容灾演练和预案文档有什么区别？

墙上的疏散示意图画得再标准，没跑过一次演习，火灾时照样乱成一团。大模型服务的容灾也一样：预案文档负责把「出事怎么办」想清楚、写明白，容灾演练负责验证「照着做真能恢复」。结论先给：文档是思想的载体，演练是肌肉的记忆，只写不练等于没有预案。

预案文档管的是想清楚

一份合格的预案要回答四件事：哪些故障算灾害、按什么优先级恢复、每一步谁负责、恢复到什么程度算达标。它把散在各人脑子里的经验固化成文字，新人照着也能操作。写文档的过程本身就是梳理——很多平时没人质疑的隐患，写到「备用资源在哪」这一栏时才暴露出来。优先级怎么排？按业务影响倒推：哪些服务停一小时影响最大就排最前，别按系统复杂度排序。可以先用腾讯元宝或智谱清言起草框架，再由熟悉系统的人填实细节，速度会快不少。

演练管的是跑得动

演练把文档放进真实环境里检验：按预案把流量切到备用链路、把服务拉起来、把数据回灌，掐表记录每一步耗时。跑一次就会发现，文档里「切换备用模型」这六个字，实际包含查参数、改配置、预热、验证四道工序，写的时候没人意识到。演练的价值正在于把纸面时间变成真实时间。演练要指定专门的记录员，逐项记录实际耗时和卡点，事后这些记录就是文档修订的原料。

文档常见的水分在哪

三类水分最常见：联系人早已离职、备用资源已经到期释放、步骤跳过了「常识性」前提。文档过期不会发出任何信号，只有演练能揭穿它。文档存放在哪也有讲究，故障时若连文档系统一起挂，再好的预案也调不出来，至少留一份离线副本。所以每次演练后要当天回写文档，改掉的每一行都注明日期和原因，让文档保持活着的状态。

四类水分摆在一起，回写时更不容易漏。

演练怎么排进日程

别等大项目上线才想起来。给演练定个固定节奏：季度一次全流程切换，月度一次单项演练，比如只验备用模型的拉起速度。拉起环节涉及冷启动排队的话，预热动作要写进预案，细节见冷启动优化和常驻优化。恢复过程中判断「系统到底正不正常」靠监控说话，指标口径提前对齐，参考自建监控和托管监控。

让两者互相喂养

成熟团队的循环是这样的：文档指导演练，演练暴露文档漏洞，回写文档，下次演练验证修改。演练中发现切换耗时超预算，就回头优化架构；文档里发现职责不清，就当场指定到人。压测和演练是近亲，前者验证容量、后者验证流程，脚本可以互相复用，做法见压测流量和真实流量。容量规划相关的资源估算若出现偏差，恢复时间会失控，显存这关尤其要算准，参考显存够就能跑的误区。

速查表

• 形态：文档是静态约定，演练是动态检验
• 暴露方式：文档靠评审发现问题，演练靠计时暴露问题
• 过期风险：文档无声过期，演练强制保鲜
• 合格标准：新人拿着文档能跑通一次完整恢复
• 覆盖范围：核心链路先行，边角业务缓行

一句口诀：写下来只是及格线，跑起来才算数。

容灾演练和预案文档快问快答三则

• 小团队没时间搞演练怎么办？：把范围缩到最关键一条链路，每季度花两小时跑一遍切换加恢复，性价比远高于写厚厚一本文档。关键是从最怕发生的那一种故障开始练。
• 演练影响了线上业务算事故吗？：不算，前提是提前声明、安排在低峰期、备好一键回切，演练本身就该有预案。
• 资源估算错误会拖垮恢复吗？：会，备用环境算力不足会让恢复时间翻倍，容量口径常见错误见显存估算公式误区。

预案是纸上的退路，演练是脚下的退路。真出事那天，靠的是练过的手，不是收藏夹里的文档。每次演练花掉的两小时，都是在给未来的故障夜提前铺路。