Как вы разрабатываете стратегию резервного копирования и аварийного восстановления?

Question

Accepted Answer

Стратегия резервного копирования и аварийного восстановления (DR) отвечает на вопросы: если мы потеряем данные или целый регион, **сколько данных мы можем потерять, как быстро мы восстановимся и можем ли мы действительно восстановить систему?** Она основана на **правиле 3-2-1**, ясных целях **RPO/RTO** и — критически важно — **регулярно проверяемых восстановлениях**.

## Правило 3-2-1

```text
3 copies of the data
2 different media / storage types
1 copy offsite (different region or provider)
→ no single failure (disk, host, datacenter, ransomware) destroys every copy
```

Резервные копии должны быть **автоматизированы** (без необходимости помнить о запуске) и находиться **вне основной локации**, чтобы региональное бедствие не уничтожило резервную копию вместе с основной системой.

## RPO и RTO

Эти две цели определяют каждый выбор проектирования:

- **RPO (Recovery Point Objective)** — максимально допустимая потеря данных, измеряемая во времени. RPO в 1 час означает потерю максимум последнего часа записей, что определяет частоту резервного копирования и репликации.
- **RTO (Recovery Time Objective)** — максимально допустимое время восстановления. RTO в 30 минут означает, что система должна быть восстановлена и работающей в течение 30 минут, что определяет архитектуру DR.

```text
frequent backups / replication → smaller RPO (less data lost)
hotter standby infrastructure  → smaller RTO (faster recovery)
both cost money → pick targets per business criticality
```

## Уровни DR (затраты vs RTO)

```text
Backup & restore  → cheapest; restore from backups on demand   (RTO: hours)
Pilot light       → minimal core running, scale up on disaster  (RTO: tens of min)
Warm standby      → scaled-down live copy, scale up to take over (RTO: minutes)
Multi-site active → full live copies serving traffic            (RTO: ~seconds)
```

## Проверяйте ваши восстановления

**Резервная копия, которую вы никогда не восстанавливали, — это не резервная копия, это надежда.** Планируйте регулярные учебные восстановления: действительно пересоберите из резервной копии в чистую среду и проверьте целостность. Это выявляет испорченные резервные копии, недостающие части и неработающие инструкции до реального стихийного бедствия.

## Почему это важно

Потеря данных и региональные сбои — это моменты, когда проверяется выживаемость компании. Правило 3-2-1 гарантирует, что копия выживет при любом единичном отказе; RPO/RTO превращают расплывчатое «у нас есть резервные копии» в измеримые обязательства; уровни DR позволяют согласовать затраты с критичностью; а проверенные восстановления — единственное доказательство того, что всё действительно работает. Пропуск проверки — это то, как команды обнаруживают, в разгар сбоя, что их резервные копии были бесполезны.