评估研发平台备份保留策略，核心是把恢复点目标（RPO）和合规留存期分别转成可复算的指标，再用同一评审时间窗核对：恢复点能否达成、留存期能否覆盖合规要求、存储成本是否在预算内。三项同时满足才算达标，任一不满足就需要调整备份频率、保留层级或存储介质。下文给出一套可复算的评估方法，包括指标口径、证据清单、计算公式和季度算例，评审记录与整改工作项可以借助 ONES 工作项统一承载。
要点总览（TL;DR）
- 评估对象是备份保留策略本身，把恢复点、合规留存、存储成本三项约束放在同一评审周期内逐项判定，三项同时满足才算达标。
- 核心指标有三个：恢复点达成率（达标备份次数÷应备份次数）、留存覆盖率（实际可回溯天数÷合规留存天数）、恢复验证通过率（演练通过次数÷演练总次数）。
- 证据分三类：备份执行记录、恢复演练记录、留存台账；备份成功日志只能证明产生过备份，可恢复性要靠演练验证。
- 分母为零时标注不适用，数据缺失列为待核实，不按0%或100%处理；不同数据级的留存覆盖率分别列示，不直接平均。
- 达标线来自业务约定、内部制度和行业要求，合规留存期变化时需重算历史区间；评审结论要落到调整备份间隔、保留层级或演练频次的具体动作。
评估目标：策略要同时回答哪三个问题
评审对象是备份保留策略本身，包括备份频率、保留层级、保留时长、存储介质和删除规则，而不是某一次备份任务是否执行成功。单次任务成功只能说明那一刻产生了备份，无法说明策略在整段评审周期内是否持续满足要求。把评审对象固定在策略层面，才能避免用一条成功日志代替整体判定。
策略要同时回答三个问题。第一，恢复点能否达成：在评审周期内，相邻两次可用备份的间隔是否始终不超过该级数据的 RPO。第二，留存期能否覆盖合规要求：备份链实际可回溯的天数是否达到制度或合同规定的最短留存期，且在不可删除期限内没有被提前清理。第三，成本是否在预算内：为满足前两项而增加的备份频率、保留层级和异地副本，其存储与运维开销是否落在批准范围内。
三项约束的判定关系是“与”而不是“或”。恢复点达成但留存不足，遇到合规审计仍然不通过；留存足够但恢复点稀疏，故障时只能恢复到较早时点，业务损失不可接受；前两项都满足但成本大幅超支，策略同样需要重新设计。评审结论应当逐项给出达标或不达标，并说明不达标项对应的调整动作。
| 约束项 | 要求来源 | 判定方式 |
|---|---|---|
| 恢复点 | 业务连续性约定、系统重要性分级 | 计算恢复点达成率，核对是否达到该级设定阈值 |
| 合规留存 | 内部制度、行业监管要求、合同条款 | 计算留存覆盖率，核对不可删除期限是否被遵守 |
| 存储成本 | 年度预算、容量规划 | 对比实际备份存储开销与批准预算，评估增量成本 |
指标与范围：按数据对象分级确定评估口径
研发平台的数据重要性和合规属性差异很大，用一套 RPO 和留存期覆盖全部数据，会导致核心数据保护不足、低价值数据过度保留。评估前先按数据对象分级，为每一级单独设定指标口径。
常见分级示例如下。代码仓库承载核心研发资产，通常要求较短的 RPO，留存期按内部制度和合同约定设定。需求与缺陷记录反映项目过程，RPO 可以略宽，留存期往往与项目归档要求挂钩。构建产物数量大、可重建性强，RPO 和留存期可以相对宽松，但发布版本的产物需要单独考虑。日志与审计记录的直接用途是追溯和合规检查，RPO 要求不一定最严，留存期却常常最长，并且需要满足不可删除要求。
每一级的 RPO 和留存期都要写明来源：来自业务连续性约定、内部管理制度还是行业监管要求。来源不同，变更时的重算范围也不同。统计范围同样要事先固定，包括评审时间窗（例如一个季度）、纳入统计的备份任务清单、排除项及排除理由。排除项要逐条记录，例如某类临时环境数据不纳入本次评审，避免事后因口径变化导致结果不可比。
| 数据对象 | RPO 要求（示例口径） | 留存期来源 | 时间窗 | 分母定义 |
|---|---|---|---|---|
| 代码仓库 | 不超过 4 小时 | 业务连续性约定 + 内部制度 | 本季度 | 按计划应执行的备份次数 |
| 需求与缺陷记录 | 不超过 24 小时 | 内部制度 + 项目归档要求 | 本季度 | 按计划应执行的备份次数 |
| 构建产物 | 不超过 24 小时 | 内部制度 | 本季度 | 按计划应执行的备份次数 |
| 日志与审计记录 | 不超过 24 小时 | 行业监管要求 + 内部制度 | 本季度 | 按计划应执行的备份次数 |
数据口径与证据：备份记录、恢复演练与留存台账
评估需要三类证据，各自回答不同问题。备份任务执行记录回答“有没有按计划备份”，恢复演练记录回答“备份能不能真的恢复”，留存台账回答“该留的是否还在、该删的是否有审批”。三类证据缺一不可，用备份成功日志代替可恢复性证据是常见误区。
备份任务执行记录应包含任务标识、数据对象、开始与结束时间、执行结果、数据量、存储位置。取数时按评审时间窗筛选，并保留原始记录以便复算。恢复演练记录应包含演练对象、恢复目标时点、实际恢复完成时点、恢复耗时、数据完整性校验结果和校验方法。留存台账应包含备份链起止日期、当前是否可回溯、是否处于不可删除期、删除审批记录及审批人。
缺失值和异常记录要有统一处理规则。任务失败后重跑成功的，按最终成功时间计入；整段窗口无记录的，标注为数据缺失并单独列出，不默认视为达标；存储位置与台账不一致的，以实际校验结果为准并记录差异原因。所有处理规则在评审开始前确定，评审过程中不临时更改。
| 证据类型 | 来源 | 关键字段 | 校验方式 |
|---|---|---|---|
| 备份执行记录 | 备份系统任务日志 | 任务标识、对象、起止时间、结果、数据量、存储位置 | 与备份计划比对，核对应执行次数 |
| 恢复演练记录 | 演练工单与校验报告 | 目标时点、实际恢复时点、耗时、完整性校验结果 | 抽样复核校验方法与样本 |
| 留存台账 | 备份链管理记录、删除审批单 | 备份链起止日期、可回溯状态、不可删除期、审批记录 | 与存储实际内容抽查比对 |
计算步骤：恢复点达成率与留存覆盖率的算法
三个指标都用百分比表达，但分子分母和时间窗必须逐级固定，否则不同季度的结果无法比较。以下公式中的“达标”均指该级数据自身的 RPO 和留存期要求，不设跨级通用阈值。
恢复点达成率 = 达标备份次数 ÷ 应备份次数 × 100%。达标指相邻两次可用备份的间隔不超过该级 RPO。应备份次数按备份计划在评审时间窗内计算，单位为次；时间窗统一为评审周期，间隔比较时统一换算为小时或天。
留存覆盖率 = 实际可回溯天数 ÷ 合规要求留存天数 × 100%。按备份链逐条计算，再按数据级汇总，不跨数据级直接平均。实际可回溯天数从备份链最早可恢复时点算到评审截止日，处于不可删除期内的备份链单独标注。
恢复验证通过率 = 演练通过次数 ÷ 演练总次数 × 100%。通过标准在演练前定义，通常包括恢复到目标时点、完整性校验通过、恢复耗时在可接受范围内。
分母为零时，例如某级数据在本评审周期内没有应备份任务，该指标标注为“不适用”，不计入汇总，也不按 0% 或 100% 处理。数据缺失导致分子无法确定的，单独列为“待核实”，与不达标区分开。
| 指标 | 分子 | 分母 | 时间窗 | 单位 | 缺失值规则 |
|---|---|---|---|---|---|
| 恢复点达成率 | 达标备份次数 | 应备份次数 | 评审周期 | % | 分母为零标注不适用 |
| 留存覆盖率 | 实际可回溯天数 | 合规要求留存天数 | 评审截止日回溯 | % | 台账缺失列为待核实 |
| 恢复验证通过率 | 演练通过次数 | 演练总次数 | 评审周期 | % | 无演练标注不适用 |
例子：一次季度评审的完整算例
以下为演示情景，数据为假设值，用于说明计算过程，不代表任何真实客户环境。评审时间窗为一个季度，按 90 天计，纳入两级数据对象：A 级为代码仓库，RPO 要求 4 小时，合规留存 180 天；B 级为日志与审计记录，RPO 要求 24 小时，合规留存 365 天。
A 级数据按计划每 4 小时备份一次，季度应备份 540 次。执行记录显示其中 522 次成功且相邻间隔不超过 4 小时，18 次因任务延迟导致间隔超过 4 小时。恢复点达成率 = 522 ÷ 540 × 100% ≈ 96.7%。A 级备份链最早可回溯 150 天，留存覆盖率 = 150 ÷ 180 × 100% ≈ 83.3%。A 级本季度演练 4 次，3 次通过，恢复验证通过率 = 75%。
B 级数据按计划每 24 小时备份一次，季度应备份 90 次，实际 90 次均达标，恢复点达成率 = 100%。B 级备份链最早可回溯 400 天，留存覆盖率 = 400 ÷ 365 × 100% ≈ 109.6%，满足要求。B 级本季度演练 2 次，2 次通过，恢复验证通过率 = 100%。
判定结论：B 级三项指标均满足。A 级恢复点达成率未达该级设定阈值，留存覆盖率不足 100%，恢复验证通过率也偏低，判定为不达标。可能原因包括备份任务排队延迟、保留层级设置过短、演练覆盖不足。调整方向示例：将 A 级备份任务的调度优先级提高或错峰执行，缩短实际间隔；增加一个更长保留层级的备份链，使可回溯天数达到 180 天以上；把 A 级演练频次提高到每季度 6 次，并针对失败场景补充校验步骤。调整后需在下一评审周期用同一口径复算，确认改善。
解读与限制：指标达标不等于风险清零
恢复点达成率高，只说明备份按计划产生，不说明备份可用。备份文件损坏、存储介质故障、恢复流程未验证，都可能让高达成率失去意义，因此必须结合恢复验证通过率一起看。反过来，演练通过率基于抽样，样本量小或场景单一，也不能完全代表全部数据的可恢复性。
不同数据级的留存覆盖率不可直接平均。A 级 83.3% 与 B 级 109.6% 平均后看似接近 100%，实际上 A 级仍未满足合规要求。汇总时应按数据级分别列示，必要时按重要度加权，并明确权重来源。
合规留存要求变化时，历史区间需要重算。例如留存期从 180 天调整为 365 天，此前按 180 天设计的备份链在新口径下覆盖率会显著下降，评审结论应说明适用的是哪一版要求。存储成本与保留期存在权衡，延长保留或增加层级会推高容量与运维开销，调整建议应同时给出成本估算和预算影响。
本文不设通用达标线。达标线来自业务约定、内部制度和行业要求，不同团队、不同数据级的阈值可以不同。评审记录、证据附件和整改工作项可以在 ONES 工作项中统一管理，按评审周期回溯整改进度；ONES 提供多样化备份策略适配客户场景，并通过数据备份、分布式存储、实时监控告警等技术措施保障数据安全，具体备份频率、保留层级和恢复指标需结合部署形态与团队实际配置确认。评审结论最终要落到具体动作：调整备份间隔、增加保留层级、更换存储介质或补充演练，并在下一周期复算验证。
常见问题
评审周期内某级数据没有应备份任务，恢复点达成率怎么处理？
分母为零时，该指标标注为“不适用”，不计入汇总，也不按 0% 或 100% 处理。例如某类临时环境数据在本季度没有纳入备份计划，就不参与恢复点达成率的计算。需要同时记录不适用原因，避免下一周期口径变化后无法对比。
如果是因为备份计划漏配导致没有任务，这属于策略缺陷，应单独列为问题项，而不是简单标注不适用。
备份任务失败后重跑成功，恢复点达成率按哪次时间计算？
按最终成功时间计入。达标判断看相邻两次可用备份的间隔是否超过该级 RPO，重跑成功的那次备份以实际完成时间为准。如果重跑导致与上一次成功备份的间隔超过 RPO，该次仍计为不达标。
处理规则要在评审开始前确定并写入口径说明，评审过程中不临时更改，否则同一时间窗内的结果无法复算。
合规留存期从180天调整为365天后，历史评审结论需要重算吗？
需要。留存覆盖率的分母是合规要求留存天数，要求变化后，此前按 180 天设计的备份链在新口径下覆盖率会显著下降。评审结论应说明适用的是哪一版要求，并对受影响的历史区间重算，区分“按旧要求达标”和“按新要求不达标”两种情况。
重算结果同时用于评估现有保留层级是否需要延长，以及延长带来的存储成本增量。
恢复验证通过率很高，是否说明备份策略已经可靠？
不能单独下结论。恢复验证通过率基于演练抽样，样本量小或演练场景单一，覆盖不到全部数据对象和故障类型。恢复点达成率高也只说明备份按计划产生，备份文件损坏、存储介质故障都可能让高达成率失去意义。
判定时应把三个指标放在一起看，并说明演练覆盖了哪些数据级、哪些恢复场景，未覆盖部分列为下一周期补充演练的对象。
评审记录和整改工作项如何与下一周期复算衔接？
评审结论要逐项写明不达标指标、可能原因和调整动作，例如提高备份任务调度优先级、增加更长保留层级、提高演练频次。整改项作为工作项跟踪，记录责任人和计划完成时间。
下一评审周期用同一口径复算，对比调整前后的指标变化，确认改善是否发生。评审记录、证据附件和整改工作项可以在 ONES 工作项中统一管理，按评审周期回溯整改进度；具体字段与流程按团队实际配置。
