4. RPO（恢复点目标）基础：定义、等级、频率与缓存关系
RPO（Recovery Point Objective，恢复点目标）是灾备设计中衡量数据丢失容忍度的核心指标。在 Velero 缓存命中巡检场景中，RPO 直接决定了备份策略的激进程度，并与缓存命中率形成双向约束。本节从定义出发，逐层拆解 RPO 与业务连续性、备份频率、缓存之间的内在逻辑。
4.1 RPO 定义与业务连续性等级
RPO 定义为：当灾难发生时，业务系统能够接受的最大数据丢失时间窗口。例如 RPO = 1 小时，意味着最多丢失最近 1 小时内写入的数据。RPO 越小，对备份频率、存储性能和恢复速度的要求越高。
| RPO 等级 | 典型时间窗口 | 适用场景 | 备份策略特征 |
|---|---|---|---|
| 零数据丢失 | 0 秒 | 金融交易、在线支付、实时数据库 | 同步复制、持续数据保护（CDP） |
| 秒级 | 1 ~ 30 秒 | 电商订单、消息队列、缓存层 | 异步复制 + 高频快照 |
| 分钟级 | 1 ~ 15 分钟 | CRM、ERP、微服务核心链路 | Velero 定时备份 + 增量备份 |
| 小时级 | 1 ~ 4 小时 | 日志分析、报表系统、非关键业务 | 每日全量 + 每小时增量 |
| 天级 | 24 小时及以上 | 归档、开发测试环境、历史数据 | 每日全量备份 |
关键认知：RPO 不是技术指标，而是业务指标。在 Velero 巡检中，必须将业务方定义的 RPO 转化为备份调度参数（Schedule）和缓存保留策略（TTL），否则灾备方案会与业务预期脱节。
4.2 RPO 与备份频率的关系
备份频率是 RPO 的直接技术实现。理论上，备份间隔必须 ≤ RPO 窗口，否则必然出现超出容忍度的数据丢失。但在实际 Kubernetes 环境中，还需考虑以下约束：
- 备份窗口（Backup Window）：每次备份的完成时间必须小于备份间隔，否则会出现备份堆积。
- 增量备份 vs 全量备份：全量备份耗时较长，通常用于拉长 RPO 场景；增量备份适合短 RPO 场景，但依赖上一次备份的完整性。
- Velero Schedule 最小间隔：Velero 原生支持 Cron 表达式，但生产环境建议最小间隔 ≥ 5 分钟，避免频繁调度导致 etcd 压力。
RPO 与备份频率的数学关系：
设 RPO = Trpo，备份间隔 = Tinterval，则必须满足：
同时，单次备份耗时 Tbackup 必须满足：
否则备份链断裂，RPO 无法保障。
设 RPO = Trpo，备份间隔 = Tinterval，则必须满足：
Tinterval ≤ Trpo同时，单次备份耗时 Tbackup 必须满足：
Tbackup + 调度开销 ≤ Tinterval否则备份链断裂，RPO 无法保障。
4.3 RPO 与缓存的关系
在 Velero 灾备缓存命中巡检场景中，缓存（Cache）是降低备份耗时、保障短 RPO 的关键组件。缓存命中率直接影响备份窗口，进而影响 RPO 的可达性。
| 缓存状态 | 对备份耗时的影响 | 对 RPO 的影响 | 典型场景 |
|---|---|---|---|
| 高命中率（> 90%） | 备份耗时降低 60% ~ 80% | 支持分钟级 RPO | 频繁变更的 PVC、ConfigMap 缓存 |
| 中等命中率（50% ~ 90%） | 备份耗时降低 30% ~ 50% | 支持 15 ~ 30 分钟 RPO | 混合工作负载，部分缓存失效 |
| 低命中率（< 50%） | 备份耗时接近全量备份 | RPO 退化至小时级 | 缓存未预热、资源配额不足导致缓存被驱逐 |
巡检警示：当 Velero 缓存命中率持续低于 50% 时，即使备份频率设置得再高，实际 RPO 也会因备份窗口过长而无法达标。此时应优先排查缓存资源配额（CPU/Memory/Local Volume）是否被限流或驱逐，而非盲目增加备份频率。
4.4 RPO、备份频率与缓存的三元协同模型
以下 SVG 图展示了 RPO、备份频率、缓存命中率三者之间的协同关系，以及 Velero 巡检中的关键决策路径。
4.5 缓存命中率对 RPO 的量化影响
以下表格展示了在固定备份频率下，不同缓存命中率对实际 RPO 的量化影响。假设全量备份耗时 30 分钟，增量备份耗时 5 分钟，缓存命中率影响的是增量备份的耗时比例。
| 缓存命中率 | 增量备份实际耗时 | 备份间隔（设定） | 实际可达 RPO | 是否满足分钟级 RPO？ |
|---|---|---|---|---|
| 95% | 2 分钟 | 10 分钟 | 10 分钟 | ✅ 满足 |
| 70% | 8 分钟 | 10 分钟 | 10 分钟（临界） | ⚠️ 接近上限 |
| 40% | 18 分钟 | 10 分钟 | 18 分钟（超出间隔） | ❌ 不满足 |
| 20% | 25 分钟 | 10 分钟 | 25 分钟（严重超标） | ❌ 不满足 |
核心结论：在 Velero 灾备缓存命中巡检中，RPO 不是孤立指标。缓存命中率每下降 10%，实际 RPO 可能恶化 30% ~ 50%。因此，缓存资源配额（CPU/Memory/Local Volume）的巡检优先级应等同于备份频率的巡检优先级。只有两者协同调优，才能实现业务定义的 RPO 目标。