Nein, ich meine nicht Hochverfügbarkeit, sondern Disaster Recovery!

Transkript

1 Nein, ich meine nicht Hochverfügbarkeit, sondern Disaster Recovery! VON JILL AITORO Es ist nicht gerade einfach herauszufinden, was in der iseries Community in Sachen Disaster Recovery alles getan wird oder getan werden sollte. Die Konversation beginnt vielversprechend. Sowohl IBM als auch Businesspartner und Produkthäuser sprechen über die aktuellen Naturkatastrophen und führen bezüglich einer Wiederherstellung im Katastrophenfall Bandsicherungen und Datencenter an. Aber ohne weitere Warnung und oft sogar völlig unentdeckt wird der Begriff Disaster Recovery durch den Begriff Hochverfügbarkeit ersetzt. Und damit verschiebt sich der Fokus schnell in Richtung verkürzter Ausfallzeiten und es kommt eine Tendenz auf, bei der ausschließlich die anerkannt leistungsfähigen Lösungen der großen Drei Data Mirror, Lakeview und Vision Solutions in Betracht gezogen werden. Es wäre wichtig, die Diskussion wieder auf den Punkt zu bringen. Je nach Anforderungen kann nämlich eine der anderen Lösungen die richtige Wahl sein. Ja, es ist richtig, Disaster Recovery und Hochverfügbarkeit gehen Hand in Hand und eine umfassende Hochverfügbarkeitslösung beinhaltet unter anderem auch substanzielle Disaster Recovery Charakteristiken. Aber die beiden Ansätze sind dennoch nicht identisch. Eine Lösung zur Wiederherstellung im Katastrophenfall bietet im Ernstfall die Möglichkeit, den Betrieb in einer fernen Lokation wieder aufnehmen zu können, sagt Steve Finnes, IBM Projektmanager für große iseries Installationen. Eine Hochverfügbarkeitslösung erfordert hingegen die Möglichkeit zum Rollentausch zwischen zwei oder mehreren Systemen. Unternehmen können oft beide Problemstellungen über primäre und sekundäre räumlich durch einen gewissen Abstand getrennte Lokationen adressieren, wobei eine 14 Dezember 2005 NEWSolutions

2 Hochverfügbarkeitslösung für einen Rollentausch in regelmäßigen Abständen sorgt. Das Primärsystem wird dabei zum Backup-System und das Backup- System in der fernen Lokation wird zum Primärsystem. Dieser Zustand wird bis zum nächsten turnusmäßigen Rollentausch beibehalten, erläutert Steve Finnes. Ist die Möglichkeit für einen Rollentausch nicht gegeben, liegt nur eine Disaster Recovery- Lösung vor. Besteht keine ferne Lokation und der Rollentausch findet nur zwischen zwei Systemen oder gar auf einem einzigen System im gleichen Rechenzentrum statt, handelt es sich um eine reine Hochverfügbarkeitslösung. Disaster Recovery-Bedürfnisse teilen sich in Gesichtspunkte auf: Wie lange benötigt ein Unternehmen, um ein System im Katastrophenfall wieder betriebsbereit zu haben und wie groß ist der Datenverlust, den das Unternehmen bei diesem Prozess zu akzeptieren bereit ist. Es sind letztlich die Wiederherstellungszeit (Recovery Time Objective RTO) und der Wiederherstellungspunkt (Recovery Point Objective RPO), aufgetragen auf den X- und Y- Achsen einer Grafik, aus denen ein Unternehmen bedingt durch die Art der abzuhandelnden Geschäftsvorfälle eine Entscheidung treffen muss. Speziell bezogen auf die Kosten eines Systemstillstandes ist dies eine Entscheidung, die nicht auf die leichte Schulter genommen werden sollte. Von 163 Unternehmen, die im Jahre 2001 an einer Umfrage der Eagle Rock Alliance bezüglich der durch Ausfallzeiten verursachten Kosten teilnahmen, gaben 46 % an, jede Stunde Ausfallzeit koste bis zu $, 28 % nannten sogar Kosten zwischen und $. In der gleichen Umfrage gaben 40 % der befragten Unternehmen an, der Fortbestand des Unternehmens sei nach einer Ausfallzeit von 72 Stunden gefährdet, 21 % sahen dieses Risiko bereits nach 48 Stunden. Ist das dunkle Zeitalter der Bandsicherung endgültig vorüber? Welche Maßnahmen ergreifen Unternehmen also, um sich vor diesen Risiken zu schützen? Am einen Ende des Spektrums steht die Bandsicherung, am anderen Ende eine umfassende Hochverfügbarkeitslösung. Dazwischen liegen diverse Funktionen, die zusätzlich zur Bandsicherung eingesetzt werden, um die Ausfallzeit zu verkürzen, wie beispielsweise Sicherungen während des laufenden Betriebes (Save- While-Active), Commitment Control, Journalisierung oder in SAN-Umgebungen auch Flash Copy. Weitere Maßnahmen können Mirroring oder RAID, BRMS (Backup Recovery Media Services) und UPS-Lösungen (Uninterruptible Power Supply) sein alles natürlich in Verbindung mit einem fernen Rechenzentrum, das im Katastrophenfall als Ausweichlokation zur Verfügung steht. Derzeit verlassen sich die meisten Unternehmen noch auf eine Bandsicherung den wohl kleinsten gemeinsamen Nenner im Sinne einer Wiederherstellung im Katastrophenfall. Hierbei stellt sich die zentrale Frage, wie groß der Datenverlust ist, den ein Unternehmen verkraften kann. Die meisten Unter- NEWSolutions Dezember

3 Sind wir doch mal ehrlich! von Andreas Konrad, MBA, Marketing und Vertriebsleitung Es ist häufig erschreckend, wie sorglos Unternehmen mit ihrem größten Kapital nämlichen ihren Daten umgehen. Backup-Szenarien oder manchmal auch Hochverfügbarkeitslösungen sind oft nur als Alibifunktion für fehlende Disaster Recovery Konzepte vorhanden. Als Unternehmen, welches auf Sicherheitskonzepte wie Disaster Recovery und Hochverfügbarkeit spezialisiert ist, stellen wir immer wieder fest, dass Unternehmen häufig nicht gewillt sind, ein paar Euro in die Sicherheit ihrer Daten zu investieren. Naive Argumente wie Die AS/400 läuft so stabil... es ist noch nie etwas passiert... also wird auch zukünftig nichts passieren... und warum soll ich dann Geld ausgeben, sind keine Seltenheit. Dabei wäre es so einfach: Ein auf Sicherheitskonzepte spezialisiertes Unternehmen wie die S+S EDV-Systeme führt eine unabhängige Analyse über bereits vorhandene Prozesse durch, baut ein Worst-Case-Scenario auf, testet gemeinsam mit dem Unternehmen die Abläufe und hält die Prozessabläufe und Ergebnisse in einem Disaster Recovery Guide fest. Sind wir einmal ehrlich: Wir fahren regelmäßig aus Sicherheitsgründen mit unserem Auto zum TÜV. Aber überprüfen wir auch regelmäßig, ob unsere Datenverarbeitung sichergestellt ist? Und machen wir dies sorgfältig genug? Ich tue es! Denn ich bin es mir, meinem Arbeitsplatz, den Arbeitsplätzen meiner Kollegen und meinem Unternehmen schuldig. Anzeige nehmen, die sich auf eine Bandsicherungs-Strategie verlassen, betrachten es als akzeptabel, die Daten der geschäftlichen Transaktionen des laufenden Tages zu verlieren ob sie sich dessen nun bewusst sind oder nicht, sagt Richard Dolewski, zertifizierter Spezialist für Systemintegrationen und Planung von Wiederherstellungsabläufen im Katastrophenfall bei der Midrange Computer Group. Darüber hinaus können Backup- Lösungen, die nicht dynamisch ausgelegt sind, im Ernstfall zu gravierenden Problemen führen. Nehmen wir an, ein Unternehmen verfügt über drei Produktionsbibliotheken: AR Data, AP Data und CL Data. Eine Backup-Lösung sichert diese drei Bibliotheken jede Nacht auf Band. Nehmen wir weiter an, jemand erstellt und speichert eine neue Bibliothek mit einem anderen Namen. Benötigt wird eine Lösung, die in der Lage ist, auch diese neue Bibliothek mit in die nächtliche Sicherung aufzunehmen, sagt Al Barsa, Geschäftsführer von Barsa Consulting. Bei vielen Lösungen muss der Benutzer die neue Bibliothek manuell in die nächtliche Sicherungsprozedur einbinden. Es gibt jedoch eine Reihe einfacher Tools, wie beispielsweise SAVALLCHG von der Firma TAA, die jede Veränderung mit in die nächtliche Sicherung aufnehmen. Die CL-Anweisung SAVCHGOBJ erledigt zwar die gleiche Aufgabe, aber das TAA Tool beinhaltet eine Restore-Strategie, die das Betriebssystem nicht bietet. Für Anwender, die mehr als eine reine Bandsicherung betreiben möchten was eigentlich alle Anwender tun sollten ist Jour- 16 Dezember 2005 NEWSolutions

4 nalisierung ein guter Anfang. Sicherlich bedarf es einiger zusätzlicher Zeit, nach dem Zurückspielen der Bandsicherung auch die Journaleinträge wieder einzuspielen. Aber der Wiederherstellungspunkt lässt sich deutlich optimieren, wenn ein ASP (Auxiliary Storage Pool) verwendet wird, um die Journal Receiver gewissenhaft zu sichern. Journalisierung in der Unix-Welt als event logging bekannt ist einer der fundamentalen Bausteine jeglicher Systemverfügbarkeitsprozesse. Bei Updates, die von einem Programm ausgeführt werden, befindet sich die Datenbank normalerweise im Hauptspeicher. Warum ist das so? Es würde viel zu viel Zeit benötigen, diese Updates direkt auf der Magnetplatte durchzuführen, sagt Steve Finnes. Dabei besteht allerdings das Problem, dass bei einem Systemausfall die Daten aus dem Speicher eventuell nicht mehr auf die Magnetplatte zurückgeschrieben werden können. Bei der Journalisierung werden die im Speicher vorgenommenen Veränderungen mit nur geringem Einfluss auf die System-Performance in einem gesonderten Bereich auf der Platte abgelegt. Viele Anbieter von Hochverfügbarkeitslösungen setzen ihre Produkte auf eben dieser Journalisierung auf. Schlicht ausgedrückt, protokollieren diese Produkte alle Veränderungen und senden die Journaleintragungen über eine Systemverbindung an ein anderes System. In jüngster Vergangenheit treten einige kleinere Anbieter im Markt mit neuen Lösungen auf, die sich auf Remote Journaling gründen. Diese Lösungen erfordern erheblich weniger Code, reduzieren die benötigte Zeit und drücken letztlich die Preise im Markt. Ein Beispiel hierfür ist die für Cluster-Umgebungen entwickelte Lösung Echo 2 der Firma itera Geboten wird hier eine Echtzeit-Replikation von Daten, IFS, Data Areas, Data Queues, Spooldateien, Benutzerprofilen, Programmen, usw. Auf ähnliche Weise repliziert die Lösung *nomax der Firma MaximumAvailability in Neuseeland in Deutschland vertrieben von der NCT GmbH in Trebur Daten und Objekte in Echtzeit. Wichtig ist an dieser Stelle aber der Hinweis, dass Remote Journaling nicht alle, NEWSolutions Dezember

5 sondern nur spezielle Objekte abdeckt. Remote Journaling ist die primäre Lösung für IFS und Datenbankobjekte und es darf nicht vergessen werden, dass dies nur ein Teil der gesamten Lösung ist, erläutert Steve Finnes. itera ergänzt seine Echo 2 Lösung mit Guardian Save, wobei OS/400 Transaktionen auf eine Linux- Maschine, einen Windows Server oder einen PC unter Linux repliziert werden. Die Kunden können mit dieser Lösung zwar nicht auf ein anderes iseries System umschalten, aber sie sind in der Lage, die benötigten Daten im Ernstfall schnell zu extrahieren. Kürzlich sind ACS (Associated Computer Systems) und LightEdge Solutions eine Partnerschaft eingegangen, um eine Disaster Recovery-Lösung anzubieten, mit der sich iseries Systeme in ein LightEdge- Kommunikationsnetzwerk integrieren lassen. Anders als beim traditionellen Frame Relay-Verfahren, das sich bei der Weiterleitung von Datenpaketen primär auf die Endpunkte stützt, wird hier der gesamte Datenverkehr über das LightEdge IP WAN geleitet und kann bei Bedarf beliebig umgeleitet werden. Ein Unternehmen mit angenommenen 20 Niederlassungen, bei dem es zu einem Katastrophenfall kommt, kann eines der drei Rechenzentren in Minneapolis, Des Moines oder Kansas City nutzen und alle Transaktionsdaten, die üblicherweise an die betroffene Niederlassung geleitet würden, stattdessen an das gewählte Rechenzentrum umleiten. Solche Software- und Serviceoptionen bringen deutliche Einsparungen mit sich und veranlassen eine größere Anzahl von Unternehmen, Disaster Recovery-Lösungen zu implementieren. Da sich die Kosten für eine Echtzeit-Replikation sowie ein zweites iseries System mittlerweile in erschwinglichen Kostenbereichen bewegen, kann man vorhersagen, dass solche Lösungen in vier bis fünf Jahren für iseries Betreiber zum Standard gehören, glaubt Simon O Sullivan, Vertriebsdirektor des Unternehmens MaximumAvailability. Die Kosten werden weiter sinken und die Replikationssoftware wird noch leistungsfähiger werden, bis zu einem Punkt, an dem sie den Charakter eines generell eingesetzten, selbstverständlichen Betriebsmittels erreicht. Der Kampf gegen Murphy s Law Aber selbst Kunden, die eine der angeführten Lösungen implementiert haben von der einfachen Bandsicherung über alle möglichen Zwischenschritte bis hin zur umfassenden Hochverfügbarkeitslösung sind mit dem Testen nicht immer sehr gewissenhaft. Und so bestätigt sich Murphy s Law hin und wieder, denn irgendwo lauert immer ein Problem. Für ein Unternehmen mit einem 7 x 24-Stunden-Betrieb mögen die Kosten für einen Test recht hoch ausfallen. Aber die Kosten, die bei einem Systemstillstand anfallen, sind hier um ein Vielfaches höher. Viele Unternehmen denken dann darüber nach, was eigentlich getan werden muss. Die Daten löschen, zurückspielen und dann hoffen, dass alles funktioniert? Ergibt sich dabei eventuell ein Problem, das zuvor gar nicht vorhanden war?, meint Tony Foth, Vizepräsident der Firma ACS. Solange Unternehmen sich keine Ausweichmöglichkeiten schaffen und solange sie nicht bereit sind, Zeit und Geld zu investieren, um ein Recovery durchzuspielen, verfügen sie im Ernstfall nicht über die notwendigen eigenen Erfahrungen, wie ein solcher Prozess abläuft, welche Objekte vielleicht nicht gesichert wurden oder welche Probleme mit den Sicherungsbändern auftreten. Eric Nürnberger, Geschäftsführer der NCT GmbH, empfiehlt, dass Unternehmen zumindest bei einem Systemwechsel einen solchen Test durchführen sollten. Hier ist unser neues System. Es erfordert V5R3. A NCT-CBC V7-178x :45 Uhr Seite 1 DOPPELT GUT! Hochverfügbarkeit On Demand für iseries. Das Continue Backup Center von NCT bietet optimalen Schutz vor Ausfällen und Totalverlust rund um die Uhr. Jetzt zum monatlichen Festpreis ab EUR 998,- NCTGMBH Hans-Böckler-Strasse Trebur Telefon: 06147/913-0 Fax: 06147/ info@nctgmbh.de 18 Dezember 2005 NEWSolutions

6 Gehen wir davon aus, wir hätten einen Katastrophenfall und müssten alles auf die alte Hardware zurückspielen. Was muss getan werden, um den Geschäftsbetrieb wieder aufnehmen zu können? Die Chance, dass dies beim ersten Mal nicht ohne Probleme abläuft, ist durchaus vorhanden. Aber genau das ist der Punkt. Durch die Reaktion auf die auftretenden Probleme lassen sich die Ursachen beseitigen, so dass beim nächsten Mal ein solches Szenario erfolgreich bewältigt werden kann. Und ebenso entscheidend wie intensive Tests ist die Entwicklung eines Plans, der über die reine Technologie hinausgeht. Wohin gehen die leitenden Angestellten im Falle einer Katastrophe? Welche Funktionen und Prozeduren werden von wem abgehandelt? Muss das Hotel, in dem vorübergehend das Call Center etabliert werden soll, Platz für 50 oder nur für fünf Personen bieten? Die IT-Seite ist noch recht einfach sind die betroffenen Personen am richtigen Platz, muss nur geklärt sein, worauf sie zurückgreifen können und auf welchem Wege das geschehen kann, sagt Tony Foth. Der eigentlich herausfordernde Teil ist die Zusammenstellung eines angemessenen Operationsplans und das Testen diesen Plans von der Ausweichlokation aus, an der der Betrieb im Erstfall wieder aufgenommen werden soll. Allgemein ausgedrückt ist das größte Problem, mit dem iseries Betreiber zu kämpfen haben, die eigene Selbstzufriedenheit. Vielfach wird die Zeitspanne unterschätzt, die nach dem Eintritt eines Katastrophenfalls bis zur Wiederaufnahme des Geschäftsbetriebs benötigt wird. Oft werden die Aspekte außerhalb des reinen Systemumfeldes vernachlässigt (Personen, Abläufe, Telefon, Anwendungen, usw.) oder man verlässt sich zu sehr auf die Zuverlässigkeit des IT-Systems. Die meisten Menschen unterhalten eine Feuerversicherung, aber wie oft sieht man ein Haus brennen? sagt Simon O Sullivan. Es ist unverzichtbar, auf das Unerwartete vorbereitet zu sein und nicht nur einfach das Beste zu hoffen. Jill Aitoro (jill_aitoro@hotmail.com) ist freiberufliche Autorin und ehemalige Industriereporterin der NEWSolutions. Übersetzt und für den deutschsprachigen Markt überarbeitet von Joachim Riener. Skalierbares Verfügbarkeitsmanagement ermöglicht Service Level Vereinbarungen Was bedeutet eigentlich Hochverfügbarkeit, wie misst man sie und warum gibt es so viele unterschiedliche Ansichten darüber? Unsere 16jährige Projekterfahrung auf diesem Gebiet hat gezeigt, dass die IT- Verfügbarkeit eines Unternehmens sich an 2 Grundsätzen messen lässt. 1. Regel Endanwender, Kunden oder Lieferanten beurteilen die Verfügbarkeit und Notwendigkeit. 2. Regel / Maxime Die ideale Verfügbarkeit der Ressource Information ist dann gegeben, wenn Anwender jederzeit und ohne Einschränkung darüber verfügen können. In fast allen Firmen ist oder wird zukünftig das Zusammenspiel aller IT-Ressourcen (OS/400, MS-Server, Unix, Linux, Router, Netzwerk, Anwendungen...) die Verfügbarkeit widerspiegeln. Daraus folgt ein plattformübergreifendes Verfügbarkeitskonzept. Linux Unix MS Server Skalierbare Hochverfügbarkeit OS/400 Beispielsweise unterstützt Visual Message Center des Herstellers Tango/04 den kompletten IT-Workflow bestehend aus Problemprävention, -erkennung, -analyse und -behebung. Dies wird über C/S-Technologien bzw. Sensoren für alle Betriebssysteme und Anwendungen bereitgestellt. Die MiMiX-Suite ermöglicht eine Hochverfügbarkeit für iseries bzw. Serverlandschaften. Mit dieser skalierbaren Lösung wird eine Katastrophenvorsorge erreicht und gleichzeitig notwendige Unterbrechungen bei Wartungsarbeiten (Releasewechsel, Plattenerweiterung, Datenbackup, o.ä.) eliminiert. Wie viel Verfügbarkeit bereitgestellt wir entscheidet der Kunde oder eine Risikoanalyse. Unternehmenserfolg sichern e-commerce, Ladenöffnungszeiten, Globalisierung, Data Warehouse, Basel II sind Business-Anforderungen der nächsten Jahre. MIMIX wird überall dort eingesetzt, wo ein kontinuierlicher Systembetrieb für die Arbeit eines Unternehmens entscheidend ist, wo es auf schnelles Handeln ankommt, um rechtzeitig auf Kundenwünsche zu reagieren, und wo Systemausfallzeiten von nur wenigen Minuten mit drastischen Gewinneinbußen und versäumten Geschäftschancen verbunden sind. KEOS Software Service GmbH Odenwaldstraße Rodenbach Tel.: 49 (0) FAX: 49 (0) Internet: Info@keos.de NEWSolutions Dezember