最小备份集 · 脱敏导出 · Gateway 冷启动 · 通道全量重连
谁会遇到什么问题：OpenClaw 已在生产或准生产运行，却缺少「整机换盘、误删配置、密钥轮换后」的可复现恢复路径；常见症状是 Gateway 能起，但 Slack、Discord、Telegram 等通道集体掉线或 silently fail。本文给出的结论：用最小备份集、脱敏导出包、冷启动检查顺序与通道一对一对照表，把 RTO/RPO 从口号落到工单字段。你将带走：五类灾备风险、备份要/不要对照表、六步脱敏清单、六步冷启动 Runbook、通道侧与 Gateway 侧对照矩阵、季度演练记录模板；并与可持续升级、三通道排障、运行期排障、生产加固等长文互链。
01升级回滚文档解决的是版本与端口冲突，灾备解决的是身份与外部系统关系丢失。只备份仓库而不备份 Gateway 与工作区边界，会在恢复后表现为「模型能调用但通道全哑」；反过来把完整日志与密钥原样打进共享盘，又会在合规上踩雷。与可持续升级与备份钉扎交叉阅读时，请把升级前备份视为高频小集，把灾备演练视为低频全集：前者服务日常变更，后者服务灾难假设。
第二类风险是路径漂移：恢复机器上 Home 路径、守护进程标签与旧机不一致，导致配置找到了但服务没挂上去。第三类是通道秘密与回调 URL 成对失效：IM 平台侧 token 仍有效，但公网入口或 TLS 证书已换，Gateway 日志里会出现大量回调错误却被误判为模型配额。第四类是双安装与 PATH 污染，在冷启动时拉起旧二进制，读新配置，造成半兼容状态。第五类是演练从未真跑：Runbook 停留在文档库，真正换机时才发现缺字段模板与负责人时间窗。
只备份 Git 不备份 Gateway 边界：恢复后「能编译不能收消息」，与三通道排障症状类似但根因在缺失配置面。
把密钥明文贴进工单：违反最小暴露原则，审计无法通过。
日志全量复制：体积与隐私双爆；应定义保留窗口与字段白名单。
忽略守护进程名与 launchd/systemd 单元：冷启动后进程存在但健康检查失败。
演练不做回滚到快照：无法验证 RPO 是否真实成立。
| 对象 | 灾备包建议 | 理由摘要 |
|---|---|---|
| Gateway 配置与版本钉 | 要 | 决定监听面、路由与通道绑定；与升级文对齐字段名 |
| 长期 API 密钥与 bot token | 要（加密仓） | 恢复后必须能证明身份；禁止进明文附件 |
| 工作区与 AgentSkills 路径 | 要（结构+哈希） | 与生产加固技能审计字段一致 |
| 全量访问日志 | 不要默认带 | 采样窗口与脱敏规则先行 |
| 临时下载目录 | 不要 | 可重建；携带只会放大泄露面 |
灾备包的目标不是「复制整台电脑」，而是「在干净机上重建同一外部契约」。
脱敏不是「打码好看」，而是让 on-call 在不扩大暴露面的前提下复现问题。与运行期排障的最小复现包一致：应能还原版本、通道类型、错误码片段与时间线，但不能还原完整 webhook 秘密或用户私信内容。下面六步是导出前自检顺序，建议写进变更系统必填字段。
固定版本四元组：CLI 版本、Gateway 构建标识、Node 运行时、操作系统补丁级别。
通道枚举：列出已启用通道与各自「最后成功回调」时间戳，不含 token 本体。
配置结构摘要：用树状路径列出关键文件存在性，可对敏感值用占位符。
错误片段：截取最近 N 条与通道或 TLS 相关的日志行，截断到固定字节上限。
网络判据：出口 IP、证书指纹、反向代理规则版本号（若适用）。
负责人与时间窗：谁批准了此次导出、预计销毁时间。
硬禁止：不要把 Slack signing secret、Discord bot token、Telegram bot token 明文写入共享盘或 IM 粘贴；用加密仓或平台侧轮换流程替代。
冷启动顺序刻意与多平台安装与守护对齐：先确认「只有一个 Gateway 在监听」，再谈通道。每一步都应有「通过/失败」判据，失败时不要跳到「重装」而应回到证据表定位是 PATH、单元文件还是端口占用。
确认安装面唯一：which 与包管理器全局路径对拍，排除双安装。
拉起守护进程并记录单元名：与安装文对照 launchd/systemd 标签。
绑定面检查：监听地址是否落在预期接口，是否被 VPN 或防火墙改写。
健康与 doctor 类命令：把输出写入工单索引字段而非截图散落。
最小通道探针：在全量重连前先做单通道探针，避免多变量并发。
时间同步与 TLS 链：时钟漂移与中间证书过期是冷启动高发病因。
export OC_EXPORT_DIR="./openclaw-drill-$(date -u +%Y%m%d%H%M%SZ)"
mkdir -p "${OC_EXPORT_DIR}/redacted"
openclaw version > "${OC_EXPORT_DIR}/version.txt" 2>&1
openclaw gateway status > "${OC_EXPORT_DIR}/gateway-status.txt" 2>&1 || true
openclaw channels status > "${OC_EXPORT_DIR}/channels-status.txt" 2>&1 || true
tar -czf "openclaw-drill-bundle.tgz" "${OC_EXPORT_DIR}"
提示：样例命令仅收集状态文本；请在你的环境替换为经安全评审的导出脚本，并限制 tar 包权限。
恢复后「Gateway 健康但消息不回」多半落在回调可达性或权限范围变更，与模型路由无关。下表给出排查时应对照的最小字段集；细节步骤请回到三通道接入与排障逐步执行，不要在未确认回调 TLS 前反复轮换模型密钥。
| 通道 | IM 侧必查 | Gateway 侧必查 |
|---|---|---|
| Slack | App 权限范围、事件订阅 URL、签名密钥版本 | 回调路由、TLS 证书链、出站 allowlist |
| Discord | Intent、Bot 可见范围、网关 URL | WebSocket 升级路径、反向代理超时 |
| Telegram | Webhook 模式与证书上传、白名单 IP | 公网入口端口、NAT 会话保持 |
若团队同时使用多模型分档与主备路由，请在通道恢复之后再切模型，以免把通道错误归类为模型配额耗尽；对应字段见多模型分档长文。全量重连完成后，应保留一次「从收到测试消息到首次工具调用成功」的时间戳，作为季度演练基线。
下列三条是可写进演练附件的经验阈值，用于立项前核对；请用你方真实演练数据替换。RTO 指从宣布灾难到「首个通道收到测试消息」的时间；RPO 指可接受丢失的配置变更窗口，应与配置管理工具的历史粒度一致。
| 组织规模 | 合规要求 | 演练频率 | 第一选择 |
|---|---|---|---|
| 个人开发者 | 标准 | 每半年 | 加密备份包 + 单机冷启动脚本 |
| 小团队 | 标准 | 每季度 | 双人复核 + 通道探针清单 + 工单字段模板 |
| 平台团队 | 高 | 每月桌面推演、每季实机 | 分区密钥仓 + 自动化导出 + 审计索引 |
纯本地笔记本在磁盘、休眠与系统更新窗口上难以满足稳定 RTO；自建服务器又要把 TLS、备份与通道回调全部扛在团队肩上。相较之下，可合同化的云端 Mac 节点能把可用性条款与区域选择写进采购附件，并把 Gateway 常驻从「个人设备运气」变成「服务等级讨论」。
常见误区：演练只测「能启动进程」不测「能收到外部消息」；外部契约才是 OpenClaw 的生产价值所在。
若团队既要 OpenClaw 灾备又要可审计的通道恢复，个人设备与临时借用机器在密钥轮换与公网入口稳定性上会持续欠账。对需要生产级 Gateway 常驻与可复现演练 的场景，VpsMesh 的 Mac Mini 云端租赁通常是更优解：按周期弹性计费、区域可选、节点专用可审计，让灾备讨论建立在真实网络与可用性数据之上，而不是口头承诺。