Live-Patching: Ausfallzeiten runter – Security hoch

Wenn der planmäßige oder unplanmäßige Ausfall von Diensten in Unternehmen zu Unterbrechungen des Betriebsablaufs führt, verlieren immer alle: Das Unternehmen verliert Zeit und Geld und der Anbieter der Dienste verliert seinen guten Ruf. Ob ein Server aufgrund einer geplanten Wartung oder wegen eines Defekts nicht mehr erreicht werden kann, ist dabei zumeist unerheblich – Unterbrechungen kosten auch dann Geld, wenn sie im Vorfeld angekündigt wurden.

Es lohnt sich also, sich genauer mit diesem Thema auseinanderzusetzen. Nachfolgend soll zunächst ein Blick auf die unterschiedlichen Gründe für Ausfallzeiten geworfen werden. Anschließend geht es um technische Möglichkeiten, Ausfallzeiten zu verringern. Dass hierbei die Systemsicherheit stets gewahrt bleiben muss, versteht sich von selbst. Ausfallzeiten existieren in zwei unterschiedlichen Formen – entweder als geplante oder als ungeplante Ausfallzeiten.

Geplante Ausfallzeiten

Geplante Ausfallzeiten treten normalerweise im Rahmen festgelegter Wartungsfenster auf. Damit die Wartung die Betriebsabläufe eines Unternehmens möglichst wenig beeinträchtigt, müssen bei der terminlichen Gestaltung der dafür vorgesehenen Zeitfenster die Bedürfnisse verschiedenster Stakeholder beachtet werden. Üblicherweise fallen sie auf ein Wochenende, da der Abstimmungsbedarf auf diese Weise minimiert werden kann. Die Häufigkeit hängt von verschiedenen Faktoren ab und bewegt sich, je nach Unternehmen, üblicherweise zwischen monatlicher und jährlicher Wartung. Innerhalb der Zeitfenster werden administrative Tätigkeiten an der Software, der Hardware oder am Rechenzentrum selbst durchgeführt.

Im Software-Bereich sind Ausfallzeiten durch Änderungen an der System- oder Anwendungskonfiguration, häufig aber durch Software-Updates bedingt. Im letzteren Fall geht es darum, durch die Einspielung neuer Software-Pakete zusätzliche Funktionalitäten bereitzustellen und fehlerhafte Software zu eliminieren oder zu reparieren. Die Eliminierung von Softwarefehlern hat unter Umständen einen rechtlichen Hintergrund, zum Beispiel wenn man Kreditkarteninformationen verarbeitet und den PCI-Sicherheitsstandards unterworfen ist.

Im Hardware-Bereich trifft man im Wartungszusammenhang oft auf das Schlagwort "Mean Time Between Failures" (MTBF), welches dem Administrator suggeriert, er könne unter Zuziehung stochastischer Methoden berechnen, wann eine bestimmte Hardware-Komponente ausfällt. In einigen Bereichen mag ein solches Vorgehen hilfreich sein, verlassen kann man sich darauf jedoch nicht. Deshalb wird das Wartungsfenster im Hardware-Bereich dazu genutzt, defekte Komponenten wie Festplatten, CPUs oder Speicher auszutauschen. Ausgetauscht wird mitunter auch Hardware, die zwar noch nicht kaputt ist, aber über das Systemlog einen baldigen Ausfall ankündigt. Auch der vollständige Austausch eines geschlossenen Systems, wie zum Beispiel einer Storage-Einheit, kann im Wartungsfenster erfolgen.

Natürlich bieten sich Wartungsfenster auch an, um Arbeiten an der Infrastruktur oder am Rechenzentrum selbst vorzunehmen. Dazu fallen unter anderem Arbeiten an der Netzwerkinfrastruktur, die Reinigung der Klimaanlage, eine Überprüfung der Feuerlöschanlage oder generelle Reparaturarbeiten am Gebäude.

Für Unternehmen mit einem eigenen Rechenzentrum ist es nicht möglich, geplante Ausfallzeiten im Rahmen von Wartungsfenstern zu vermeiden. Lediglich Frequenz und Dauer lassen sich minimieren. Ein Weg sind Lösungen wie SUSE Manager auf Ebene des Betriebssystems oder SAP Landscape Virtualization Management für die SAP-Landschaft, die eingesetzt werden können, um Tätigkeiten zu automatisieren oder zu parallelisieren. Folgendes Dilemma lässt sich damit jedoch nicht ausräumen: Während einige Wartungsarbeiten nur sehr selten durchgeführt werden müssen, ist es besonders im Hinblick auf Sicherheitsaspekte unumgänglich, mit hoher Regelmäßigkeit Aktualisierungen an der Infrastruktur des Rechenzentrums vorzunehmen. Das Problem verschwindet auch dann nicht, wenn man ausschließlich auf Hosting oder die Public Cloud setzt. In einem solchen Fall hat man die Wartung lediglich an den Dienstleister ausgelagert – der Cloud- oder Hosting-Anbieter übernimmt diese Aufgaben dann, aber die Ausfallzeiten verschwinden dadurch nicht. Über entsprechende Service-Level-Agreements können geplante Ausfallzeiten allenfalls minimiert, nicht aber vollständig vermieden werden.

Ungeplante Ausfallzeiten

Wie der Name schon sagt, sind ungeplante Ausfallzeiten schlicht nicht vorherzusehen. Ihr Auftreten folgt Murphys berühmten Gesetz: Zu ungeplanten Ausfällen kommt es zumeist dann, wenn der Zeitpunkt schlechter kaum sein könnte. Glücklicherweise existiert inzwischen für fast jedes mögliche Szenario mindestens eine Technologie, die im Ernstfall Abhilfe schafft.

Zu ungeplanten Ausfällen kommt es zumeist dann, wenn der Zeitpunkt schlechter kaum sein könnte.

Einige Beispiele: Gegen Stromausfälle helfen neben einer redundanten Stromversorgung auch Batterieschränke und Dieselgeneratoren. Kommt es zu Festplattenausfällen, stellen RAID-Systeme die Datenverfügbarkeit sicher – die defekten Festplatten können bequem im Rahmen eines Wartungsfensters ausgetauscht werden. Load-Balancer, sofern von der Anwendung unterstützt, erlauben den fortlaufenden Betrieb eines Systems, selbst wenn eine oder mehrere Komponenten ausfallen. RAS-Features (Reliability, Availability, Serviceability) melden dem Betriebssystem fehlerhafte CPUs und Arbeitsspeichermodule; diese werden dann aus dem Scheduling herausgenommen, um falsche Berechnungen zu vermeiden. Wenn hingegen eine Konfigurationsänderung oder das Einspielen von Patches das System aus dem Gleichgewicht bringt, ermöglicht System-Rollback die Rückkehr zu einem früheren, nachweislich funktionierenden Systemzustand. Dank High-Availability-Szenarien und Load-Balancern, wird ein Service auch dann nicht beeinträchtigt, wenn verschiedene Komponenten ausfallen. Und mittels Virtualisierung kann nicht nur auf eine hohe Ressourcenauslastung, sondern durch ein entsprechendes Setup auch auf den Ausfall eines kompletten physischen Hosts effektiv reagiert werden.

Doch was hilft gegen fehlerhafte Software? Hier bleibt dem Administrator nur das regelmäßige Patchen – und das lässt sich ohne einen Neustart der Applikation oder einen Reboot nicht ohne Weiteres bewerkstelligen. Wie wir gleich sehen werden, können neue Technologien jedoch Abhilfe schaffen.