小时内让全屋智能满血复活。备份不怕多，只怕没有；今天花十分钟配置自动备份，未来能省下三天排障。