RTO i RPO

RTO i RPO to dwa fundamentalne parametry planu odtwarzania po awarii (disaster recovery), które przekładają wymagania biznesowe na konkretne wartości techniczne. RTO (Recovery Time Objective) to docelowy, maksymalny czas, w jakim usługa musi zostać przywrócona po incydencie. RPO (Recovery Point Objective) to maksymalna akceptowalna ilość danych, jaką organizacja może stracić, wyrażona jako odcinek czasu — np. „nie więcej niż 15 minut pracy”.

Na czym polega różnica między RTO a RPO

Choć oba parametry mierzy się w jednostkach czasu, opisują zupełnie różne aspekty awarii. RPO cofa nas w przeszłość: mówi, do jakiego momentu sprzed awarii da się odtworzyć dane. Jeśli RPO wynosi godzinę, a awaria nastąpiła o 14:00, akceptujemy utratę danych zapisanych po 13:00 — czyli kopie muszą powstawać co najmniej raz na godzinę. RTO patrzy w przyszłość: to okno od momentu awarii do pełnego wznowienia usługi. Im niższe RTO, tym szybciej trzeba uruchomić środowisko zapasowe, co zwykle oznacza gotowy, uruchomiony sprzęt zamiast odtwarzania z kopii na surowej maszynie.

Niskie wartości obu parametrów kosztują. RPO liczone w sekundach wymaga replikacji synchronicznej, a RTO liczone w minutach — architektury wysokiej dostępności z automatycznym przełączaniem. Dlatego wartości dobiera się osobno dla każdej usługi, zależnie od kosztu jej przestoju.

Zastosowanie w praktyce

System bankowy może mieć RPO bliskie zeru (każda transakcja replikowana od razu) i RTO liczone w minutach. Blog firmowy zniesie RPO równe 24 godzinom (nocny backup) i RTO kilku godzin. W praktyce RTO i RPO zapisuje się w umowach SLA i weryfikuje regularnymi testami odtwarzania — plan, którego nigdy nie przećwiczono, w dniu awarii zwykle zawodzi. Dobrze dobrany zestaw kopii, snapshotów i replikacji pozwala pogodzić realne wartości z rozsądnym budżetem, dlatego strategia ochrony danych jest stałym elementem projektowania środowisk serwerowych.