要点速览
- RPO 以时长衡量可接受的数据丢失量；RTO 衡量可接受的停机时长。
- 实际 RPO 不可能短于两次成功备份之间的间隔，再加上发现备份失败所需的时间。
- RPO 应按业务（收银、ERP、邮件、文件）分别确定，而不是为整个企业设定一个值。
- 法国国家信息系统安全局（ANSSI）将其称为 PDMA（最大可容忍数据丢失量），并指出当要求低于 24 小时时，通常需要在备份之外考虑复制。
- 复制可以在硬件故障时实现较短的 RPO，但在勒索软件或数据损坏时不能。
权威定义
美国标准化机构 NIST 在其连续性规划指南（SP 800-34）中，将 RPO 定义为：中断发生前，数据能够依据最近一份副本恢复到的时间点。在法语中，ANSSI 使用最大可容忍数据丢失量（PDMA）这一说法，并提醒备份策略必须考虑为信息系统中每项业务资产所确定的 PDMA。
因此，RPO 要像倒着看秒表一样理解：从事故发生时刻往回看，直到最后一份可用副本。
RPO 如何落实到备份上
RPO 不可能短于两次成功备份之间的间隔，再加上发现备份失败所需的时间。
- 每晚 22:00 备份一次，在一天结束时 RPO 约为 24 小时；如果事故发生在上午，RPO 则更短。
- 每小时备份一次，RPO 为一小时，前提是该小时的备份成功且数据一致。
- 持续复制在明确的硬件故障下可以将 RPO 缩短到几秒。但在数据损坏时，它无法提供较短的 RPO：完好的恢复点是损坏之前的最后一份副本，可能已是数小时之前。
ANSSI 说得很清楚：当 PDMA 要求低于 24 小时时，通常需要优先考虑其他方案，例如同步或异步复制，作为备份的补充。对于数据库，Microsoft 也指出，频繁备份事务日志可以恢复到某一精确时间点，从而在不增加完整备份次数的情况下缩短 RPO。
只有一个夜间备份任务，却宣称 RPO 为十五分钟，这是自相矛盾的。实际 RPO 由备份任务决定。
| 机制 | 硬件故障时的典型 RPO | 勒索软件或数据损坏时的典型 RPO |
|---|---|---|
| 每日备份 | 最长 24 小时 | 最后一份完好副本的时间 |
| 每小时备份 | 约 1 小时 | 最后一份完好副本的时间 |
| 频繁备份数据库日志 | 几分钟 | 事故前选定的时间点（前提是保留了历史记录） |
| 仅有复制 | 几秒 | 如果副本已同步了攻击，则没有任何完好的恢复点 |
RPO 与业务
RPO 应按业务分别确定，而不是笼统地为“整个企业”设定。
- 持续录入的会计账务：丢失一天的对账工作意味着数小时的重新录入。RPO 应较短。
- 每月修改一次的价格目录：24 小时的 RPO 已经绰绰有余。
- 邮箱：丢失一天的邮件很难补救，因为发件人不会把所有邮件重发一遍。如果邮件至关重要，RPO 应为一到数小时，否则为 24 小时。
- 即时通讯：通常经明确决定后不纳入 RPO 范围。
RPO 的成本
RPO 越短，副本越频繁，待传输的变更量对带宽越敏感，监控也必须越及时。从 24 小时缩短到 1 小时，备份任务数量会成倍增加。从 1 小时缩短到 1 分钟，通常就需要复制技术，预算和风险（连同攻击一起复制）也随之不同。
常见的表述误区
“我们不会丢失任何数据”就等于 RPO 为零。这种说法很少成立；如果唯一的副本是同步复制，面对勒索软件时则从不成立。更准确的说法是：“某系统最多丢失 N 分钟的数据；如果近期数据有问题，我们可以回退到 N 天前。”
WeDoBack 的做法
WeDoBack 不对所有客户公布统一的保证 RPO。RPO 取决于客户在控制台中选择的备份频率，并受其数据量和带宽所能传输的上限限制。对于灾难恢复计划（DRP），重新启动的版本由客户在备份历史中自行选择：与其使用最新的一份，不如选择更早但完好的副本。对于业务连续性计划（BCP），就流量而言接管是即时的，但实例上的数据是已经传输过去的数据：RPO 取决于这一时间差，合同中应予以明确。并不是因为实例处于开机状态，RPO 就等于零。BCP 实例与原服务器之间的数据复制或同步并非原生功能：它需要一个根据需求定制的专门流程，WeDoBack 可根据报价进行部署。
常见问题
RPO 与 RTO 有何区别？
RPO 回答的是“可以损失多少工作？”，RTO 回答的是“可以停机多长时间？”。两者相互独立：副本可以非常频繁（RPO 短），而恢复却很慢（RTO 长），反之亦然。恢复计划应针对每项服务分别写明这两个数值。
RPO 能否为零？
对于明确的硬件故障，同步复制可以接近零。但它也会立即复制删除、损坏或勒索软件加密等操作。在这些情况下，完好的恢复点是事故发生前的最后一份历史副本，可能已是数小时之前。适用于“所有场景”的零 RPO 实际上并不存在。
中小企业应选择怎样的 RPO？
没有标准值。办公文件通常从 24 小时起步；全天录入数据的 ERP 或报价软件为一到四小时；收银系统则为几分钟到一小时。具体方法详见《如何确定您的 RPO？》。
延伸阅读
参考来源
以下文件查阅于 2026 年 10 月。