灾难恢复预案是什么
预案（Runbook）把『谁在什么条件下、按什么步骤、把系统切到什么状态』写成可执行文件。它要回答四件事：故障怎么判定、谁来宣布灾难、每一步具体做什么、什么条件下回切。判断预案是否合格只有一个标准：一个没参与过系统建设的人，能否照它完成切换。
基本信息
| 包含要素 | 适用范围、触发条件、角色与授权、切换步骤、验证清单、回切条件、通讯模板 |
|---|---|
| 存放方式 | 纸质 + 离线电子副本：灾难现场可能既无内网也无外网 |
| 维护节奏 | 系统架构变更后同步更新，每次演练后按问题清单修订 |
| 配套材料 | 拓扑图、资产与账号清单（脱敏）、联络树、备份位置与校验值 |
典型使用场景
- 主库或核心链路长时间不可用，需要宣告灾难并切换到备用站点
- 机房断电、网络中断等区域性故障，需按预案启动异地接管
- 数据误删或勒索事件，需要按恢复流程定位副本并执行还原
- 计划内切换：版本发布、机房搬迁时按预案走一遍可控流程
- 值班交接：值班人员依靠预案快速接手，不依赖某个人在群里口述步骤
预案结构模板
预案结构模板
1. 适用范围：系统清单、RTO/RPO 目标、影响业务口径
2. 触发条件：故障判定标准（如核心链路连续 N 分钟不可用）
3. 角色与授权：灾难宣告人、指挥、操作人、联络人及代理顺序
4. 切换步骤：命令级操作 + 每步预期结果与超时处理
5. 验证清单：切换后必须通过的业务冒烟项
6. 回切条件与步骤：什么情况回切、如何对齐两端数据
7. 通讯模板：对内通知、对外公告、监管报送口径触发条件示例
| 场景 | 判定依据 | 动作 |
|---|---|---|
| 核心链路不可用 | 拨测连续 5 分钟失败且无自愈迹象 | 值班上报指挥，准备切换 |
| 数据损坏 | 校验发现副本不可用或数据被加密 | 隔离故障侧，评估可用副本与丢失窗口 |
| 区域性故障 | 机房断电或网络中断，多系统同时告警 | 直接进入异地接管流程 |
| 单点组件故障 | 单节点宕机但集群仍可服务 | 走常规故障处理，不触发灾难宣告 |
授权不明确是切换现场最常见的阻塞：预案里要写清谁有权宣布灾难、谁有权执行切换，以及联系不上时的代理顺序，避免故障期间在群里等确认。
预案要按可执行程度分级：命令级步骤写具体命令与预期输出，业务级步骤写判定标准与责任人；纯描述性的『检查系统是否正常』无法执行。