Redundancia en frío, tibia y caliente: por qué la fiabilidad cuesta distinto

Cuando el contratista dice «tienen un respaldo», eso no responde a la pregunta principal: cuánto tiempo estará la empresa parada sin un sistema en funcionamiento y cuántos datos recientes se perderán. La respuesta depende de cuál de los tres tipos de respaldo se tiene en mente — y los tipos difieren en precio no en un porcentaje, sino por órdenes de magnitud.

Tres palabras que evitan una conversación incómoda con contabilidad

Respaldo frío (cold). Una copia de los datos está almacenada separada del sistema principal y no está conectada a nada — un archivo dump de la base, un archivo, una instantánea de disco. Para usarla hay que levantar manualmente un servidor nuevo, desplegar la copia en él y solo entonces arrancarlo. Entre la avería y la vuelta al trabajo pasan horas, a veces un día: el tiempo se gasta no en la copia en sí, sino en montar a su alrededor un sistema operativo.

Respaldo cálido (warm). Ya existe un segundo servidor que recibe en tiempo real todos los cambios desde el principal — eso es replicación, analizada técnicamente en un artículo separado sobre MySQL y PostgreSQL. Los datos en él están frescos, pero el servidor no atiende a usuarios, y el conmutado hacia él es una decisión manual de una persona, no automática. Entre la avería y la vuelta al trabajo pasan minutos: hace falta tiempo para detectar el problema, tomar la decisión y accionar el conmutador, pero no para ensamblar el sistema desde cero.

Respaldo caliente (hot). El segundo servidor no solo recibe datos, sino que está activamente preparado para asumir el tráfico por sí mismo, y el conmutado ocurre automáticamente, sin intervención humana — segundos, a veces menos. Es ese «cluster con conmutación automática por alta disponibilidad» en el que la gente suele pensar al oír la palabra «alta disponibilidad», aunque a este nivel llega en realidad una minoría de sistemas que lo necesitan.

Cómo se traduce esto en dinero

Los tres tipos de respaldo no son tres grados de la misma labor, sino tres soluciones distintas en su composición, y el precio no crece de forma lineal.

El respaldo frío cuesta casi nada más allá del propio almacenamiento de la copia: espacio en disco y, quizá, el coste de transferir el archivo. El cálido añade un segundo servidor en funcionamiento constante — es decir, la factura de hosting se duplica independientemente de si ocurre una avería. El caliente añade a eso un sistema que vigila continuamente el estado de ambos servidores y sabe decidir cuál es el principal en cada momento — y ese sistema en sí requiere recursos, configuración y, lo que es menos evidente, la cualificación necesaria para mantenerlo: una conmutación automática mal configurada es más peligrosa que su ausencia, porque puede conmutar sin motivo o, peor, conmutar en ambos sentidos a la vez.

De aquí surge una regla práctica que ahorra presupuesto más a menudo de lo que lo gasta: pagar por un respaldo cálido cuando basta con uno frío es una partida de gasto extra habitual y desapercibida; pagar por un respaldo caliente cuando es suficiente uno cálido es el mismo error, pero por varios órdenes de magnitud más caro.

Cómo elegir sin adivinar

La elección entre los tres tipos no se hace por gusto — viene directamente determinada por dos cifras que tienen nombre: RTO (cuánto tiempo se puede estar parado) y RPO (cuánto dato reciente se puede permitir perder). A estas dos cifras se dedica un artículo aparte: el respaldo frío cubre RTO en horas, el cálido en minutos, el caliente en segundos. Si la pérdida real por varias horas de inactividad está calculada y entra dentro de una suma razonable, comprar protección contra paradas de segundos no es prudencia, sino un gasto que nadie notará excepto la factura de hosting. Esta misma lógica se examina en general en el artículo sobre los cuatro niveles de tolerancia a fallos — los tipos de respaldo describen la técnica, y los niveles indican en qué momento de la vida del producto está justificada cada técnica.

Conviene además distinguir dos palabras parecidas que confunden incluso a gestores experimentados: el respaldo cálido y el caliente se refieren a la falla de hardware, mientras que la copia de seguridad en el sentido habitual (un archivo que se puede restaurar a cualquier momento en el pasado) es protección contra errores humanos, no contra fallos, y siempre es necesaria, independientemente de cuál de los tres tipos de respaldo se elija para lo demás. La replicación reproduce fielmente en el servidor de respaldo cualquier error cometido en el principal en cuestión de segundos — esto se explica por separado, y allí también se explica por qué no se puede confiar en ninguna copia de seguridad, fría o cálida, que nadie haya restaurado nunca.

Lista corta de verificación para hablar con el contratista: preguntar no «¿tienen respaldo?», sino «¿cuál de los tres?» — y a continuación «¿cuánto costará el tiempo de inactividad en minutos con el cálido frente a segundos con el caliente?». La respuesta a la segunda pregunta casi siempre cierra la cuestión del presupuesto por sí sola.