可用性、Live DR、备份和存储库
三个可用性级别、连续性模式及其 RPO 和 RTO、Live DR的验证和演练、每个环境的备份策略、长期保留以及物理隔离的存储库。
可用性层级（生产环境、建议默认层级）
| 层级 | 可用性 | 它是什么 |
|---|---|---|
| 标准 | 99.7% | 多区域、高可用性数据库、物理隔离备份。 |
| Live DR | 99.9% | 第二个区域正在上线。 |
| Live DR Premium | 99.95% | 两个区域的交通流量均得到全天候优先响应。 |
非生产环境：95%。每月在 TRANXACT 入口处测量，不包括约定的维护窗口。云提供商的服务级别协议 (SLA) 均包含在 TRANXACT 的一项承诺之下。
在确定容量之前，先确定层级。Live DR运行一个完整规模的第二个区域，这会使运行时基础设施成本大致翻倍。应将其单独列为一项，并与它所消除的停机成本进行比较，同时将集成的第三方系统限制在同一层级。
计划内和计划外事件
| 事件 | 会发生什么 | 是否违反服务水平协议？ |
|---|---|---|
| 计划内容——更新、调整大小、演练 | 通过三个节点滚动更新，确保用户正常工作。停机时间仅在每月一次的调整窗口期内（建议4小时）进行。 | 不，在约定的时间范围内。 |
| 区域内计划外故障——节点、Pod 或区域故障 | Pod 已重新调度；数据库故障转移到其同步备用数据库。RPO ≈ 0，几分钟内即可恢复。 | 只有在未达到目标等级的情况下才会出现这种情况。 |
| 计划外的、区域性的 | Live DR (RPO) 为秒，恢复时间目标 (RTO) ≤ 15 分钟（建议）。 | 按等级划分。 |
连续性模式
| 图案 | RPO/RTO | 节点 | 数据库 | 区 | 地区 | 勒索软件 |
|---|---|---|---|---|---|---|
| 标准HA（99.7%） | 区域：RPO ≈ 0。区域：从存储库恢复。 | 是的 | 是的 | 是的 | 不 | 是的 |
| Live DR (99.9%) | RPO 秒数，RTO ≤ 15 分钟 | 是的 | 是的 | 是的 | 是的 | 是的 |
| Live DR Premium (99.95%) | RPO 秒数，RTO ≤ 5 分钟 | 是的 | 是的 | 是的 | 是的 | 是的 |
| 被动式灾难恢复（典型的SaaS模式）——不提供 | RPO（响应时间安排）分钟-小时，RTO（响应时间安排）小时 | 是的 | 是的 | 是的 | 不确定 | 不 |
Live DR并非被动备用。第二个区域运行着一个全规模集群和一个持续复制的数据库，用于处理实时读取、报表、ASK查询和模拟发布。其健康状况每分钟都会进行验证，故障转移是一种升级——不会进行任何扩展或恢复。
集成必须能够容忍自动写入提升，并重放故障转移前最后几秒内发布的任何内容。合作伙伴的端点必须遵循流量管理器（TO_4.10.09，已排除）。
验证Live DR
| 测试 | 会发生什么 | 商业影响 | 频率 | 类别 | 休息与恢复 |
|---|---|---|---|---|---|
| 持续验证 | 合成发布、复制延迟警报、跨区域账本校验和 | 没有任何 | 每一分钟 | 标准 | TO_4.10.01 |
| 计划中的切换演练 | 宣布 → 暂停写入（秒） → 提升灾难恢复级别 → 转移流量 → 验证账本 → 从灾难恢复级别运行。角色互换。 | 写入操作暂停了几秒钟 | 季刊 | 标准 | TO_4.10.03 |
| 额外切换演练 | 如上所述，季度计划之外 | 写入操作暂停了几秒钟 | 如有需要，请提前两周提出申请。 | 额外的 | TO_4.10.04 |
| 隔离式（围栏式）钻机 | 从灾难恢复副本克隆的副本，已禁用出站集成；允许进行破坏性测试。 | 暂无生产相关内容 | 如有需要，请提前两周提出申请。 | 额外的 | TO_4.10.05 |
| 洁净室恢复测试 | 从存储库恢复到隔离环境中，扫描，核对 | 暂无生产相关内容 | 每年 | 标准 | TO_4.9.07 |
| 钻井业务验证 | 客户在切换完成后确认流程和集成。 | 客户努力 | 每次训练 | 已排除 | TO_4.10.06 |
演练之后无需重建：原主库成为Live DR。读取操作永不停歇。
正式上线前，务必进行首次切换演练和洁净室恢复演练。这两项演练都是上线的关键环节，后续的每一次演练都将作为审计和SLA审查的证据。
备份策略（建议默认值）
| 生产数据库 | 生产文件 | 非生产数据库 | 非生产文档 | |
|---|---|---|---|---|
| 频率 | 每日快照 + 连续日志 | 持续版本控制 | 每日快照 | 持续版本控制 |
| 时间点恢复 | 保留窗口内的任何一点 | 版本恢复 | 上次快照 | 版本恢复 |
| 运营保留 | 30天 | 30 天（版本） | 14天 | 14天 |
| 保险库副本 | 每日，不变的 | 每日，不变的 | 每周，不变 | 选修的 |
| 保险库保留 | 90天（可延长） | 90天（可延长） | 30天 | 30天 |
| 加密 | 静置和运输途中；金库钥匙单独保管。 | 静止和运动中 | 静止和运动中 | 静止和运动中 |
Kubernetes 清单和配置以基础设施即代码的形式存在，并且也被复制到存储库中——因此运行时会被重建，而不是恢复。
恢复
| 恢复 | 类别 | 交货时间 | 休息与恢复 |
|---|---|---|---|
| 重大变更前的按需备份 | 标准服务请求 | 小时 | TO_4.9.04 |
| 时间点恢复 | 标准服务请求 | 工时；P1 立即 | TO_4.9.05 |
| 从保险库中恢复洁净室数据 | 另加每次送货费用 | 小时 | TO_4.9.06 |
| 业务部门对恢复数据的验收 | 财务总监除外 | — | TO_4.9.11 |
气隙金库
- 一个独立的云账户或租户，拥有独立的身份验证、多因素身份验证和密钥。
- 生产环境没有入站网络路径。生产环境通过只写角色单向推送数据，该角色没有读取或删除权限。
- 一次写入保留锁 (WORM)：即使是管理员也无法更改或删除副本。
- 删除操作需要双重批准；完整性在到达时进行扫描。
- 恢复操作通过洁净室流程进入隔离环境——扫描、协调，然后推广——绝不会直接在生产环境中进行。
- 可选的离线副本到第二个云或冷存储，定期断开连接（TO_4.9.09，可选）。
它的存在意义在于：防止复制和Live DR恢复副本损坏。勒索软件或恶意数据也会被复制。保险库在两个区域之外保存着一份干净且不可更改的账本历史记录。
确定谁持有金库的紧急开启凭证。TRANXACT 采用双重审批程序 (TO_4.9.12)；客户指定其审批人 (TO_4.9.13，已排除)。
长期保留（可选）
| 选项 | 频率 | 保留 | 指标 | 堵塞 | 类别 |
|---|---|---|---|---|---|
| 月度存档副本 | 月度 | 1年 | 技嘉 | 256 GB | 选修的 |
| 季度存档副本 | 季刊 | 1年 | 技嘉 | 256 GB | 选修的 |
| 年终存档副本 | 每年，在收盘后 | 2、3 或 4 年 | 技嘉 | 256 GB | 选修的 |
| 离线副本 | 周期性 | 根据客户政策 | 技嘉 | 256 GB | 选修的 |
| 对副本的法律保留 | 应要求 | 直至发布 | 根据要求 | — | 额外的 |
一旦设置了保留期限，就无法缩短。如果审计或法律保留规则需要更长的保留期限，请预先延长保留期限——并且保留期限的长短应根据账簿增长和文档数量来确定，而不是根据当前数据库的大小来确定。
标有“建议默认值”的值是部署指南推荐的起始值。请根据每位客户的具体情况进行确认；合同、订单、服务级别协议 (SLA) 和数据处理协议 (DPA) 的效力高于本页面内容。