去年有家做SaaS的公司被勒索病毒加密了整个生产库，老板问运维负责人：我们的灾难恢复计划呢？运维负责人说在脑子里。结果花了四天才恢复服务，客户流失了一大批。痛定思痛之后，他们花了两周写了一份正式的DRP文档，后来真的一次机房故障中，照着流程四十分钟就恢复了。这就是有文档和没文档的区别。

DRP不是文档，是制度

很多人觉得DRP就是写个Word文档放那儿备查。不是。DRP是一套从发现故障到恢复业务的完整流程，包括谁负责、怎么操作、联系谁、多久恢复。写出来只是第一步，更重要的是让团队都熟悉、定期演练、持续更新。

一份可落地的DRP包含六个部分

第一部分：资产清单。把所有生产系统列出来，包括服务器、数据库、中间件、域名、证书、第三方服务。每项标注负责人和联系方式。这份清单是恢复时的地图，没有它你都不知道该恢复什么。

第二部分：风险评估。针对每类资产，列出可能发生的故障：硬件损坏、网络中断、数据误删、安全攻击、机房级灾难。按发生概率和影响程度排序，优先保障高影响高概率的场景。

第三部分：恢复策略。对每个关键系统定义RTO和RPO。比如核心数据库RTO等于30分钟、RPO等于5分钟；官网RTO可以放宽到4小时、RPO为24小时。然后说明对应的恢复手段：热备切换、备份恢复、降级方案等。恢复策略要跟数据迁移备份方案对齐，备份频率和保留周期要满足RPO要求。

第四部分：应急流程。写清楚从告警触发到完全恢复的每一步操作。格式要像菜谱一样具体：第一步登录堡垒机，第二步执行什么脚本，第三步验证什么指标。别写根据情况灵活处理——出事的时候没人有心情灵活处理。每个步骤标注预计耗时，加起来不能超过RTO。

第五部分：通讯录。内部团队联系人、云厂商技术支持电话、供应商联系方式。要包含非工作时间能联系到人的渠道，半夜三点出事你打工作时间客服电话没人接。

第六部分：演练计划。每季度至少做一次桌面推演，每年至少做一次实际切换演练。演练完写复盘记录，更新DRP文档。文档更新日期超过半年没动，基本就废了。

DRP不需要写得多厚，能落地就行。一页纸的检查清单，有时候比五十页的文档更有用。关键是团队能照着做、做过有效、持续在更新。