Установіть і перевірте RTO та RPO

Визначте дві окремі цілі

Recovery Time Objective (RTO) задає максимальну прийнятну перерву до повернення корисної роботи сервісу. Recovery Point Objective (RPO) задає максимальну прийнятну втрату даних, виміряну часом. Узгодьте ці цілі з відповідальним представником бізнесу для визначеного сервісу та сценарію відмови.

Ціль доступності описує роботу сервісу за певний період. RTO та RPO описують очікування від відновлення. Вони відповідають на різні питання.

Для вигаданого сервісу замовлень відповідальний установлює RTO у 60 хвилин і RPO у 15 хвилин. Це приклади значень, а не загальні рекомендації. Інший сервіс може потребувати інших меж, оскільки втрачені замовлення та затримані звіти мають різні наслідки.

Виміряйте повне відновлення

Сервіс зупиняється о 10:00. Команда записує результати вправи:

Повний час відновлення — 55 хвилин. Вправа відповідає RTO у 60 хвилин. Підрахунок лише 25-хвилинної операції відновлення приховав би більшу частину перерви.

Остання придатна точка відновлення — 09:40. Розрив до перерви о 10:00 становить 20 хвилин. Це перевищує RPO у 15 хвилин на 5 хвилин. Швидше відновлення тих самих даних не усунуло б цього розриву.

Дослідіть фактичні відсутні або неузгоджені записи. Часовий розрив описує потенційні втрати, але не підраховує замовлень, яких вони стосуються. Звірте зовнішні записи платежів і виконання замовлень, перш ніж повертатися до звичайної обробки. Спробуйте різні припущення у вправі з відновлення.

Виберіть стратегію відновлення

Стратегія має охоплювати потрібний сервіс, дані та залежності. Порівняйте ці підходи з виміряними цілями:

Для цих підходів немає універсального часу відновлення. Результат визначають реалізація, обсяг даних, залежності та умови тесту. Врахуйте в рішенні операційну вартість і можливості команди.

Захищайтеся не лише від простою

Репліка може скопіювати небажане видалення або пошкоджений запис. Де потрібно, зберігайте відновлювані версії або можливість відновлення на певний момент часу. Перевірте строки зберігання, права на відновлення та доступ до ключів шифрування. Узгодьте ізоляцію резервних копій зі сценарієм, включно з утратою доступу до основного облікового запису.

Для регіонального відновлення перевірте дозволене розташування даних і повний ланцюг залежностей. Включіть ідентичності, DNS, сертифікати, секрети, артефакти розгортання, квоти та мережевий доступ. Середовище відновлення без одного потрібного ключа може бути непридатним до використання.

Визначте, хто може оголосити подію, хто виконує відновлення та хто приймає відновлений сервіс. Сплануйте повернення до основного середовища або продовження роботи в середовищі відновлення. Запобігайте конфліктам між компонентами, що записують дані, і звірте дані до наступного перемикання.

Перетворіть план на докази

Напишіть інструкцію дій і виконайте її в контрольованих умовах. Запишіть сценарій, розмір набору даних, час початку й завершення, відновлену точку даних, невдалі кроки та відповідальних. Перевірте справжню бізнес-операцію з безпечними тестовими записами.

Повторюйте вправу після відповідних змін і за узгодженим графіком. Зміна схеми, нова зовнішня залежність або інший обсяг даних можуть зробити попередні результати неактуальними. Пов’яжіть докази вправи з випуском та операційними обов’язками.