QAOPS8 补齐备份恢复策略

docs/trialrun/OPS7运维交接Runbook.md

@@ -84,6 +84,26 @@ SYNC_ENV=1 bash deploy/trialrun/deploy.sh
 
 恢复演练只在独立窗口执行。演练记录只写备份文件名、恢复环境、恢复耗时和检查结果，不记录真实文件内容。
 
+QAOPS8 备份策略基线（只定义策略，不执行备份命令）：
+
+| 对象 | 触发频率 | 保留口径 | 验证方式 | 仓库记录 |
+| --- | --- | --- | --- | --- |
+| PostgreSQL 数据库 | 每次受控部署或 R7E 窗口前；R7E 期间每日收口后 | 最近 7 天每日备份 + 每次部署前基线 | 非生产环境 `pg_restore --list` 或抽样恢复演练 | 只记录备份文件名、时间、负责人和校验摘要 |
+| 上传附件 / 对象存储 | 与数据库备份同窗口执行 | 与对应数据库备份保持同一批次 | 抽样校验文件数量、大小和关键附件下载 | 不提交真实附件，只记录路径占位和校验摘要 |
+| 运行配置 | 每次 `.env`、Caddy、Compose、systemd 或环境变量变更前后 | 最近 3 个可回滚版本 | 校验配置 hash、权限和敏感字段不外泄 | 不记录 secret 明文，只记录版本和外部安全存放位置 |
+| 部署包 / commit | 每次部署 | 当前版本 + 上一可用版本 + 本轮试运行基线 | 部署后 `/ready`、public bundle、live readiness | 记录 commit、部署时间和验证摘要 |
+
+QAOPS8 恢复演练方案（执行前必须再次确认窗口）：
+
+1. 确认演练窗口、负责人、回滚联系人、影响范围和停止条件。
+2. 冻结演练期间的写入或改用隔离环境；生产恢复演练必须先备份当前状态。
+3. 在非生产或隔离环境恢复数据库备份，确认 schema、迁移状态和关键表可读。
+4. 恢复附件或对象存储备份，抽样检查报销详情、附件下载和财务台账。
+5. 使用目标 commit 或部署包启动应用，执行 `/ready`、public bundle、登录、报销详情、附件下载和财务台账检查。
+6. 记录 RTO/RPO 实测值、失败点、修正动作和是否允许进入 R7E 或上线窗口。
+
+R7E 前演练口径：RTO/RPO 先作为演练实测值记录，不承诺正式 SLA；若无法在确认窗口内完成恢复验证，R7E Go/No-Go 必须判定为 Pause 或 No-Go。
+
 ## 6. 账号交接
 
 R7 前账号交接只记录角色和交付状态：