# RTO 利弊权衡
> 针对 RTO （Recovery Time Objective）进行利弊权衡，在故障恢复速度与误切风险之间找到最佳平衡点。
---
LLMS index: [llms.txt](/llms.txt)
---
**RTO**（Recovery Time Objective，恢复时间目标）定义了在主库发生故障时，**系统恢复写入能力所需的最长时间**。
对于核心交易系统这类可用性至关重要的场景，通常要求 RTO 尽可能短，例如一分钟内。
然而更短的 RTO 指标是有代价的，它会增加误切风险：网络抖动可能被误判为故障，导致不必要的故障切换。
因此对于跨机房/跨地域部署的场景，通常需要放宽 RTO 要求（例如 1-2 分钟），以降低误切风险。
--------
## 利弊权衡
故障切换时的不可用时长上限由 [**`pg_rto`**](/docs/pgsql/param#pg_rto) 参数控制。Pigsty 提供了四种预设的 RTO 模式：
`fast`、`norm`、`safe`、`wide`，分别针对不同的网络条件与部署场景进行了优化，默认使用 `norm` 模式（约 45 秒）。
当主库发生故障时，整个恢复流程涉及多个阶段：Patroni 检测故障、DCS 锁过期、新主选举、执行 promote、HAProxy 感知新主。
减小 RTO 意味着缩短各阶段的超时时间，这会使集群对网络抖动更加敏感，从而增加误切风险。
您需要根据实际网络条件选择合适的模式，在 **恢复速度** 与 **误切风险** 之间取得平衡。
网络质量越差，越应该选择保守的模式；网络质量越好，越可以选择激进的模式。
```mermaid
flowchart LR
A([主库故障]) --> B{Patroni
检测到?}
B -->|PG崩溃| C[尝试本地重启]
B -->|节点宕机| D[等待 TTL 过期]
C -->|成功| E([本地恢复])
C -->|失败/超时| F[释放 Leader 锁]
D --> F
F --> G[从库竞选]
G --> H[执行 Promote]
H --> I[HAProxy 感知]
I --> J([服务恢复])
style A fill:#dc3545,stroke:#b02a37,color:#fff
style E fill:#198754,stroke:#146c43,color:#fff
style J fill:#198754,stroke:#146c43,color:#fff
```
-----------------
## 四种模式
Pigsty 提供四种 RTO 模式，以帮助用户在不同的网络条件下进行利弊权衡。
| **名称** | **fast** | **norm** | **safe** | **wide** |
|:-----------|:------------------------------------------:|:-----------------------------------------:|:-----------------------------------------:|:-----------------------------------------:|
| **适用场景** | 同机柜 | 同机房内（默认） | 同省跨机房 | 跨地域/跨洲 |
| **网络条件** | < 1ms，极稳定 | 1-5ms，正常 | 10-50ms，跨机房 | 100-200ms，公网 |
| **目标 RTO** | **30s** | **45s** | **90s** | **150s** |
| **误切风险** | **较高** | **中等** | **较低** | **极低** |
| **配置方法** | `pg_rto: fast` | `pg_rto: norm` | `pg_rto: safe` | `pg_rto: wide` |
{.full-width}
fast：同机柜/同交换机
- 适用于网络延迟极低（< 1ms）且非常稳定的场景，例如同机柜或同交换机部署
- 平均 RTO: **14s**，最坏情况: **29s**，TTL 仅 20s，检测间隔 5s
- 对网络质量要求最高，任何抖动都可能触发切换，**误切风险较高**
norm：同机房（默认）
- **默认模式**，适用于同机房部署，网络延迟 1-5ms，质量正常，丢包率合理
- 平均 RTO: **21s**，最坏情况: **43s**，TTL 为 30s，提供合理的容错窗口
- 平衡了恢复速度与稳定性，适合绝大多数生产环境
safe：同省跨机房
- 适用于同省/同区域跨机房部署，网络延迟 10-50ms，可能存在偶发抖动
- 平均 RTO: **43s**，最坏情况: **91s**，TTL 为 60s，更长的容错窗口
- 主库重启等待时间较长（60s），给予更多本地恢复机会，**误切风险较低**
wide：跨地域/跨洲
- 适用于跨地域甚至跨大洲部署，网络延迟 100-200ms，可能有公网级别的丢包率
- 平均 RTO: **92s**，最坏情况: **207s**，TTL 为 120s，极宽的容错窗口
- 牺牲恢复速度换取极低的误切率，适合异地容灾场景