RPO i RTO: dwie liczby kopii zapasowej

RPO (Recovery Point Objective) to odstęp między kopiami liczony w pracy, którą firma godzi się wyrzucić. Jeśli kopia rusza raz na dobę o północy, a awaria wypada o 16:00, RPO wynosi do 16 godzin faktur, zleceń i plików z tego dnia. RTO (Recovery Time Objective) to czas do momentu, w którym ludzie znów pracują, a nie czas kopiowania plików na dysk. Wchodzi w to odnalezienie nośnika, postawienie systemu, sprawdzenie, czy dane są spójne, i wpuszczenie użytkowników.

Te dwie liczby ustawiają cenę mocniej niż nazwa programu. Krótsze RPO oznacza częstsze kopie i większe repozytorium. Krótsze RTO oznacza zapasową maszynę albo środowisko, które da się uruchomić bez składania serwera od zera. Firma, która chce „kopię co godzinę i powrót w 15 minut” dla wszystkiego, płaci za najdroższy wariant także dla archiwum, którego nikt nie otwiera. Sensowny podział jest odwrotny: system księgowy i produkcyjny dostają krótkie liczby, katalog ze skanami sprzed pięciu lat dostaje dobę i dłuższy powrót.

Liczby ustala właściciel procesu. Informatyk może powiedzieć, ile kosztuje dana para RPO i RTO, ale nie powinien zgadywać, czy straty jednego dnia zamówień da się odtworzyć z maili. Na stronie o backupie rozpisujemy to bez skrótów właśnie dlatego, że skrót brzmi jak parametr techniczny, a jest decyzją o przestoju. Test, który kończy się na komunikacie „zadanie wykonane”, nie mierzy RTO. Mierzy go ćwiczenie: od decyzji „odtwarzamy” do chwili, w której księgowa wystawia dokument.

Częsty błąd to jedno RPO dla całej firmy, bo tak ustawił się harmonogram w programie. Drugi błąd to mylenie RTO z czasem trwania kopii nocnej. Kopia, która leci sześć godzin, nie mówi nic o tym, po ilu godzinach po awarii ludzie wrócą do pracy. Trzeci błąd to obietnica RTO równiego czasowi kopiowania dysku. Pomija logowanie, brakujące licencje i plik, który był otwarty w chwili awarii i w kopii jest uszkodzony.

Gdy spisujemy te liczby u klienta, zaczynamy od trzech systemów, bez których firma stoi: poczta albo jej lokalny odpowiednik, program branżowy i pliki, na których pracuje najwięcej osób. Reszta dostaje wartości domyślne i wraca na listę, gdy ktoś powie, że jednak boli. Dopiero pod spisanym RPO dobieramy narzędzie. Veeam i Xopero potrafią zrobić częstą kopię maszyny wirtualnej. Nie zastąpią decyzji, co wolno stracić.

W rozmowie padają zwykle dwie odpowiedzi, które trzeba rozdzielić. „Nie możemy stracić nic” oznacza RPO bliskie zeru i kopię ciągłą albo replikę z opóźnieniem, a nie harmonogram raz na dobę. „Musimy wstać od razu” oznacza RTO liczone w godzinach pracy zmiany, więc sam dysk z kopią w szafie nie wystarcza, bo nikt go nie podłączy o 6 rano. Zapisujemy obie odpowiedzi przy nazwie systemu. Bez tego program backupu dostaje jeden harmonogram dla wszystkiego i najdroższy system płaci za spokój archiwum, a archiwum i tak nie wstaje szybciej.