备份方案里最容易被跳过的两个词，是 RPO 和 RTO，可它们恰恰决定了出事那天学校能挽回多少、要停多久。看懂这两个指标，比听「我们有备份」这句承诺更有用，也更容易在评审时问到点子上。
RPO，恢复点目标，衡量的是最多能丢多少数据，用时间表示。如果 RPO 是 24 小时，意味着系统只保证每天备份一次，故障发生时当天新产生的答卷、报告和预警记录可能全部丢失。对一所正在做全校普查的学校，这可能是几千份刚交的答卷，重新组织学生补测的成本远高于当初省下的采购差价。想把 RPO 压到几分钟，通常要靠数据库日志的持续归档或近实时同步，而不是每天一次的全量备份；RPO 越短，对存储和带宽的要求越高，价格也会随之上去，采购时得清楚自己愿意为这段窗口付多少。
RTO，恢复时间目标，衡量的是从故障发生到系统重新可用最多需要多久。RTO 是 4 小时还是 2 天，直接关系到普查能不能按原计划继续、家长和老师会不会在等待中失去信任。备份存在，不代表恢复得快；把异地冷备份拉回、重建环境、逐表校验数据一致性，都要时间，这段时间就体现在 RTO 上。想缩短 RTO，通常要预先准备好热备或温备环境，而不是等故障发生才现搭。两个指标要一起看：RPO 保证「丢得少」，RTO 保证「回得快」，只满足一个都不算安全。橙星云在这类项目里会把 RPO、RTO 和恢复演练一起写进服务说明，让学校在签约前就清楚最坏情况下能守住什么、要等多久。
学校采购时容易只问「有没有备份」，却不问这两个数字。更该确认的是：备份多久做一次、保留多少个历史版本、异地是否有独立副本、以及是否真正演练过恢复。业内常用的 3-2-1 原则——至少三份数据、两种介质、一份放异地——可以拿来对照，逐条问下来就知道对方的方案有没有虚。没演练过的备份，RTO 只是纸面承诺，真出事时可能远超预期，甚至发现备份文件根本无法还原。恢复演练也不只是跑一遍脚本，还要确认还原出来的数据能正常打开报告、预警记录没有错位、账号权限没有丢失。
此外，异地副本本身也要加密存放并限制访问权限，否则备份份数越多，可能被泄露的面反而越大。心理测评数据涉及学生隐私，一旦丢失或长时间不可用，影响的不只是普查进度，还有学校对家长的交代，这也是这两个指标值得在合同里写死、并要求定期提交演练报告的原因。