1. 灾备基础概念：RPO与RTO定义、灾备等级标准、业务连续性目标
1.1 核心指标：RPO 与 RTO
灾备体系的设计与评估，始终围绕两个核心指标展开：恢复点目标（RPO） 与 恢复时间目标（RTO）。这两个指标直接决定了灾备方案的技术选型、成本投入与运维复杂度。
| 指标 | 全称 | 定义 | 典型度量 | 对业务的影响 |
|---|---|---|---|---|
| RPO | Recovery Point Objective | 灾难发生时，允许丢失的最大数据量（时间跨度） | 秒、分钟、小时、天 | 数据丢失量 = 故障时间点 – 最近备份点 |
| RTO | Recovery Time Objective | 灾难发生后，业务系统必须恢复运行的最长时限 | 秒、分钟、小时 | 业务中断时长 = 故障发生 – 服务恢复 |
关键认知： RPO 关注“丢多少数据”，RTO 关注“停多久服务”。两者相互独立，但共同决定了灾备等级。例如，RPO=0 意味着零数据丢失，通常需要同步复制；RTO=0 意味着零停机，需要双活架构。
1.2 灾备等级标准
国际标准 SHARE 78 定义了从 Tier 0 到 Tier 7 共 8 个灾备等级，国内《信息系统灾难恢复规范》（GB/T 20988）也参考了该分级。以下为最常用的 5 个等级对比：
| 等级 | 名称 | RPO | RTO | 典型技术 |
|---|---|---|---|---|
| Tier 0 | 无灾备 | 无限制 | 无限制 | 无 |
| Tier 2 | 冷备（定期备份） | 24 小时 | 24 小时以上 | 磁带/磁盘备份，异地存储 |
| Tier 4 | 温备（异步复制） | 分钟级 | 小时级 | 异步数据复制 + 备用主机 |
| Tier 6 | 热备（同步复制） | 秒级 / 接近零 | 分钟级 | 同步复制 + 自动切换 |
| Tier 7 | 双活 / 多活 | 零 | 零 | 分布式集群，负载均衡 |
实践提示： 在云原生场景下，etcd 作为 Kubernetes 的控制面存储，其灾备等级通常要求达到 Tier 4 以上（RPO 分钟级，RTO 分钟级）。若采用 etcd 快照 + 定期备份至对象存储，实际 RPO 取决于备份周期；若启用 etcd 增量快照或 raft 日志复制，可逼近 Tier 6。
1.3 业务连续性目标
业务连续性（Business Continuity, BC）是灾备建设的最终目的。它不仅仅包含 IT 系统的恢复，还涵盖人员、流程、办公场所、供应链等非技术要素。在 IT 灾备层面，业务连续性目标通常分解为以下三个层次：
- 可用性目标： 系统在正常运行时，服务可用时间占比（如 99.99%）。
- 恢复能力目标： 灾难发生后，在规定 RTO/RPO 内恢复服务的能力。
- 数据完整性目标： 恢复后的数据在逻辑上一致、无损坏、无丢失。
以下 SVG 图展示了灾备核心概念之间的层级关系：
1.4 灾备准入策略：从指标到实践
在 etcd 备份与恢复场景中，灾备准入策略是指：在集群上线或变更前，必须满足的最低灾备能力要求。常见的准入检查项包括：
- 备份策略已配置： 是否启用了定期快照？快照周期是否满足 RPO 要求？
- 恢复演练已验证： 是否在测试环境执行过 etcd 恢复操作？恢复时间是否在 RTO 范围内？
- 备份数据可访问： 快照文件是否存储在异地或独立存储中？是否加密？
- 监控告警已就绪： 备份失败、快照过期、集群健康状态是否有告警通知？
常见误区： 很多团队只配置了 etcd 快照备份，却从未验证恢复流程。当真正发生数据损坏时，才发现快照文件损坏、版本不兼容或恢复步骤缺失。灾备准入策略的核心是“可恢复性验证”，而非“备份动作本身”。