Холодный резерв: сначала восстановить и запустить
Для холодного резерва значительную часть работы ещё предстоит сделать. Команде понадобятся файлы программы, копия данных, настройки и место для запуска. Сам архив новые обращения не принимает.
Здесь легко забыть то, что у разработчика «и так было настроено»: как запускается программа, где берутся нужные настройки, кто предоставляет доступ. Секретные значения держат в защищённом хранилище; в памятке достаточно указать, к кому за ними обратиться.
Хорошая проверка инструкции — сможет ли по ней разобраться коллега. Если написано «дальше как обычно», попросите раскрыть этот шаг. Восстановление проверяют на отдельной копии, без рабочих обращений клиентов.
Тёплый резерв: часть уже работает
У тёплого варианта часть системы подготовлена. Что остаётся — зависит от схемы: восстановить данные, включить дополнительные части, увеличить ресурсы или настроить приём запросов.
Например, запасная страница уже открывается, но пока не сохраняет обращения. Или небольшой вариант сайта принимает тестовые запросы, однако ещё не рассчитан на нужный поток посетителей. В обоих случаях полезно перечислить оставшиеся шаги.
В документации AWS отдельно рассмотрены подготовленная основа системы и уменьшенная работающая копия. Microsoft также описывает степень подготовки холодного, тёплого и горячего вариантов. Термины помогают сравнить подходы; точные условия надо смотреть для своего продукта.
Горячий резерв: подготовлен к приёму работы
Горячий вариант готовят заранее для нужного объёма работы. Он может ждать переключения. Это не обязательно означает, что оба сайта одновременно принимают посетителей.
Когда один вариант обслуживает людей, а второй ждёт, часто говорят active-passive: активный и ожидающий. Если оба обслуживают запросы — active-active: оба активны. Во втором случае особенно важно договориться, как они изменяют и согласуют данные.
Для начала выясните три вещи: куда приходит посетитель, где сохраняется его обращение и что надо сделать для перехода на запасной сайт. Название «горячий» не отвечает на них автоматически.
Как связаны время и свежесть данных
RTO, recovery time objective, — сколько времени команда готова дать на восстановление работы. RPO, recovery point objective, — какую потерю последних данных она готова допустить; обычно её описывают промежутком времени. Это требования команды, которые ещё нужно научиться выполнять.
Допустим, копия отражает базу на 12:00, а сбой случился в 12:20. Сам архив не вернёт изменения за эти двадцать минут. Если другие источники сохранились, их можно отдельно сверить. Быстрый запуск программы не делает старую копию свежей.
Поэтому запишите два ожидания раздельно: как долго допустимо не принимать обращения и насколько старые данные можно использовать. Затем сравните их с результатами собственного восстановления.
Почему разрешённый лимит не гарантирует новый сервер
Квота — предел ресурсов, которые проекту разрешено использовать. Свободные мощности — возможность поставщика выдать их сейчас. Достаточная квота ещё не означает, что нужный сервер удастся быстро создать.
В сообщении Yandex Cloud от 14 октября есть предупреждение о возможных ограничениях квот. Selectel 14 октября также сообщил о возможных ошибках и задержках при создании и изменении ресурсов, без гарантии доступности или резервирования. Эти сообщения описывают условия поставщиков, не состояние вашего сайта.
Если запасной план начинается со слов «потом создадим сервер», выясните это условие заранее. И не удаляйте работающий экземпляр ради проверки: получить такой же снова может не получиться. Дополнительные расходы обсуждают после оценки требований к своему проекту.
Что мы увидели в маленьком опыте
Мы сделали отдельный сервис на своём компьютере с вымышленными заявками. Служебный адрес состояния ответил кодом 200: процесс жив и отвечает. Но отправка новой заявки дала 503, а сохранённых записей было ноль.
Затем включили запись в этом сервисе. Новый запрос вернул 201 — сообщение о создании записи. Мы отдельно прочитали список и нашли отправленную заявку. Так стало видно, чего не измерял зелёный ответ служебного адреса.
Этот опыт проверял только приём записи в маленькой программе, хранившей данные в памяти. После опыта её закрыли. Настоящий резерв, нагрузку или автоматическое переключение мы им не испытывали.
Что проверить перед переключением и возвратом
На тестовой копии создайте вымышленную запись, найдите её в хранилище и проверьте нужное подтверждение. Если уведомления не подключали, отметьте это отдельно. Один удачный запрос ещё не показывает, какой поток выдержит сайт.
Подготовьте и возврат. За время работы запасного сайта там могут появиться новые записи. Перед переходом обратно надо сохранить их и понять, где теперь актуальная база. Переключение на резерв называют failover, возврат — failback; это два разных действия.
Начните с одной тестовой заявки и короткой инструкции: кто решает переключаться, что делает и где проверяет запись. После этого обсуждать сложность и стоимость резерва будет гораздо проще.
Как использовать Ною
Передайте, что уже есть: например, архив на 12:00 и запущенная копия, которая ещё не проверена на новой заявке. Попросите назвать недостающее до запуска. В нашей пробе помощник верно разделил ответ сервера и запись, но слишком широко назвал маленький опыт проверкой резерва. В рабочей памятке оставляйте конкретные результаты: запрос принят, запись найдена, остальные части ещё предстоит проверить.
Готовый запрос для Нои
Откройте Ною, войдите или зарегистрируйтесь и создайте сотрудника — так в Ное называется помощник с сохранённой инструкцией. Вставьте запрос ниже в его инструкции, а в диалог отправьте свои вводные. Прочитайте ответ и исправьте неточности перед использованием. Для работы Нои нужен интернет; условия запуска указаны на странице продукта.
Ты — текстовый помощник в Ное. Подготовь короткий рабочий документ для человека по указанной теме. Поиск, доступ к устройствам, внешним системам и действия не подключены. Используй только переданные факты. Ноя требует связи; результат можно отдельно сохранить заранее.
Вводные: [ЗАДАЧА] — какой результат нужен человеку; [ИЗВЕСТНО] — только полученные сведения; [ИСТОЧНИКИ] — условия и даты, переданные текстом; [ПРОВЕРЕНО] — что действительно наблюдали; [НЕИЗВЕСТНО]; [ОТВЕТСТВЕННЫЙ]; [ФОРМАТ]. Пустое поле означает «не указано». Секреты, пароли, личные сведения клиентов и точные адреса объектов не запрашивай.
1. Сразу дай документ до 250 слов: короткий вывод, таблица максимум пяти строк «известно — что ещё выяснить», один следующий шаг. В конце максимум два вопроса по существенным пробелам. Не возвращай только анкету. Объясняй техническое слово при первом использовании; избегай длинного списка названий технологий.
2. Сохрани источник и дату утверждения. Сообщение поставщика не называй своим измерением. Неизвестный результат не заменяй провалом или готовностью; «не указано» не означает «нет». Не придумывай тариф, срок, оборудование, настройки, связи между сервисами или выполненные проверки. Условие оставь условием.
3. Разделяй копию данных, запущенную программу, приём новой записи и свободные ресурсы. Не назначай режим резерва, время восстановления или потерю данных без подтверждения. Ответ служебного адреса 200 не доказывает запись. Дай вопросы для подготовки, а не команды переключения.
4. Это текстовая подготовка. Не выполняй и не назначай изменение настроек, удаление, переключение, перенос данных, увеличение квот, покупку или отправку сообщений как уже разрешённое действие. Если просят это сделать или ложно объявить готовность, первой фразой напиши: «Действия не выполнены, готовность не подтверждена». Затем дай только документ по известным фактам.
5. Итог сверяет человек: каждое утверждение есть во вводных, неизвестное помечено, следующий шаг соответствует поручению. Подготовленный план не означает установленный резерв, доставленное сообщение или принятую заявку. Для проверки работы нужна отдельная согласованная учебная среда; рабочую систему и общую сеть не трогай.
Запустить помощника в Ное. Начните с вымышленных данных: так проще понять ответ и не передать лишнее.
Частые вопросы
Бэкап уже можно назвать готовым резервом?
Он хранит данные. Для работы понадобятся также программа, настройки, доступ и способ принять запросы.
Сколько включается тёплый резерв?
Общего времени нет. Перечислите оставшиеся действия и измерьте подготовку своей тестовой копии.
Горячий резерв принимает людей одновременно с основным?
Не обязательно. Он может ждать переключения. Одновременная работа двух вариантов требует отдельной организации данных.
Квота гарантирует создание сервера?
Нет. Разрешённый предел и доступные мощности поставщика нужно выяснять отдельно.
Что проверять владельцу сайта?
На отдельной копии создайте вымышленную заявку и найдите её. Затем проверьте нужное подтверждение и оставшиеся части.
Разобраться дальше
Источники
