| 层级（提议） | 可用性 | 图案 | RPO/RTO |
|---|---|---|---|
| 标准 | 99.7% | 多区域、高可用性数据库、物理隔离备份 | 区域：RPO ≈ 0。区域：从存储库恢复。 |
| Live DR | 99.9% | 第二个区域正在直播 | RPO 秒数，RTO ≤ 15 分钟 |
| Live DR Premium | 99.95% | 两个区域的交通流量，全天候优先通行。 | RPO 秒数，RTO ≤ 5 分钟 |
非生产状态为 95%。可用性按月在 TRANXACT 入口处进行测量，不包括约定的维护窗口（建议每月 4 小时）。
在确定容量规模之前，请先确定层级。Live DR相当于一个完整的第二区域，运行时基础设施成本大约翻倍；应将其单独列为一行，并与它所消除的停机成本进行比较。
积极主动，而非被动接受
被动备用系统处于闲置状态，通常每年只进行一次故障恢复测试，并通过恢复和扩展来实现故障转移。Live DR则运行一个全规模集群和一个持续复制的数据库，全天候提供读取、报告、ASK和模拟发布等服务。故障转移实际上是升级——无需重建任何内容——并且每分钟都会对其健康状况进行验证。
| 测试 | 影响 | 多常 | 类别 |
|---|---|---|---|
| 持续验证——合成发布、延迟警报、跨区域账本校验和 | 没有任何 | 每一分钟 | 标准（TO_4.10.01） |
| 计划中的切换演练——暂停写入、提升权限、切换角色、验证；角色互换 | 写入操作暂停了几秒钟 | 季刊 | 标准（TO_4.10.03） |
| 额外切换演练 | 写入操作暂停了几秒钟 | 如有需要，请提前两周提出申请。 | 附加（TO_4.10.04） |
| 隔离式钻机——一个集成功能已禁用的封闭式克隆机 | 暂无生产相关内容 | 如有需要，请提前两周提出申请。 | 附加（TO_4.10.05） |
| 洁净室恢复测试 | 暂无生产相关内容 | 每年 | 标准版（TO_4.9.07） |
| 演练后的业务验证 | 客户努力 | 每次训练 | 已排除 (TO_4.10.06) |
备份
| 生产数据库 | 非生产数据库 | |
|---|---|---|
| 被带走 | 每日快照 + 连续日志 | 每日快照 |
| 恢复 | 30 天内的任何时间点 | 最后一次快照，14 天前 |
| 保险库副本 | 每日，不可更改，90 天 | 每周，不可更改，30 天 |
文档会持续进行版本控制，并每日复制到代码库中以供生产环境使用。基础设施即代码和配置也存储在代码库中，因此运行时会从代码重新构建，而不是恢复。
为什么是金库
复制机制旨在防止系统中断，而非数据损坏。勒索软件或错误数据会在几秒钟内复制到备用系统和灾备区域。数据存储库是一个独立的账户，拥有独立的身份验证和密钥，与生产环境之间没有网络路径，采用一次写入保留策略（即使是管理员也无法缩短保留期限），并采用双重审批删除机制。从数据存储库恢复的数据会进入一个隔离的环境——先进行扫描、协调，然后再进行恢复——绝不会直接恢复到生产环境中。
一旦设置了保留期限，就无法缩短。如果审计或法律要求，应提前延长保留期限，并且长期副本的大小应根据账簿增长和文档数量来确定，而不是根据当前的数据库大小来确定。
Calderwood 在同一司法管辖区的第二个 Azure 区域中选择了 99.9% 的Live DR。其首次切换演练和一次无尘恢复已安排在正式上线之前，作为准备就绪的考核环节。其银行和薪资合作伙伴也已纳入切换计划，以便其终端节点能够跟随流量管理器进行切换。
试试看 下午 2 点 05 分，一个批处理作业导致 4000 张 Calderwood 发票损坏。Live DR运行正常，延迟 2 秒。故障转移到灾难恢复区域是否可以解决问题？
不。数据损坏会在几秒钟内复制到备用系统和灾备区域——故障转移只会将数据恢复到相同的错误状态。解决方法是将系统恢复到 14:04 的时间点（TO_4.9.05，标准版），或者，如果历史记录本身存在问题，则需要从数据库进行无损恢复（TO_4.9.06），并由财务主管对恢复的数据进行签字确认（TO_4.9.11）。