工作原理
灾难恢复从业务影响分析开始，对系统排序并设定恢复目标。策略沿成本阶梯排列：备份恢复、最小化运行、温备、双活多站点。每种策略都需要 DNS 或全局负载均衡切换、数据复制、独立的身份与密钥服务、运行手册和沟通计划。通过演练检验切换并记录实际耗时。
detect region failure -> declare incident -> promote replica
-> repoint DNS / load balancer -> verify critical journeys
-> communicate status -> plan failback使用场景与取舍
当事件超出常规事故响应时使用 DR：区域故障、勒索软件、复制损坏、供应商故障或核心依赖丢失。与在同一区域内掩盖组件故障的高可用相比，DR 处理的是整个区域或主要供应商失效。
双活恢复最快，但需要冲突处理、数据分区和双倍运维面；温备更便宜，却可能长期陈旧且未经验证；备份恢复最简单也最慢。基础设施、依赖和人员变化会让未演练的 DR 逐渐失效。
具体示例
团队在一个区域运行生产，在另一区域保持异步复制的温备。演练时提升备库、把 60 秒 TTL 的 DNS 指向备用区域，22 分钟内恢复结账，低于一小时目标，同时发现备用密钥库缺少一个 secret。演练结果应转化为修复项。