要点速览
- 经济数字：受阻人数 × 小时成本、销售损失、违约金。按服务分别计算。
- 技术数字：从“我们宣布发生事故”开始计时，到第一项业务操作成功完成为止。
- 没有测试，就没有技术 RTO，只有一个期望值。
- 如果两个数字对不上：减少数据量、准备镜像、改用 DRP 或 BCP，或者书面确定并接受降级运行模式。
- RTO 应按您实际可用的技术支持服务时间来设定。
经济数字
美国标准化机构 NIST 将这一步称为确定最大可容忍中断时间（MTD）：即业务总体所能承受的时长，涵盖所有影响。IT 系统的 RTO 必须低于这一数值。针对某项服务，请估算：
- 受阻人数 × 全口径小时成本；
- 无法补回的销售或业务（流失的客户、被取消的诊疗预约）；
- 合同违约金（如有）；
- 企业形象开始受损的时间点，即使它带有主观性，也请写下来。
举例。八人受阻，全口径成本每小时 35 €，无违约金。每小时成本为 280 €，另加未实现的营业额。如果管理层可以接受 1,000 € 的损失，经济 RTO 约为三到四小时。如果因为订单可以顺延而能接受停摆一天，RTO 可以是 8 到 24 小时。
请按服务分别计算。电话总机的 RTO 可能是一小时，而文档归档的 RTO 可能是一周。
技术数字
以上一次测试为准，或者现在就用一份测试副本做一次。从“我们宣布发生事故”开始计时，而不是从“软件完成复制”开始。当一名用户成功完成一项正常操作时停止计时。
如果您从未测试过，就没有技术 RTO，只有一个期望值。此时当务之急是进行测试，而不是在 DRP 和 BCP 之间做选择。法国国家信息系统安全局（ANSSI）提醒：必须编写恢复流程并定期付诸实施，并根据依赖关系（DNS、目录服务）和应用程序的关键程度，预先确定恢复顺序。依赖目录服务的业务服务器，也会继承目录服务的 RTO。
计算表
| 服务 | 每小时停机成本 | 经济 RTO | 上次测试耗时 | 差距 | 决定 |
|---|---|---|---|---|---|
| 报价软件 | 280 € + 销售损失 | 4 小时 | 9 小时 | 5 小时 | DRP 或降级运行模式 |
| 邮件系统 | 如有电话可用则较低 | 24 小时 | 6 小时 | 无 | 备份即可满足 |
| 档案 | 可忽略不计 | 1 周 | 2 天 | 无 | 备份即可满足 |
以上数字仅为示例，请替换为您自己的测量结果。
当两个数字对不上时
恢复耗时九小时，而业务只能接受两小时。
- 减少需要恢复的数据量（将归档数据与活动数据分开）。
- 准备可直接启动的镜像，而不是重新安装。
- 将该服务改用 DRP（预先准备好的备用环境）或 BCP（已处于运行状态的备用环境）。详见DRP 还是 BCP：如何选择？。
- 或者以书面形式承认实际 RTO 为九小时，并为这九小时安排纸质化的降级运行模式。只要是有意识的决定，这就是合理的选择。
ANSSI 在其网络安全危机管理指南中特别强调最后一点：组织必须有能力维持其最关键的业务，必要时以降级模式运行，甚至在没有数字服务的情况下运行。遭受攻击后，恢复工作可能持续数周：硬件故障的 RTO 并不适用于勒索软件攻击。
别忘了服务时间
如果技术支持仅在工作日 9:00 至 17:30 提供，那么一个以技术人员到位为前提的四小时 RTO，在周日是无法达成的。请按您实际可用的技术支持工作时间来设定 RTO，或者付费购买值班服务。否则，周五 18:00 发生事故时的 RTO，实际上就是“周一早上再加四小时”。
WeDoBack 的做法
人工技术支持的服务时间为 9:00–13:00 和 14:00–17:30（巴黎时间），电话 +33 9 72 50 78 28，邮箱 [email protected]。备份监控则全天候运行：这可以缩短发现备份失败的时间，但不能缩短周日的恢复时限。灾难恢复计划（DRP）方案通过在备用实例上重新启动服务器来缩短技术时限，无需等待替换服务器；每月进行一次启动测试，并可申请报价，进行最长 10 小时的真实条件测试以测量您的 RTO。业务连续性计划（BCP）方案由于实例已处于运行状态，可进一步缩短这一时限。但两者都无法消除决策时间和业务验证时间，这些仍计入您的 RTO。
常见问题
如何测算一小时停机的成本？
将受阻人员的全口径小时成本、无法补回的营业额以及可能产生的合同违约金相加。例如，八名员工、全口径成本每小时 35 €，在未计入销售损失之前，每小时成本为 280 €。这个数字可用于与 DRP 或 BCP 的年度成本进行比较。
RTO 与最大中断时间是一回事吗？
不完全是。最大可容忍中断时间（NIST 称为 MTD，ANSSI 称为 DMIA）是业务总体所能承受的时长。RTO 则是 IT 系统恢复运行所需的时限。NIST 建议 RTO 短于 MTD，以保留余量。
如果计算出的 RTO 无法达成，该怎么办？
要么改变架构（可直接启动的镜像、DRP、BCP），要么写明实际 RTO，并在整个期间安排降级运行模式。两种做法都是合理的。不合理的是，继续保留一个已被上次测试否定的数字。
延伸阅读
参考来源
以下文件查阅于 2026 年 10 月。