MTTR

概述 凌晨三点，手机震动。告警群炸了 200 条消息，用户投诉已经涌进客服群。你爬起来打开电脑，登录跳板机，发现某个核心接口 P99 飙到 8 秒。接下来 30 分钟你都在翻日志、查 Grafana、问上下游——最终定位到是某个配置中心推了一行错误参数。 这个场景太熟悉了。在我经手的上百次线上故障中，定位环节消耗的时间占 MTTR 的 60% 以上。恢复操作本身可能只要 2 分钟（回滚、重启、切流量），但找到"到底哪里出了问题"往往要花 20-30 分钟。 MTTR（Mean Time To Repair/Recovery）衡量的是从故障发生到服务恢复的平均时间。但这个数字是个黑盒——30 分钟的 MTTR 里，到底哪些环节在拖后腿？检测花了多久？响应花了多久？定位花了多久？恢复花了多久？不拆开看，优化就无从下手。 这篇文章拆解我在某出行项目和某电商项目中实战验证的 MTTR 优化体系——四层防御模型：检测层、响应层、定位层、恢复层。每层有具体的工程手段和度量指标，不是空谈方法论。最终效果：核心服务 MTTR 从 40 分钟降到 8 分钟，故障定位时间从 30 分钟降到 5 分钟。 MTTR 拆解：你优化的是哪个环节 很多人把 MTTR 当成一个整体来优化，这是错的。MTTR 至少要拆成四个阶段： 阶段 全称 含义 典型耗时 优化重点 MTTD Mean Time To Detect 从故障发生到告警触发 1-5 min 监控覆盖、SLO 告警 MTTA Mean Time To Acknowledge 从告警触发到有人开始处理 2-10 min On-Call 机制、告警路由 MTTI Mean Time To Identify 从开始处理到定位根因 10-30 min 可观测性、诊断工具 MTTR Mean Time To Restore 从定位根因到服务恢复 1-5 min 回滚、自愈、预案 注意 MTTR 有两种常见解读：Repair（修复）和 Recovery（恢复）。SRE 语境下我更推荐用 Recovery——目标是恢复服务而非彻底修复 Bug。彻底修复是 Postmortem 之后的事（相关文章：故障复盘改进项跟踪）。...

概述 凌晨两点，你被电话吵醒。监控大屏一片红，核心交易链路 P99 延迟飙到 8 秒，上游服务开始超时熔断，客服群里用户截图已经刷屏了。你一边远程连 VPN，一边脑子里飞速转——这场景上次演练时见过吗？预案里有没有覆盖？切换步骤还记得吗？ 如果你这时候还在翻 wiki 找文档，那说明一件事：你的预案只是写了，没练过。 故障预案不是写完就完事的文档。它是一套需要反复演练、不断修正的应急肌肉记忆。就像消防队不会只在纸上画逃生路线——他们会点真火，拉真警报，让人在浓烟里跑。SRE 的故障演练也是同一个道理：不逼团队在接近真实的故障场景里做决策，到了真正出事的时候，你永远不知道谁会卡壳。 这篇文聊聊怎么把故障预案从"写给别人看的文档"变成"团队真正能执行的作战手册"，以及怎么设计演练体系让团队保持手感。 故障预案的本质：不是文档，是决策树 预案要解决什么问题 很多人把故障预案理解成一份操作手册——“如果 A 挂了，执行步骤 1-2-3”。这没错，但太浅了。真正有用的预案是一棵决策树，帮值班人员在高压环境下快速做对三件事： 判断故障等级——这事值不值得半夜叫人？叫到哪一级？ 选择止损路径——先切流量、先回滚、还是先扩容？ 确定沟通节奏——谁对外发声、多久同步一次、什么时候升级 我见过太多预案写得像产品说明书，事无巨细地列了 50 个步骤，值班同学在故障现场根本来不及看。好的预案应该短、狠、准——能在 30 秒内定位到对应的处置方案，3 分钟内开始执行止损。 预案体系的三层结构 层级 内容 目标读者 更新频率 L1 应急卡片 单服务故障的快速处置步骤（≤10 步） 值班 On-Call 每次演练后 L2 灾备预案 跨服务故障的切换方案与回滚流程 SRE 团队 每季度 L3 业务连续性预案 机房级故障的全面接管方案 SRE + 业务方 每半年 L1 应急卡片是日常用得最多的。它不是 wiki 上的长文，而是一张可以打印出来贴在工位上的卡片。格式很简单： # [服务名] 应急卡片 ## 故障特征 - 核心指标：P99 延迟 > 500ms 或 错误率 > 1% - 典型告警：service_latency_p99_critical / service_error_rate_high ## 快速止血（按优先级） 1....