RTO 和 RPO 有什么区别？
更新时间：2026-09-19。短答页。容灾规划里最常被混淆的两个目标，一个管「多久能恢复」，一个管「会丢多少数据」。
一句话回答
RTO（恢复时间目标）= 灾难发生后，服务必须在多久内恢复，衡量业务中断时长；RPO（恢复点目标）= 恢复后的数据最多能回到多久以前，衡量能容忍丢多少数据。 两者相互独立。
时间轴看清
bash
灾难发生 服务恢复
│◄────────── RTO（中断时间）──────────►│
灾难发生 最后一个有效数据点
│◄──── RPO（数据回退窗口）────►│- RTO 小：要求自动化切换、热备/多活，恢复快但成本高。
- RPO 小：要求数据近实时复制/频繁备份，丢得少但链路贵。
- 可以 RTO 很小但 RPO 很大（秒级拉起一个昨天的备份），也可以 RPO≈0 却要人工慢慢切（数据实时同步在、服务恢复慢）。
不同方案的典型值
| 方案 | RTO | RPO | 成本 |
|---|---|---|---|
| 冷备（定期备份异地） | 小时~天 | 小时~天 | 低 |
| 温备（数据新、服务待启动） | 分钟~小时 | 分钟级 | 中 |
| 热备（近实时复制、备在跑） | 秒~分钟 | ≈0 | 高 |
| 双活/多活 | ≈0（就近切流） | ≈0 | 最高 |
由什么决定
- RTO 取决于切换自动化：健康检查、DNS/网关切流、IaC、演练熟练度，减少人肉操作。
- RPO 取决于数据复制频率：日备 RPO≈24h；binlog/WAL 流式同步 RPO≈秒级到 0。
按业务损失分级（BIA）来定，而不是所有系统都追求双活：支付要 RPO≈0，内部报表日备完全可接受。注意主从复制不等于备份——误删表和勒索加密会被同步到所有副本，仍需离线副本，见容灾 RTO/RPO 详解。
坑
- 把「有主从」当成有备份，逻辑错误照样全毁。
- RPO 写 0 实际只做日备，目标和手段不符。
- 只定目标从不做恢复演练，真出事才发现恢复要 8 小时、备份不可用。
总结
RTO 回答「服务多久恢复」、由故障切换和拉起的自动化程度决定，RPO 回答「最多丢多久数据」、由备份和数据复制的频率决定，两者独立、分别对应冷备到多活不同成本档位；应基于业务影响分级设定，并牢记高可用复制防的是硬件故障、离线备份防的是误删与损坏，且只有通过恢复演练才能证明 RTO/RPO 真实可达。