是什么
RTO（恢复时间目标）指从故障发生到业务恢复可用所能接受的时长，RPO（恢复点目标）指允许丢失的数据量折算成的时间。两者是业务承诺而非技术指标：先由业务方确认能接受多长停机、能接受丢多少数据，再倒推复制方式、切换自动化程度与演练频率。写反或混用这两个词，方案评审时指标口径就对不上。
基本信息
| RTO | 恢复时间目标，衡量停机时长上限 |
|---|---|
| RPO | 恢复点目标，衡量可容忍的数据丢失时长 |
| 单位 | 都用时间表示：分钟或小时，写成区间比写单点更贴近实际 |
| 影响 | RPO 越接近零，生产成本与写入延迟越高 |
| 验证 | 只有演练实测值才能证明目标可达，纸面推导不算 |
典型使用场景
- 容灾或迁移立项时给业务分级，核心、一般、边缘系统分别定 RTO 与 RPO
- 由 RPO 决定数据链路：同步或半同步复制、异步复制、日志持续同步
- 由 RTO 决定切换形态：自动故障转移，或脚本化切换加人工确认
- 演练结束后用实测恢复时间与丢失数据量回头修正目标或追加投入
- 对外承诺可用性时说明目标与实测的差距口径，避免验收争议
由目标推导手段
由目标推导手段
RPO 接近零 → 同步或半同步复制，接受写延迟上升
RPO 秒级到分钟级 → 异步复制 + 持续增量追平 + 延迟监控
RTO 小时级 → 标准化切换手册 + 人工确认 + 验证清单
RTO 分钟级 → 自动故障转移 + 健康检查 + 预留容量
# 两类目标都要与预算一起评审：越接近零，单位成本越高目标档位与选型对照
| 目标档位 | 常见手段 | 代价 |
|---|---|---|
| RTO 数小时 | 冷备：备份恢复或按镜像重新部署 | 投入最低，恢复期内业务不可用 |
| RTO 分钟级 | 热备加自动切换，靠负载均衡或域名摘挂 | 需要双份容量与可靠健康检查 |
| RPO 为零 | 同步或半同步复制、共享存储 | 写延迟上升，对链路质量要求高 |
| RPO 分钟级 | 异步复制加增量或日志追平 | 故障时可能丢失最后一段数据 |
实测 RTO 由四段构成：发现故障、决策、执行切换、验证业务，自动化只能压缩执行段。演练记录把四段分开计时，才能看出瓶颈在哪。
把 RPO 定为零就意味着要解决脑裂与一致性冲突，跨地域距离越远写延迟越明显；只写目标不做验证，故障时一定对不上账。