3. 灾备与回滚基础概念

灾备与回滚是保障服务连续性的最后防线。在蓝绿发布场景中，理解灾难恢复等级、回滚触发条件及策略分类，是设计自动化验证流程的前提。本节从核心指标、触发机制与策略体系三个维度展开。

3.1 灾难恢复等级：RTO 与 RPO

衡量灾备能力的两个核心指标是 RTO（Recovery Time Objective，恢复时间目标） 和 RPO（Recovery Point Objective，恢复点目标）。RTO 定义从故障发生到服务恢复所允许的最大时间；RPO 定义可接受的数据丢失时间窗口。

3.2 回滚触发条件

回滚不是随意触发的，必须基于明确的判定条件。在自动化蓝绿发布中，触发条件通常分为三类：

• 健康检查失败： 新版本（Green）的存活探针（Liveness Probe）或就绪探针（Readiness Probe）连续 N 次失败，且超过阈值。
• 错误率/延迟超标： 新版本的 HTTP 5xx 错误率超过 1%，或 P99 延迟超过基线的 200%。
• 人工干预： 运维人员通过 ChatOps 或 Dashboard 手动触发回滚，通常用于发现业务逻辑缺陷但监控未覆盖的场景。

groups:
  - name: rollback-trigger
    rules:
      - alert: GreenVersionErrorRateHigh
        expr: |
          sum(rate(http_requests_total{version="green", status=~"5.."}[2m]))
          / sum(rate(http_requests_total{version="green"}[2m])) > 0.01
        for: 30s
        labels:
          severity: critical
          action: rollback
        annotations:
          summary: "Green 版本错误率超过 1%，触发自动回滚"

3.3 回滚策略分类

根据回滚的粒度、速度与数据一致性要求，回滚策略可分为以下四类：

3.4 回滚策略选择矩阵

根据故障类型与影响范围，推荐的回滚策略选择如下：