Три копии данных лежат на двух типах носителей, одна вынесена за пределы площадки. Формально правило 3-2-1 соблюдено. Но вернётся ли из этих копий файловый сервер, база и остальные виртуальные машины, никто не проверял.
Предложенная «ОБИТ» формула 12-3-1-0 закрывает этот пробел: 12 тестовых восстановлений данных в год, три проверки выносной копии, одно восстановление всей инфраструктуры и ноль изменений, прошедших мимо регламента. Она не заменяет 3-2-1 и не рассчитывает сервер. Её задача другая — заставить компанию регулярно доказывать, что копии работают.
Для закупки это означает одно: сравнивать нужно не только ёмкость хранилища. В предложении поставщика должны появиться отдельные ресурсы для тестового запуска, площадка для ежегодной проверки и защита внешних копий.
12-3-1-0 дополняет правило 3-2-1
Правило 3-2-1 описывает размещение данных: три копии, два типа носителей, одна копия за пределами основной площадки. Такой состав приводит ICT-Online в сообщении о подходе «ОБИТ».
Формула 12-3-1-0 отвечает на следующий вопрос: как часто компания проверяет эти копии восстановлением. По пересказу предложения «ОБИТ» в ICT-Online:
- 12 — тестировать восстановление данных каждый месяц;
- 3 — трижды в год проверять копию с выносного носителя;
- 1 — раз в год восстанавливать всю инфраструктуру;
- 0 — не оставлять изменения системы без проверки регламента.
Оригинального технического документа «ОБИТ» среди опубликованных материалов нет. Поэтому эти числа стоит воспринимать как предложенный компанией график проверок, а не как отраслевой стандарт.
Из 12-3-1-0 нельзя вывести объём дисков, скорость сети или число серверов. Для расчёта нужны другие исходные данные: объём восстанавливаемых систем, их потребление процессора и памяти, скорость прироста копий, допустимая потеря данных и срок возврата сервисов в работу.
Зато формула помогает проверить состав закупки. Если поставщик указал только хранилище для копий, он закрыл размещение данных, но не их восстановление.
Ежемесячному тесту нужен отдельный контур
Копию нельзя считать проверенной, пока из неё не запустили данные или систему. Для этого нужны процессор, память, диски и сеть — место на резервном хранилище само по себе их не даёт.
Разворачивать тест на рабочем сервере рискованно для самой проверки: мощности могут быть заняты боевыми виртуальными машинами, а восстановленная система — пересечься с рабочей по сетевым адресам и доступу к данным. В техническом задании лучше выделить тестовый контур: отдельный узел либо гарантированный резерв ресурсов на существующем кластере.
Особенно плохо для такой проверки подходит схема, где рабочие файлы и все резервные копии завязаны на одну машину. После её отказа исчезает и нагрузка, и площадка, на которой собирались проверять восстановление. Расчёт вариантов с общим и раздельными узлами есть в материале о разделении файловой нагрузки и контура копирования.
Поставщик должен указать не абстрактную «возможность тестирования», а три вещи: где запускается восстановленная система, какие ресурсы ей доступны и как её изолируют от рабочей сети.
Выносную копию придётся возвращать трижды в год
Локальное восстановление проверяет ближайшую копию. Оно ничего не говорит о носителе, который должен пережить потерю основной площадки.
По формуле «ОБИТ» выносную копию восстанавливают три раза в год. Это требование стоит перенести в договор: кто возвращает данные, откуда их загружает, где разворачивает и чем подтверждает результат.
Если копии хранятся во внешнем объектном хранилище, РБК Компании в пересказе рекомендаций «ОБИТ» называет версионирование, блокировку объектов, отдельные учётные данные, многофакторную аутентификацию и ограничение прав. Это рекомендации компании, а не обязательный стандарт. Для закупки они полезны как вопросы к поставщику.
Отдельные учётные данные здесь принципиальны: доступ к рабочей инфраструктуре и удаление внешней копии не должны зависеть от одной учётной записи. Блокировка объектов добавляет срок, в течение которого записанную копию нельзя изменить или стереть обычной операцией. Поставщик должен назвать этот срок и показать, кто вправе его менять.
Три проверки в год не задают требуемую скорость канала. Её считают от объёма и допустимого времени восстановления. Если с внешней площадки нужно вернуть 8 ТБ за восемь часов, средний полезный поток равен 2,22 Гбит/с:
8 ТБ × 8 бит ÷ 28 800 секунд = 2,22 Гбит/с
Это нижняя граница без учёта служебного трафика, повторных передач и распаковки. Канал 1 Гбит/с такое условие не выполнит даже в расчёте; 10GbE оставит запас, но срок всё равно нужно подтвердить пробным восстановлением.
Годовой тест проверяет не файл, а цепочку систем
Успешно открытая папка ещё не означает, что офис вернулся к работе. Виртуальные машины могут запуститься, но база не увидит хранилище, служба каталогов — зависимые системы, а пользователи — приложения.
По сообщению ICT-Online, единица в формуле означает полное восстановление инфраструктуры раз в год. Для закупщика отсюда следует требование: поставщик должен назвать площадку, где одновременно поднимутся связанные системы, а не одна выбранная машина.
Если резервная площадка принимает рабочую нагрузку офиса, её вычислительную часть считают тем же способом, что основной узел. Сначала складывают процессор и память виртуальных машин, затем учитывают переподписку процессора, служебный запас гипервизора и дисковую нагрузку. Пример такого перехода от профилей ВМ к железу разобран в методике подбора узла под офисные виртуальные машины.
Сама формула 12-3-1-0 не обещает восстановление за два, четыре или восемь часов. Она задаёт частоту проверки. Предельный простой и допустимую потерю данных компания устанавливает отдельно для каждой системы.
Ноль относится к изменениям, а не к количеству ошибок
После замены сервера старый регламент может ссылаться на прежнее хранилище. После расширения массива расчёт окна копирования может устареть. После переноса виртуальной машины она способна выпасть из задания резервного копирования.
«0» в формуле «ОБИТ» означает отсутствие неконтролируемых изменений и периодическую проверку регламентов. Для договора это можно перевести в понятное условие: после изменения состава серверов, хранилищ или виртуальных машин поставщик повторно проверяет задания копирования и тестовое восстановление затронутых систем.
«ОБИТ» также предлагает начинать проектирование с оценки критичности систем и сценариев отказа. Этот тезис опубликован в новостных пересказах ICT-Online и РБК Компании; отдельной методики компании в доступных материалах нет.
Практический вывод не зависит от методики. Бухгалтерскую базу, архив видеонаблюдения и файловую папку отдела нельзя автоматически ставить в один график: у них разные объёмы, допустимые потери и сроки возврата в работу.
Спецификация под задачу
Посчитаем тестовый контур для условного офиса. Это не конфигурация из формулы «ОБИТ», а пример перехода от нагрузки к железу.
Исходные данные: шесть виртуальных машин, из них четыре требуют по 4 vCPU, две — по 8 vCPU. Суммарно получается 32 vCPU. Машинам назначено 256 ГБ памяти. Полный набор для годового восстановления занимает 8 ТБ. Его нужно получить с внешнего хранилища за восемь часов.
Под такую нагрузку спецификация выглядит так:
| Узел | Конфигурация | Расчёт |
|---|---|---|
| Процессор | 24 физических ядра, один сокет | 32 vCPU при переподписке 2:1 требуют 16 ядер; ещё 25% запаса дают 20, поэтому берём ближайшую конфигурацию на 24 ядра |
| Память | 384 ГБ ECC RDIMM | 256 ГБ для ВМ плюс 20% дают 307,2 ГБ; 384 ГБ оставляют 76,8 ГБ на гипервизор, кэш и рост |
| Рабочий массив теста | 6 SSD по 3,84 ТБ, RAID10 | RAID10 оставляет половину сырой ёмкости: 11,52 ТБ; этого хватает для набора на 8 ТБ и 25% временного запаса |
| Сеть | два порта 10GbE | расчётный поток для 8 ТБ за восемь часов — 2,22 Гбит/с; один порт принимает данные, второй можно выделить под управление или резерв |
| Питание | два блока питания | отказ одного блока не прерывает ежегодный тест и не требует повторно занимать окно восстановления |
| Корпус | 2U, не менее восьми дисковых отсеков | шесть отсеков заняты, два остаются под увеличение тестового набора |
| Расширение | свободный PCIe-слот | нужен запас под второй сетевой адаптер или контроллер, если изменится схема подключения |
Дисковое хранилище самих резервных копий в эту таблицу не входит. Его объём нельзя честно посчитать без срока хранения, частоты полных копий, ежедневного прироста и коэффициента сокращения данных.
Если объём годового восстановления вырастет с 8 до 16 ТБ, шести SSD по 3,84 ТБ уже не хватит: полезная ёмкость RAID10 останется 11,52 ТБ. Тогда нужен массив минимум на 20 ТБ полезного пространства с учётом принятого 25-процентного запаса.
Если назначенная память ВМ вырастет до 400 ГБ, по той же формуле потребуется 480 ГБ. Практический следующий размер — 512 ГБ ECC RDIMM.
Если задача сводится к ежемесячному восстановлению одной базы или файловой папки, отдельный узел на 24 ядра будет избыточен. Такой тест можно проводить на меньшей машине. Но ежегодный запуск всех шести ВМ потребует рассчитанных ресурсов — иначе проверка покажет только то, что файлы читаются, а не то, что офис способен работать.
Что вписать в запрос поставщику
12-3-1-0 стоит использовать как календарь приёмочных и регулярных испытаний. Основа хранения остаётся прежней: три копии, два типа носителей и одна копия вне основной площадки. Поверх неё добавляется проверяемое восстановление.
В запросе поставщику зафиксируй пять требований:
- отдельные вычислительные, дисковые и сетевые ресурсы для ежемесячного теста;
- три восстановления выносной копии в год с протоколом результата;
- площадку и ресурсы для ежегодного запуска всей связанной инфраструктуры;
- отдельные учётные данные, многофакторную аутентификацию, версионирование и блокировку объектов во внешнем хранилище;
- повторную проверку регламента после замены сервера, расширения массива или переноса виртуальной машины.
Если коммерческое предложение продаёт только терабайты под копии, оно не закрывает 12-3-1-0. Если в нём названы площадка восстановления, доступные ресурсы, расчёт канала и календарь тестов, формула превращается в обязательство, которое можно принять и затем проверить.
