RTO 与 RPO 的关系
数据保护 SLA 是对业务做出的可度量承诺，时间维度一般由两个指标表达：RTO 是从故障发生到业务恢复可用的最长时间，RPO 是故障时允许丢失的数据时间跨度。二者共同限定方案空间：追求接近零的 RPO 通常意味着同步复制与低延迟链路，追求很短的 RTO 则依赖预置环境与自动化切换流程。SLA 如果没有明确这两个值，就无法判断现有方案是否达标，也无法在成本与风险之间做取舍。
相关概念
| RTO | 从故障发生到业务恢复可用所允许的最长时间 |
|---|---|
| RPO | 故障时允许丢失的数据时间跨度 |
| MTTR | 实际平均恢复耗时，用于对照 RTO 是否可达 |
| 备份窗口 | 备份任务可占用的时间范围，影响 RPO 下限 |
| 验收口径 | 以演练实测与监控数据为依据，设计值不作为验收依据 |
| 定义粒度 | 按业务系统分级定义，核心与非核心可取不同档位 |
典型使用场景
- 容灾项目立项，把业务期望翻译成可验收的 RTO 与 RPO 指标
- 方案选型对比，判断同步复制、异步复制与快照组合各自的边界
- 向业务方说明数据缺口风险，用 RPO 量化可能丢失的时间范围
- 演练复盘时对照实测耗时与承诺值，确定改进方向在设备还是流程
- 年度复评，业务量变化后重新校准指标，避免承诺与实际长期脱节
- 合规与审计场景中提供指标定义与达成证据，说明度量口径
手段与指标对照
| 保护手段 | 典型 RPO | 典型 RTO | 说明 |
|---|---|---|---|
| 本地快照 | 分钟到小时级 | 分钟级 | 应对逻辑错误，单站点整体故障时不可用 |
| 同步复制 | 接近零 | 分钟到小时级 | 受链路时延约束，站点距离与链路质量是关键 |
| 异步复制 | 秒到分钟级 | 小时级 | 需确认积压可追平，否则 RPO 持续劣化 |
| 快照加远程复制 | 分钟级 | 小时级 | 兼顾逻辑错误恢复与站点级故障 |
| 离线副本与离线备份 | 天级 | 天级 | 最后一道防线，用于应对误删与勒索场景 |
指标核对要点
指标核对要点
# 示例承诺：核心交易系统 RTO 4 小时、RPO 15 分钟
# 核对一：异步复制积压能否在 15 分钟内追平，取决于变化量与有效带宽
# 核对二：从发现故障到切换完成的实际耗时，含检测、决策、执行三段
# 核对三：数据库启动是否需要长时间崩溃恢复，不一致的卷会显著拉长 RTO
# 核对四：演练实测值与承诺值的差距，差距指向需要投入的改进方向
# 结论口径：SLA 中的 RTO 与 RPO 应由演练实测数据支撑，设计值不作为验收依据RTO 不只是切换耗时。从监控发现、值班确认、决策授权、执行切换到业务验证，每一段都会消耗时间。不少方案在设计上标称分钟级 RTO，实测却因为决策链路与人工操作占去大半时间而无法达标，因此改进重点经常落在流程与自动化，而不只是更换设备。