Холодный, тёплый и горячий резерв: почему надёжность стоит по-разному

Когда подрядчик говорит «у вас настроен резерв», это не отвечает на главный вопрос: сколько времени бизнес простоит без работающей системы и сколько свежих данных при этом потеряет. Ответ зависит от того, какой из трёх видов резерва на самом деле имеется в виду — а виды отличаются по цене не на процент, а в разы.

Три слова, которые экономят неловкий разговор с бухгалтерией

Холодный резерв (cold). Копия данных лежит отдельно от основной системы и не подключена ни к чему — файл дампа базы, архив, снимок диска. Чтобы ей воспользоваться, нужно вручную поднять новый сервер, развернуть на нём копию и только потом запустить. Между аварией и возвращением к работе — часы, иногда сутки: время уходит не на саму копию, а на то, чтобы собрать вокруг неё работающую систему.

Тёплый резерв (warm). Второй сервер уже существует и в реальном времени получает все изменения с основного — это и есть репликация, разобранная технически в отдельной статье про MySQL и PostgreSQL. Данные на нём свежие, но сам он не обслуживает пользователей, и переключение на него — ручное решение человека, а не автоматика. Между аварией и возвращением к работе — минуты: нужно время на то, чтобы заметить проблему, принять решение и щёлкнуть переключателем, но не на то, чтобы собрать систему с нуля.

Горячий резерв (hot). Второй сервер не просто получает данные, а активно готов принять трафик сам, и переключение происходит автоматически, без участия человека — секунды, иногда меньше. Это тот самый «кластер с автоматическим отказоустойчивым переключением», о котором чаще всего и думают, слыша слово «отказоустойчивость», хотя до этого уровня реально добирается меньшинство систем, которым он нужен.

Куда это переводится в деньгах

Три вида резерва — это не три степени одной и той же работы, а три разных по составу решения, и цена растёт не линейно.

Холодный резерв стоит почти ничего сверх самого хранения копии: места на диске и, может быть, стоимости переноса файла. Тёплый добавляет постоянно работающий второй сервер — то есть счёт за хостинг удваивается независимо от того, происходит ли авария. Горячий добавляет к этому систему, которая непрерывно следит за состоянием обоих серверов и умеет решать, какой из них сейчас главный, — а такая система сама требует ресурсов, настройки и, что менее очевидно, квалификации, способной её поддерживать: неправильно настроенное автоматическое переключение опаснее его отсутствия, потому что может переключаться на ровном месте или, хуже, переключиться в обе стороны одновременно.

Отсюда практическое правило, которое экономит бюджет чаще, чем его тратит: платить за тёплый резерв, когда достаточно холодного, — обычная, незаметная статья лишних расходов; платить за горячий, когда достаточно тёплого, — та же ошибка, только в разы дороже.

Как выбрать, не угадывая

Выбор между тремя видами не делается на вкус — он прямо следует из двух цифр, у которых есть имена: RTO (сколько можно простаивать) и RPO (сколько свежих данных можно позволить себе потерять). Этим двум цифрам посвящена отдельная статья: холодный резерв закрывает RTO в часах, тёплый — в минутах, горячий — в секундах. Если реальный убыток от нескольких часов простоя посчитан и укладывается в разумную сумму, покупать защиту от простоя в секунды — не предусмотрительность, а трата, которую никто не заметит, кроме счёта за хостинг. Эта же логика в целом разобрана в статье про четыре уровня отказоустойчивости — виды резерва здесь описывают технику, а уровни — то, в какой момент жизни продукта какая техника оправдана.

Отдельно стоит развести два похожих слова, которые путают даже опытные менеджеры: тёплый и горячий резерв — это про отказ оборудования, а резервная копия в привычном смысле (архив, который можно поднять на любой момент времени в прошлом) — это защита от ошибки, а не от отказа, и нужна она всегда, независимо от того, какой из трёх видов резерва выбран для остального. Репликация честно повторяет на резервном сервере любую ошибку, допущенную на основном, за секунды — это разобрано отдельно, и там же — почему резервную копию, которую никто не восстанавливал, доверять нельзя никакую, холодную или тёплую.

Короткий чеклист для разговора с подрядчиком: спросить не «есть ли резерв», а «какой из трёх» — и дальше сразу «сколько будет стоить простой в минутах у тёплого против секунд у горячего». Ответ на второй вопрос почти всегда закрывает вопрос о бюджете сам.