故障决策

容灾不只是技术问题

容灾还需要明确组织流程。技术方案再好，没有决策机制，事故时就会变成争论。

要回答的问题

• 谁有权宣布进入容灾状态？
• 自动切换还是人工确认？
• 切换前要检查哪些指标？
• 切换失败如何回滚？
• 谁负责对外公告和内部协同？

决策机制设计

一个清晰的决策链：

监控告警
  -> 值班人判断（是否符合切换条件）
  -> 指挥者决策（宣布进入容灾）
  -> 执行者操作（按 Runbook 执行）
  -> 业务确认（核心链路验证）
  -> 对外公告（客服 / 用户）

决策与执行分离

• 决策的人：判断「要不要切」。
• 执行的人：按预案「怎么切」。
• 决策者不手敲命令，执行者不擅自决定。

一句话

容灾要有组织流程：谁决策、怎么切换、失败如何回滚、谁对外沟通。技术预案没有决策机制，事故时就会变成争论。