2. 灾难恢复基础：RTO与RPO概念、灾难恢复等级、灾难恢复策略选择
好，咱们正式开始聊灾难恢复。说实话，很多团队一开始做容灾，上来就选方案、买设备，结果发现恢复时间根本达不到业务要求。为什么？因为连最基本的两个指标都没搞清楚——RTO 和 RPO。
我个人习惯，做任何容灾方案前，先跟业务方坐下来，把这两个数字敲死。不然你后面所有设计都是空中楼阁。
2.1 RTO 与 RPO：容灾的“生死线”
这两个概念，我建议你刻在脑子里。它们是衡量容灾方案好坏的唯一标尺。
2.1.1 RTO（Recovery Time Objective）—— 恢复时间目标
说白了，就是系统挂了之后，你最多能容忍它挂多久。从灾难发生到业务恢复，这个时间窗口就是 RTO。
举个例子：
- 核心交易系统：RTO 可能只有 5 分钟。挂了 5 分钟，老板就要找你谈话了。
- 内部 OA 系统：RTO 可以是 4 小时。大家忍一忍，下午能恢复就行。
关键点：RTO 决定了你的恢复手段。RTO 越短，技术越复杂，成本越高。
我在项目中遇到过一家金融客户，他们要求 RTO 小于 1 分钟。嗯，这就意味着必须上双活架构，而且得是自动切换。手动操作？根本来不及。
2.1.2 RPO（Recovery Point Objective）—— 恢复点目标
这个指标衡量的是你能容忍丢失多少数据。RPO 指的是，灾难发生时，你最多能接受丢失从哪个时间点开始的数据。
举个例子：
- RPO = 0：意味着不能丢任何数据。每次写入都必须同步复制到灾备端。
- RPO = 1 小时：意味着最多丢 1 小时的数据。你可以每小时做一次备份。
注意：RPO = 0 非常昂贵。它要求强同步复制，对网络延迟极其敏感。我曾经帮一个客户评估过，他们为了 RPO=0，每年多花了 200 万在专线上。
2.1.3 RTO 与 RPO 的关系
这两个指标是相互制约的。你想想看：
- RTO 越短，意味着恢复速度越快，通常需要更高级的容灾架构（比如双活）。
- RPO 越短，意味着数据越完整，通常需要更频繁的同步或复制。
但鱼和熊掌不可兼得。我建议你根据业务重要性，给不同系统设定不同的 RTO/RPO 组合。核心系统用“短 RTO + 短 RPO”，非核心系统用“长 RTO + 长 RPO”。
| 系统类型 | 典型 RTO | 典型 RPO | 推荐方案 |
|---|---|---|---|
| 核心交易 | < 5 分钟 | 0 | 双活 / 同步复制 |
| 重要业务 | < 30 分钟 | < 5 分钟 | 主备 + 异步复制 |
| 一般业务 | < 4 小时 | < 1 小时 | 定时备份 + 恢复 |
| 归档数据 | < 24 小时 | < 24 小时 | 冷备份 / 归档 |
2.2 灾难恢复等级：你的容灾能做到哪一步？
国际标准组织（SHARE 78）把容灾分成了 7 个等级。从 Tier 0 到 Tier 6，等级越高，恢复能力越强，成本也越高。我挑几个常见的跟你聊聊。
Tier 0：无任何备份
说白了就是裸奔。数据丢了就丢了，系统挂了就挂了。嗯，这种情况在正规企业里基本不存在，除非是测试环境。
Tier 1：冷备份（异地磁带/磁盘）
数据定期备份到异地，但系统没有备用环境。恢复时需要先搭建环境，再恢复数据。RTO 通常以天计。我曾经见过一个客户，他们的历史数据就是用这种方式保存的，一年也用不上一次。
Tier 2：热备份站点（温备）
异地有一个备用的数据中心，硬件已经就绪，但数据是异步同步的。灾难发生时，需要手动拉起应用。RTO 通常在几小时到一天之间。
Tier 3：电子链接（异步复制）
数据通过专线实时异步复制到灾备端。RPO 通常在几分钟到几十分钟。这是目前大多数企业采用的方案，性价比比较高。
Tier 4：同步复制（同步复制）
数据写入主站点的同时，必须同步写入灾备站点，才能返回成功。RPO = 0。但代价是性能会受影响，而且对网络要求极高。
Tier 5：双活/多活
两个或多个数据中心同时对外提供服务，任何一个挂了，流量自动切换到另一个。RTO 趋近于 0。这是最高级的容灾等级，但技术复杂度也最高。
我的建议：不要盲目追求高等级。Tier 5 虽然好，但成本是 Tier 3 的 3-5 倍。根据业务价值来选，才是正道。
2.3 灾难恢复策略选择：怎么选才不踩坑？
策略选择，说白了就是“在成本和恢复能力之间找平衡”。我总结了三种主流策略，你可以根据实际情况来选。
策略一：备份与恢复（Backup & Restore）
这是最基础、最便宜的策略。定期把数据备份到对象存储或磁带库。灾难发生时，重新部署环境，然后从备份中恢复数据。
- 优点：成本低，技术简单。
- 缺点：RTO 长（几小时到几天），RPO 也长（取决于备份频率）。
- 适用场景：非核心业务、开发测试环境、归档数据。
策略二：主备模式（Active-Passive）
主站点提供服务，备站点处于待机状态。数据通过异步或同步复制到备站点。主站点挂了，手动或自动切换到备站点。
- 优点：RTO 和 RPO 都比较可控（分钟级到小时级）。
- 缺点：备站点平时不干活，资源利用率低。切换过程可能涉及 IP 漂移、DNS 更新等操作。
- 适用场景：大多数企业级应用，比如 ERP、CRM。
避坑指南：我曾经帮一个客户做切换演练，发现备站点的数据库版本比主站点低了两个小版本，导致数据恢复后无法正常启动。所以，一定要保持主备环境的一致性，包括操作系统、数据库版本、补丁级别。
策略三：双活/多活模式（Active-Active）
多个站点同时提供服务，流量通过负载均衡分发。任何一个站点挂了，流量自动切换到其他站点。数据通过同步复制保持一致性。
- 优点：RTO 趋近于 0，RPO = 0。资源利用率高。
- 缺点：技术复杂度极高，成本昂贵。需要解决数据冲突、会话保持、全局负载均衡等问题。
- 适用场景：核心交易系统、互联网高并发业务。
如何选择？我给你一个决策框架
- 先定 RTO 和 RPO：跟业务方聊清楚，到底能接受多长的恢复时间和多大的数据丢失。
- 再算成本：备份恢复最便宜，主备中等，双活最贵。算清楚每年的预算。
- 最后看技术能力：双活需要很强的运维团队。如果团队只有两三个人，我建议你先从主备做起。
嗯，这里要注意：策略不是一成不变的。随着业务发展，RTO/RPO 要求可能会变。我建议每年 review 一次容灾策略，看看是否需要升级或降级。
一个小技巧：对于大多数企业，我推荐“混合策略”。核心系统用双活，重要系统用主备，非核心系统用备份恢复。这样既能保证关键业务，又能控制成本。
好了，这一章的内容就到这里。RTO 和 RPO 是容灾的基石，等级和策略是具体实现。下一章，我们会聊聊具体的备份技术，比如全量备份、增量备份、差异备份的区别。到时候见。