容灾分级是什么
容灾方案按两个指标分级：RTO 是故障后恢复到可用的最长时间，RPO 是允许丢失的数据时间跨度。级别越高，投入越大：备份恢复最便宜但恢复最慢，双活近乎无中断但成本最高。分级的实务意义是「用钱买时间」——先由业务重要性定 RTO/RPO，再倒推该投多少预算，而不是先买设备再想指标。
基本信息
| RTO | 恢复时间目标：从故障发生到业务恢复可接受的最长时长 |
|---|---|
| RPO | 恢复点目标：允许丢失的数据时间跨度 |
| 五级划分 | 备份恢复、冷备、温备、热备、双活 |
| 关键前提 | 数据能恢复（备份有效）+ 流量能切换（脚本跑通） |
| 成本规律 | RTO/RPO 每收紧一个数量级，投入明显上一个台阶 |
容灾分级对照
| 级别 | RTO | RPO | 典型做法 |
|---|---|---|---|
| 备份恢复 | 小时到天级 | 小时级 | 定期快照与备份，故障后重建 |
| 冷备 | 小时级 | 小时级 | 备机不启动，靠镜像加数据快速拉起 |
| 温备 | 分钟到小时级 | 分钟级 | 备机半就绪，数据持续同步 |
| 热备 | 秒到分钟级 | 秒级 | 备机常驻待命，切换脚本化 |
| 双活 | 近零 | 近零 | 两侧同时承载流量，数据双向同步 |
典型使用场景
- 核心交易库：用同城热备加异地方案，先保 RPO 再压 RTO
- 一般业务库：跨可用区主备加每日备份，兼顾成本与恢复速度
- 对象存储与日志：直接依赖多副本与跨地域复制，不额外自建
- 发布窗口：把回滚也算作容灾能力，验证旧版本镜像与数据可回退
- 合规要求：金融、医疗等行业按监管文件确定留存期限与异地保存要求
容灾演练检查单
容灾演练检查单
□ 最近一次恢复演练日期与结果 # 无记录的方案视为未验证
□ 备份文件完整性校验 # 只算备份不算校验，等于没备
□ 切换脚本在演练环境跑通 # 真故障时第一次执行多半会失败
□ 回切流程明确（切过去还要切回来） # 缺回切是常见硬伤
□ 演练发现的问题有整改跟踪与复测日期只备份不校验、只切不回切是两个最贵的事故放大器：备份损坏在恢复当天才会暴露，没有回切方案则故障转移后长期无法回到正常架构。
容灾的有效性只能靠演练证明。从不演练的方案，故障时第一次执行即失败是常态；建议把演练排进固定日程，每季度至少一次。