1. 灾备基础概念：RPO、RTO、灾备等级与灾备/备份区别
灾备（Disaster Recovery, DR）是保障业务连续性的最后一道防线。理解灾备的核心指标、等级划分以及与备份的本质区别，是设计任何生产窗口内回滚方案的前提。本节从四个维度建立共识。
1.1 核心指标：RPO 与 RTO
RPO（Recovery Point Objective，恢复点目标）和 RTO（Recovery Time Objective，恢复时间目标）是衡量灾备能力的两个基本标尺。
| 指标 | 定义 | 典型值（生产环境） | 对回滚的影响 |
|---|---|---|---|
| RPO | 允许丢失的最大数据量（时间跨度） | 秒级～15 分钟 | 决定备份/镜像的同步频率；回滚时数据丢失上限 |
| RTO | 从故障发生到业务恢复的最大时长 | 分钟级～4 小时 | 决定回滚流程的自动化程度与切换速度 |
实战要点：在生产窗口内执行 Backup Hook 回滚时，RPO 决定了“回滚到哪个时间点”，RTO 决定了“回滚操作必须在多少分钟内完成”。两者共同约束镜像加速策略与 Hook 脚本的超时设计。
1.2 灾备等级：热备 / 温备 / 冷备
根据资源就绪状态和切换速度，灾备系统分为三个等级。等级越高，成本越高，RTO 越短。
| 等级 | 资源状态 | 典型 RTO | 典型 RPO | 适用场景 |
|---|---|---|---|---|
| 热备 | 备端持续运行，数据实时同步 | 秒级～分钟级 | 秒级 | 核心交易、支付、实时数据库 |
| 温备 | 备端已部署但未启动，数据准实时同步 | 分钟级～小时级 | 分钟级～15 分钟 | 订单系统、用户中心、中等关键业务 |
| 冷备 | 备端未部署，仅保留离线备份 | 小时级～天级 | 天级 | 归档、日志、非关键业务 |
课程关联：本课程聚焦“温备→热备”的加速方案。生产窗口内的 Backup Hook 回滚验证，通常要求备端镜像已预热（温备），通过 Hook 脚本在窗口内完成一致性检查与快速回切，逼近热备体验。
1.3 灾备与备份的本质区别
备份 ≠ 灾备。两者在目标、手段、恢复粒度上存在根本差异。混淆这两个概念是生产事故的常见根源。
| 维度 | 备份 | 灾备 |
|---|---|---|
| 核心目标 | 数据留存与历史版本恢复 | 业务系统整体快速恢复 |
| 恢复粒度 | 文件、数据库表、对象 | 完整应用栈（OS + 中间件 + 数据） |
| 恢复位置 | 通常恢复到原环境或独立存储 | 切换到异地/异机灾备环境 |
| RTO 要求 | 宽松（小时～天） | 严格（秒～小时） |
| 自动化程度 | 定时脚本或策略触发 | 自动故障检测 + 编排切换 |
| 典型工具 | Veeam Backup, rsync, mysqldump | SRM, Zerto, Commvault DR, 自定义 Hook |
常见误区：很多团队认为“每天做一次全量备份 = 灾备”。实际上，没有自动化切换流程、没有定期回滚演练的备份，在真正灾难发生时 RTO 往往超过 24 小时，无法满足生产窗口要求。本课程强调的“Backup Hook 回滚验证”，正是将备份数据转化为可快速切换的灾备能力。
1.4 概念关系总览
下图梳理了 RPO、RTO、灾备等级与备份/灾备区别之间的逻辑关系，帮助建立整体认知框架。
1.5 生产窗口内的回滚验证启示
- RPO 决定镜像同步频率：若生产窗口内 RPO 要求 ≤ 5 分钟，则镜像加速必须支持增量同步 + 实时校验。
- RTO 决定 Hook 超时阈值：回滚操作（包括 Hook 脚本执行、一致性检查、切换确认）必须在 RTO 内完成，否则视为失败。
- 等级决定预热策略：温备场景下，备端镜像需提前加载至内存缓存；热备场景下，需保持长连接与实时复制。
- 备份 ≠ 灾备：仅有备份文件而无自动化回滚流程，无法满足生产窗口的分钟级 RTO 要求。Backup Hook 正是将“备份”转化为“灾备”的关键桥梁。