灾备等级标准：国际SHARE 78标准、国家标准GB/T 20988、七级灾备体系详解
聊灾备，第一个绕不开的问题就是：到底要做到什么程度？
你想想看，给核心交易系统做灾备，跟给一个内部OA做灾备，投入能一样吗？肯定不一样。那怎么量化这个“程度”呢？这就得靠灾备等级标准了。
我个人习惯，把灾备等级看成是“花钱买恢复时间”的阶梯。阶梯越高，恢复越快，但花的钱也呈指数级增长。今天咱们就把国际上最通用的SHARE 78标准、咱们国家的GB/T 20988标准，以及业界常说的七级灾备体系，掰开揉碎了讲清楚。
国际标准：SHARE 78 的七层模型
SHARE 78标准，说白了是上世纪90年代由美国一个叫SHARE的用户组提出来的。它把灾备分成了7个层级，从最基础的只备份数据，到最高级的实时双活。这个模型影响深远，直到今天很多企业的灾备规划还在参考它。
| 层级 | 名称 | 核心特征 | 典型RTO | 典型RPO |
|---|---|---|---|---|
| 0级 | 无异地备份 | 数据仅存本地，无任何异地副本 | N/A | N/A |
| 1级 | 异地磁带备份 | 定期将数据备份到磁带，运送到异地 | 数天 | 24小时以上 |
| 2级 | 热备份站点 | 有备用场地，但设备需临时采购或调配 | 数天至一周 | 24小时以上 |
| 3级 | 电子链接 | 通过通信线路实现数据定时同步 | 1-2天 | 数小时至1天 |
| 4级 | 批量/在线备份 | 使用磁盘镜像或快照技术，数据接近实时 | 数小时 | 15分钟至数小时 |
| 5级 | 两阶段提交 | 数据库层面实现强一致性复制 | 1小时以内 | 秒级至分钟级 |
| 6级 | 零数据丢失 | 通过同步复制，确保主备数据完全一致 | 分钟级 | 0 |
| 7级 | 自动化/双活 | 应用自动切换，站点间负载均衡 | 秒级 | 0 |
我的经验： 很多企业上来就想搞7级双活，但一算账就放弃了。我建议从3级或4级起步，先把数据备份和异地存放做好，再逐步升级。步子迈大了，容易扯着预算。
国家标准：GB/T 20988 的六个等级
咱们国家的标准GB/T 20988，全称是《信息安全技术 信息系统灾难恢复规范》。它没有完全照搬SHARE 78，而是结合国内实际情况，把灾备等级分成了6级。这个标准是很多行业合规检查的硬杠杠，比如金融、电力、政务系统，都得按这个来对标。
| 等级 | 恢复时间目标(RTO) | 恢复点目标(RPO) | 典型技术 |
|---|---|---|---|
| 第1级 | 2天以上 | 1-7天 | 定期备份，介质运送 |
| 第2级 | 24小时以内 | 1-7天 | 备份+备用场地 |
| 第3级 | 12小时以内 | 数小时至1天 | 数据定时复制 |
| 第4级 | 4小时以内 | 15分钟至数小时 | 数据实时复制+备用网络 |
| 第5级 | 2小时以内 | 分钟级 | 数据实时复制+自动切换 |
| 第6级 | 30分钟以内 | 秒级至0 | 双活或主备自动切换 |
注意： GB/T 20988的第6级，并不完全等同于SHARE 78的7级双活。国标更强调“自动切换”和“数据一致性”，而SHARE 78的7级还包含了“站点间负载均衡”的概念。做合规评审时，一定要按国标来对标，别拿国际标准去糊弄检查。
七级灾备体系：一个更实用的视角
在实际工作中，我更喜欢用“七级灾备体系”这个框架来跟业务部门沟通。它把SHARE 78和GB/T 20988融合了一下，更贴近工程落地。说白了，就是看你能容忍丢多少数据（RPO），能等多久恢复（RTO）。
如何选择适合你的灾备等级？
这个问题，我几乎在每个项目里都会被问到。我的回答是：别盯着技术看，先看业务。
具体来说，分三步走：
- 业务影响分析（BIA）： 搞清楚每个系统宕机1小时、4小时、1天，分别会造成多大的经济损失和声誉影响。
- 风险容忍度评估： 跟业务部门坐下来，明确他们能接受的最大停机时间（RTO）和最大数据丢失量（RPO）。
- 成本效益分析： 把不同等级灾备方案的投入成本，跟业务损失做对比。找到那个“性价比最高”的平衡点。
核心原则： 灾备等级不是越高越好，而是“够用就好”。一个RTO要求4小时的系统，你非给它上双活，那就是浪费。反过来，一个要求秒级恢复的核心交易系统，你只做个每日备份，那就是在玩火。
避坑指南：我曾经踩过的坑
最后，分享几个我亲身经历过的教训，希望能帮你少走弯路。
- 坑一：迷信“双活”。 我曾经给一个客户设计了双活方案，结果发现他们的应用代码根本不支持分布式事务，双活一开，数据乱成一锅粥。后来老老实实改成了主备模式。记住，双活对应用架构有硬性要求，不是所有系统都能玩。
- 坑二：忽略“人”的因素。 有一次做灾备演练，技术方案完美，但切换手册写得太复杂。真到演练时，值班人员手忙脚乱，花了3倍时间才切过去。从那以后，我要求所有灾备方案必须附带“一键式”操作手册，并且每季度至少演练一次。
- 坑三：RPO和RTO混为一谈。 很多业务方说“我要零数据丢失”，但一问能等多久恢复，又说“一两天也行”。这就是典型的没搞清楚需求。RPO和RTO是两个独立维度，必须分开定义，分开设计。
嗯，关于灾备等级标准，今天就聊这么多。记住，标准是死的，业务是活的。理解了这些等级背后的逻辑，你就能根据实际情况，设计出最适合自己企业的灾备方案。