HA – Hochverfügbarkeit

Abkürzung: HA

Hochverfügbarkeit bezeichnet die Eigenschaft eines Systems, seinen Dienst auch beim Ausfall einzelner Bestandteile weiter zu erbringen. Der englische Begriff High Availability liefert die gebräuchliche Abkürzung HA.

Gemeint ist dabei die Systemebene — Server, Software, Datenhaltung. Die Gebäudetechnik darunter wird über Verfügbarkeitsklassen beschrieben, und beides zusammen ergibt erst, was beim Nutzer ankommt.

Die Neunen

Verfügbarkeit wird als Anteil der Zeit angegeben, in der ein System nutzbar ist. Die gängigen Stufen:

Jede weitere Neun kostet ungefähr das Zehnfache und bringt eine zehnmal kleinere Verbesserung. Deshalb ist die Frage nicht, wie viele Neunen erreichbar sind, sondern welcher Ausfall tatsächlich weh tut.

Und: Die Zahlen sind Jahresmittel. Fünf Minuten Ausfall im Jahr klingen harmlos — wenn sie am Monatsersten um neun Uhr anfallen, sind sie es nicht.

Woraus sich Verfügbarkeit ergibt

Rechnerisch ist sie der Anteil der Betriebszeit an der Gesamtzeit:

Verfügbarkeit = MTBF / (MTBF + MTTR)

MTBF ist die mittlere Zeit zwischen zwei Ausfällen, MTTR die mittlere Zeit bis zur Wiederherstellung.

Die Formel enthält eine Einsicht, die in der Praxis oft übersehen wird: Beide Größen wirken gleich stark. Ein System, das selten ausfällt, aber lange braucht, bis es wieder läuft, ist nicht besser als eines, das öfter ausfällt und schnell zurückkommt. Weil sich die MTTR meist deutlich billiger verbessern lässt als die MTBF, liegt dort gewöhnlich der größere Hebel — ein geübter Wiederanlauf schlägt teurere Hardware.

Die üblichen Bauformen

Aktiv-passiv. Ein zweites System läuft mit, übernimmt aber erst im Fehlerfall. Einfach zu bauen, und die Reserve steht die meiste Zeit ungenutzt herum. Der wunde Punkt: Ob die Übernahme funktioniert, zeigt sich erst im Ernstfall — wenn sie nie geübt wurde.

Aktiv-aktiv. Beide Systeme arbeiten gleichzeitig und teilen sich die Last. Teurer in der Entwicklung, weil die Anwendung damit umgehen muss, dafür ist die Übernahme erprobt, denn sie findet ständig statt.

Cluster fassen mehrere Knoten zusammen, die sich gegenseitig überwachen und Dienste untereinander verschieben.

Split Brain

Der klassische Fehlerfall einer hochverfügbaren Anlage ist nicht der Ausfall, sondern das Missverständnis.

Verlieren zwei Knoten die Verbindung zueinander, ohne dass einer tatsächlich ausgefallen ist, hält jeder den anderen für tot und übernimmt. Beide schreiben, beide glauben sich zuständig, und die Daten laufen auseinander — oft unbemerkt, bis die Verbindung zurückkommt.

Verhindert wird das über ein Quorum: Nur wer die Mehrheit der Stimmen hat, darf weiterarbeiten. Deshalb bestehen Cluster bevorzugt aus einer ungeraden Zahl von Knoten, oder es gibt einen dritten Zeugen an einem unabhängigen Ort.

Der Single Point of Failure

Jede hochverfügbare Auslegung ist nur so gut wie ihre schwächste gemeinsame Abhängigkeit. Typische Kandidaten, die bei der Planung durchrutschen:

• ein gemeinsamer Speicher hinter zwei Servern
• ein Verzeichnisdienst, ohne den sich niemand anmelden kann
• ein Zertifikat, das abläuft — auf beiden Systemen gleichzeitig
• zwei Netzwerkkabel im selben Kabelkanal
• dieselbe Software mit demselben Fehler auf beiden Knoten

Der letzte Punkt ist der unangenehmste, weil Redundanz dagegen prinzipiell nicht hilft: Ein fehlerhaftes Update wird auf dem zweiten System genauso ausgeführt wie auf dem ersten.

Was Hochverfügbarkeit nicht leistet

Sie ersetzt keine Datensicherung. Ein versehentlich gelöschter Datensatz ist Sekunden später auf allen Knoten gelöscht, und Verschlüsselungstrojaner werden genauso zuverlässig gespiegelt wie Nutzdaten. Verfügbarkeit und Wiederherstellbarkeit sind getrennte Ziele mit getrennten Werkzeugen.

Sie schützt nicht vor dem Verlust des Standorts. Dafür braucht es Georedundanz.

Sie ist keine Zusicherung. Was ein Anbieter vertraglich schuldet und was eine Unterschreitung kostet, steht im Service Level Agreement — und die dort vereinbarte Gutschrift liegt fast immer weit unter dem Schaden.