这是 Beta 探索课程，内容结构、实验步骤和示例可能会继续调整。
关键决策
五个关键决策
1. RTO / RPO 先于技术选型
不知道恢复目标，就无法判断方案是否足够。支付系统 RTO 5 分钟、RPO 30 秒；报表系统 RTO 2 小时、RPO 1 天。目标不同，投入不同。
2. 主备还是多活
| 架构 | 抗地域故障 | 复杂度 | 一致性难度 |
|---|---|---|---|
| 主备 | 弱 | 低 | 低 |
| 同城双活 | 弱 | 中 | 中 |
| 异地多活 | 强 | 高 | 高 |
取决于业务写入模型和成本承受能力。
3. 同步还是异步复制
- 同步复制：RPO 接近 0，但延迟高、可能降可用性。
- 异步复制：可用性好，但接受丢失窗口。
核心交易数据优先同步或中心化写入，其余异步复制 + 对账补偿。
4. 自动切换还是人工确认
分层处理，人工做决策，不让人工手敲复杂命令。 单实例自动恢复、集群自动切换、机房级自动化执行 + 人工确认。
5. 切换后是否全功能可用
容灾优先保核心链路，非核心功能降级。 保住登录、下单、支付、查询，关掉报表、推荐、批处理。
一句话
五个关键决策：RTO/RPO 先于技术、主备 vs 多活看写入模型、同步降 RPO 伤可用性、自动执行 + 人工决策、切换后保核心降级。每个决策都来自对「可靠性、成本、体验」的具体权衡。