재해복구시스템

재해복구시스템이란

재해복구시스템은 재해로 중단된 정보시스템을 목표 시간 안에 되살리는 기술과 절차의 체계다.

이 성능은 흔히 RTO와 RPO 두 지표로 잰다.

그럼 핵심 용어부터 하나씩 짚고 넘어가자.

RTO와 RPO

RTO는 장애가 난 뒤 업무 기능이 복원될 때까지 허용되는 시간이다.

RPO는 복구 후 데이터를 되돌려도 되는 최대 시점 차이다. 잃은 양이 아니라 시간 폭이다.

두 값은 서로 독립된 지표라서 설계할 때 따로 정한다.

예를 들어 백업을 하루 한 번 하면 RPO는 최대 하루가 된다.

재해복구 구성

재해복구 체계는 주센터와 복구센터를 나누고, 데이터 복제와 전환으로 업무를 되살린다.

복제 방식이 RPO를 정한다. 동기 복제는 손실이 거의 없지만 거리와 지연의 제약을 받는다.

비동기 복제는 지연이 적지만, 복제 지연만큼 데이터가 손실될 수 있다.

전환 절차의 자동화 수준은 RTO를 정하고, GSLB는 트래픽 경로를 복구센터로 바꾼다.

전환 절차

재해복구 절차는 여섯 단계로 진행된다.

먼저 장애 범위를 확인하고, 업무별 RTO와 RPO를 확인한다.

복구센터의 서버와 DB를 기동하고 최종 복제 시점의 정합성을 점검한다.

네트워크와 DNS·GSLB를 복구센터로 전환한 뒤 업무별 기능을 확인하고 서비스를 재개한다.

주센터가 복구되면 재동기화 후 원래 체계로 복귀한다.

사이트 유형 비교

재해복구 방식은 대기 설비를 얼마나 갖췄는지에 따라 나눈다.

핫 사이트는 전 업무를 즉시 재개할 설비를 갖추고, 웜 사이트는 일부 업무만 재개한다.

콜드 사이트는 운영을 재개할 설비를 갖추지 않은 대체 장소다.

준비 수준이 높을수록 RTO와 RPO는 짧아지지만 비용은 커진다.

운영 방식

운영 방식은 DR센터를 평상시에 어떻게 쓰느냐로 나눈다.

액티브-액티브는 두 센터가 동시에 서비스하고, 액티브-스탠바이는 평상시 주센터만 처리한다.

A-A는 가용성이 높지만 쓰기 충돌과 데이터 정합성을 함께 감당해야 한다.

A-S는 구성이 단순하고 비용이 적지만 전환 시간이 추가된다.

계산과 정리

가용성 99.99%의 연간 허용 중단 시간을 계산해 보자.

1년은 525,600분이고, 허용 중단 비율은 0.0001이다.

따라서 연간 허용 중단은 약 52.6분이다.

백업을 60분마다 하면 RPO는 최대 60분이다. 5분 이내가 필요하면 복제가 필요하다.

헷갈리기 쉬운 점은 RTO와 RPO를 같은 개념으로 쓰는 것이다. RPO는 백업 주기가 아니라 BIA로 정한다.

정리하면 RTO와 RPO를 BIA로 정하고, 복제와 전환으로 달성한다.