灾难宣告与应急指挥是什么
明确「在什么条件下、由谁、向谁宣布进入灾难状态」的机制。宣告一旦发出，切换与应急指挥流程正式启动，同时也终止「再等等看」的侥幸窗口。它把技术判断（指标阈值）和组织动作（谁决策、谁执行、谁对外）连成一条清晰的线。
基本信息
| 判定阈值 | 核心链路不可用超过 N 分钟、影响面超过 X% 用户、或已确认存在数据丢失风险 |
|---|---|
| 宣告人 | 值班经理或指定指挥，唯一入口，其他人只能建议 |
| 升级路径 | 值班 → 二级专家 → 厂商支持，每一级约定响应时限 |
| 对内通知 | 应急频道加语音会议，信息统一出口 |
| 对外口径 | 客服与公关使用同一份事实描述，由指挥确认后发布 |
| 记录要求 | 宣告时间点写入事故时间线，作为复盘依据 |
典型使用场景
- 主站不可用且评估 30 分钟内无法恢复，启动站点切换
- 数据损坏影响面扩大到多条业务线，升级为灾难级事故
- 演练中模拟宣告流程，校准阈值与授权是否清晰
- 多团队协同处置：用统一指挥避免互相覆盖操作
- 事后复盘：按宣告时间点评估判定是快了还是慢了
宣告机制要点
宣告机制要点
# 写进预案，不要写成口号
判定阈值：核心链路不可用超过 15 分钟，或影响面超过 30% 用户
宣告人：值班经理，唯一入口，其他人只能建议不能宣布
升级路径：值班 → 二级专家 → 厂商支持，每条线约定响应时限
对内通知：应急频道 + 语音会议，统一信息出口
对外口径：客服与公关使用同一份事实描述，由指挥确认后发布
记录：宣告时间点写入事故时间线，复盘中评估判定快慢角色职责读法
| 角色 | 职责 | 不该做什么 |
|---|---|---|
| 事故指挥官 | 决策、协调、确认对外口径 | 不亲自敲命令 |
| 操作人 | 按步骤卡执行并回报结果 | 不自行改变步骤顺序 |
| 记录员 | 记录时间线、决策与执行结果 | 不参与方案争论 |
| 沟通接口 | 对内通知与对外信息发布 | 不发布未经指挥确认的信息 |
| 技术专家 | 提供判断依据与备选方案 | 不越过指挥直接下指令 |
阈值设得太高会延误切换时机，设得太低会造成频繁「狼来了」消耗团队信任。用演练结果反复校准，比拍一个数字更靠谱。
宣告要有明确的解除条件：什么时候退出灾难状态、谁宣布退出、退出前要完成哪些验证，都要和宣告条件一并写进预案。