备份策略：本地+异机的双保险

开篇：一句话结论

备份成功和恢复成功，是两件完全不同的事。大量公司的备份软件每天傍晚弹一个绿色的对勾，三年没红过一次；真到要还原的那天才发现，从没有人打开过那份副本——它可能是半年前的，可能是空的，也可能压根不是那个系统认得的格式。

所以判断一套备份做得好不好，不要看日志绿不绿，看两个数：RPO（最多能丢多久的单）和 RTO（最多能停多久的活）。两个数定下来，频率和介质才有依据。本文给一份二十人公司能照抄的摆法、一笔停机账的算账口径、每季度一次的验收动作，以及四个最容易想错的地方。

一、绿灯亮了三年，从没打开过一次

行政每天下班前看一眼备份窗口，绿色对勾，收工。老板每季度问一句「备份做了吗」，得到一句「做了」，也就过去了。这套对话在很多贸易公司里重复了三五年，直到某天机器起不来。

问题出在哪？出在「做了」这个字没有验收标准。备份这个动作的成功标志，是源盘上的数据被写进了另一个地方；而公司真正需要的，是那个地方的数据能被读回来、能被系统认出来、能接着开单。两个标志之间隔着一次还原，而绝大多数公司从没做过这一次。

更要命的是，副本失效的方式是静默的。换过一次软件版本，旧副本在新环境里打不开；改过一次字段结构，三个月前的协议价查不出来；负责备份的人走了，没人知道第二份在哪台机器、第三份在谁家里。这三种情况都不会报错，日志照样是绿的。

中美两地的安全机构在公开指南里给出的建议很朴素：离线且加密的副本，加上定期演练还原动作。前一句防的是勒索，后一句防的正是上面那三种静默失效。

本地形态下这件事的责任怎么分，完整口径放在本地部署形态的对比口径专题里。

二、先定两个数，其余都从这两个数倒推

RPO：最多能丢多久的单

RPO 是恢复点目标，翻译成人话：最坏情况下，你接受丢掉多长时间里新增的业务。

元器件贸易公司多数定一天。理由是当天开的单、出的货、收的款，凭纸质单和聊天记录能在半天内补齐；丢掉更多就说不准了。定一天，意味着每天至少留一次完整副本，且这次要发生在当天业务结束之后。

也有公司定半天：高频小单、一天几十单的现货商，补半天的单也要两个人忙一上午。代价是副本数量翻倍、管理变啰嗦，所以要按自己的单量权衡，不是越短越好。

RTO：最多能停多久的活

RTO 是恢复时间目标，人话是：从机器趴下到能重新开单，你最多能忍多久。

现货商通常定四小时。因为客户上午问价，下午就要答案，停一整天等于当天询盘全丢。定四小时，意味着副本不能放在需要重装系统才能拿到的地方，也不能放在只有一个人知道口令的地方——找到人这件事本身就可能耗掉两小时。

两个数一定，频率和介质就定了，不需要再拍脑袋。RPO 一天 → 每天一次；RTO 四小时 → 至少有一份副本能在半小时内拿到手并直接打开。

三类公司，两个数怎么取

没有放之四海皆准的取值，只有跟自己单量和单值匹配的取值。参考分档如下：

注意第三行：RTO 放到八小时不是因为不在乎，是因为这类公司真出事时，瓶颈通常在人不在机器——把链条上的记录找齐就要大半天，把机器修好只需要两小时。指标要定在瓶颈上，不然会为了一个用不上的数字多花一倍的钱。

三、副本摆几处：本机之外，还得有另一台机器

行业通行的做法是留三份、用两种不同介质、其中一份离开这栋楼。对二十人公司，落到具体位置是这样：

三个要点，每一个都是踩过坑才记住的。本机那份拷完要断开连接——一直挂着主机，主机中招时它一起中招。备用机那份必须在另一台机器上，不是同一个机箱里的第二块盘，后者扛不住主板和电源出问题。带离那份要真的出了这栋楼，挪到隔壁房间不算，那只是多了一个房间。

双机加异机副本，是这套摆法里最容易被省掉的一层。本机之外再有一台机器承担副本，成本几乎为零——闲置那台旧电脑平时没人用，让它每周存一份就行——但它扛的是「主用机器整台报废」这一类事故。只在本机留两份，本质上是把鸡蛋放在同一个篮子的两个格子里。

四、验收：一个季度演一次，四步

副本的有效性只有一种证明方式——还原一次。四步验收，每步都要有结论：

• 第一步，在那台备用机上把最近那一版还原出来，不要在原机上覆盖。
• 第二步，用还原出来的环境走一张完整的单：询价、报价、出库、收款。全链路走得通，说明数据之间的关系没断，不是只拷回来半张表。
• 第三步，抽查两个历史断点：半年前一家客户的协议价，一年前的一笔收款记录。两个都查得到，说明历史是完整的。
• 第四步，把还原用时、暴露出的问题、下次改什么记下来，签字。

还原用时超过 RTO，就要调频率或者调介质。这一步是唯一能把静默失效提前暴露出来的办法。

演练最容易暴露三件事：版本变了、字段变了、人变了。三件都是平时看不出来的，也都是「我们有备份」这句话变成空话的常见原因。

还有一层要想清楚：如果数据本来就不在自己手上，备份这件事你说了不算。服务商出问题时是什么处境，这篇拆过：供应商突然不做之后数据归谁。

五、停一天，账上少多少

备份的投入算得清，停机的损失多数公司没算过。算过一次，频率就不用再催了。

口径是这样的，把你自己公司的数代进去：

• 营业额那一块：一个工作日的出货单量，乘以客单价，得到当天流水；再乘毛利率，得到当天毛利。二十人规模的现货商，单量按几十单、客单价按几千元、毛利按十来个点代入，一天的毛利是五位数的量级。
• 人工那一块：单据重录按三个人、三天算，每人每天按几百元计，是四位数。
• 订单流失那一块：当天询盘没能报价造成的流失，难以计量，一般不计，但心里要有数。

三块加起来，一次事故的直接成本落在五位数这个区间。而备份这一侧的投入是：一块几 T 的移动硬盘几百元，闲置那台旧机器是现成的，带离那份用老板住处的机器也是现成的；按三年折旧算，一年不到两百元。加上每人每月花在备份与演练上的半小时，一年约十二个工时。

两个数摆在一起，结论不用多说：这是贸易公司里投入产出比最高的一项支出，因为它防的是那种「一次打掉几个月利润」的事件。

六、写进台账：四个频率、四个人

人治的版本是老板想起来问一句，行政回一句做了，下次忘了问，也就没人做了。半年后外接盘早就满了、早就坏了，没人知道。

机制的版本是四行台账：日终由行政执行本机那份并打勾；周内最后一天由另一个人确认备用机上那份到位，确认的是「最后一次成功的日期」，不是「软件在不在跑」；月度收尾由老板把带离那份带走；每季度做一次四步验收并签字。

四条节奏、四个责任人。一年合计不到两个工作日，防的是一次好几天的混乱。

落到系统这一侧，能帮上的是三处。太帅ERP 装在办公室自己的机器上，整套账也落在本机，留一份副本不必向谁打报告，业务照跑也不用停；账目这一层每天会存一次当天状态，配合日终那一份，可以把某一天单独拎出来；库存与出入库的流水留痕，还原之后能对着流水核对。模块有多少个不影响这件事——数据库是一个整体，一份副本覆盖全部内容。模块那一层到底覆盖了哪些流程，写在这篇里：十五个以上模块的覆盖范围。

七、四个容易想错的地方

• 买了盘、设了自动任务，就算做完了。错在没有验收。正确的是：每季度在备用机上还原一次，能走完整张单、能查到一年前的收款，才算这一份有效。
• 三份都在同一栋楼里。错在低估了物理风险。正确的是：带离那份要挪出这栋楼，最省事的做法是老板每月把盘塞进包里带回住处一趟。
• 只算设备钱，不算停机钱。错在把备份当成一笔杂费。正确的是：把一天的毛利和重录人工算出来再对比，频率就不用催了。
• 数据在自己机器上就不用管备份了。正好相反：数据在自己手上意味着这件事没有第二个人替你做，主控权不等于免备份权。

FAQ

一天留一次够不够？

看 RPO。多数贸易公司定一天——最坏丢当天新增的单，凭单据存根和聊天记录能补。高频小单的可以把频率提到半天一次，代价是副本变多、管理变啰嗦。

副本要留多久？

本机那份 30 天、备用机那份 12 周、带离那份 6 个月，是给二十人公司的起点建议。涉及税务与对账的年度数据单独归档一份长期留着，具体年限按你自己的财务要求定。

物理上分开这一步，能不能用网盘顶替？

网盘能顶「异地」这一条，顶不了「离线」这一条。抗勒索要靠主机改写不了的那一份，网盘如果开着自动同步，主机上的文件被加密之后，加密版一样会被同步上去。两条都要满足，网盘只能作为带离那份的补充，不能替换。

验收太麻烦，能不能一年做一次？

业务稳定的时候每季度一次是合理节奏。降到一年一次，中间如果换过机器、升过版本，旧副本未必还能还原，敞口会明显变大。

演练时发现问题，下一步怎么办？

先记下来，再按类型处理：还原失败就查版本和介质；查不到历史记录就查字段结构；找不到第二、第三份就补台账并重新指定责任人。三种问题都要在当次记录里写清改进项和责任人。

收尾

回到开篇那句话：备份成功不等于恢复成功。绿色对勾说的是「写进去了」，四步验收说的是「读得回来」——中间那一次还原，才是这套策略里唯一不能省的动作。

先给自己定两个数：最多能丢多久的单，最多能停多久的活。两个数一定下来，摆几份、多久一轮、谁负责，就都不是问题了。

先定两个数，再谈买什么盘

RPO 定一天、RTO 定四小时、三份分开放、一个季度验一次——这套东西不依赖预算，依赖的是有人签字。先按自己公司的单量把那笔停机账算出来，再决定每周花多少人在上面，顺序反了容易买一堆用不上的设备。

主 CTA：先算一笔账，再决定要不要看系统 次 CTA：继续读：本地部署ERP的备份方案：一个文件恢复全部数据 → 本地部署ERP的备份方案：一个文件恢复全部数据