Der erste Teil dieser Artikelserie zeigt eine Begriffsbestimmung und eine Übersicht grundsätzlicher Anforderungen an die Fehlertoleranz von IT-Systemen. In den folgenden Teilen werden Ausfallursachen und -kategorien ebenso behandelt wie Metriken zur Berechnung von Kosten durch Ausfallzeiten sowie Grundlagen der Bedarfsanalyse und der Bestimmung einer Verfügbarkeitsstrategie.

Verfügbarkeit und Hochverfügbarkeit, Fehlertoleranz und SPOFs (Single Point of Failure) sind Begriffe, die im Umfeld hochverfügbarer Systeme eine grundlegende Rolle spielen. Doch wie sind diese definiert?

Verfügbarkeit und Hochverfügbarkeit

Es ist trivial: Ein Service wird als verfügbar bezeichnet, wenn er in der Lage ist, die Aufgaben zu erfüllen, für die er vorgesehen ist. Als Verfügbarkeit wird aber auch die Wahrscheinlichkeit bezeichnet, dass ein System innerhalb eines spezifizierten Zeitraums funktionstüchtig (verfügbar) ist. Die Verfügbarkeit wird als Verhältnis aus Downtime und Uptime eines Systems bemessen:

Verfügbarkeit = Uptime / (Downtime + Uptime)

Ein System gilt als hochverfügbar, wenn eine Anwendung auch im Fehlerfall weiterhin verfügbar ist und ohne unmittelbaren menschlichen Eingriff weiter genutzt werden kann. Anwender/innen sollte keine oder nur eine kurze Unterbrechung wahrnehmen. Hochverfügbarkeit (abgekürzt auch HA, abgeleitet von engl. High Availability) bezeichnet also die Fähigkeit eines Systems, bei Ausfall einer seiner Komponenten einen uneingeschränkten Betrieb zu gewährleisten.

Die Definition des Begriffes High Availability durch das Institute of Electrical and Electronics Engineers (IEEE) lautet:

“Availability of resources in a computer system, in the wake of component failures in the system.” [1]

Die Harvard Research Group (HRG) bezieht den Begriff Hochverfügbarkeit auf den prozentualen Wert der Verfügbarkeit. Sie unterteilt in Verfügbarkeitsklassen [2]. Nach dieser Klassifizierung wird ab einer Verfügbarkeit von mindestens 99,99 Prozent ein System als hochverfügbar bezeichnet.

Es ist naheliegend, dass die Erhöhung der Verfügbarkeit bis hin zur Hochverfügbarkeit durch die Verringerung von Downtimes realisiert wird. Hier unterscheidet man wiederum geplante von den ungeplanten Downtimes: Geplant sind beispielsweise Wartungsfenster für Hardware- und Software-Upgrades, ungeplante Downtimes dagegen resultieren meist aus Fehlern.

Hochverfügbare Architekturen

Hochverfügbare Architekturen verfügen meist über folgende Eigenschaften:

• Toleranz und Transparenz gegenüber Fehlern
• Präventive Build-In-Funktionalitäten
• Proaktives Monitoring und schnelle Fehlererkennung
• Schnelle Wiederherstellungsmöglichkeiten
• Automatisierte Wiederherstellung ohne administrative Eingriffe
• Kein oder geringer Datenverlust

Um geeignete Maßnahmen treffen zu können, sollte man vorab mögliche Systemausfälle und deren Gründe kategorisieren. Denn: Je nach Typ sind unter Umständen grundlegend andere Verfahren zur Vermeidung eines Ausfalls geeignet.

Fehlertolerante Systeme

Fehlertolerante Systeme müssen auf nahezu alle erdenklichen Fehlerursachen reagieren können. Erreicht wird dies durch den Einsatz intelligenter Software in Kombination mit einer Eliminierung von Single Points of Failure (SPOF). Ein SPOF ist eine Komponente, die im System nur einmal vorhanden und für die korrekte, sichere und zuverlässige Funktionsfähigkeit des Gesamtsystems zwingend erforderlich ist. Nicht nur Speicher- und Rechnerkomponenten, auch das Design des Netzwerkes und der Speichertechnik können einen SPOF darstellen: Oft ist der Backend-Server zwar durch einen Cluster aus miteinander vernetzten Rechnerknoten abgesichert, so dass bei einem Ausfall eines Rechners ein anderer dessen Aufgabe übernehmen kann. Allerdings hängen die Clusterknoten manchmal am selben Netzwerkswitch. Fällt dieser aus, nützt auch der Cluster als Schutzmaßnahme nichts: Der Service ist nicht verfügbar.

Redundanz ist hier die Lösung: Korrekt konfigurierte redundante - also mehrfach ausgelegte - Komponenten stellen sicher, dass bei einem Ausfall einer einzelnen Komponente andere des gleichen Typs die Aufgaben übernehmen können. Jede Hardwarekomponente in einem Computersystem - wie beispielsweise Storage-Adapter, Netzwerkkarten, interner Festspeicher oder auch das Netzteil des Rechners - sollte deshalb mindestens zweimal vorhanden sein. Doch kann der Rechner als Ganzes ausfallen. Bei erhöhten Verfügbarkeitsanforderungen muss daher auch die gesamte Rechnerhardware redundant – z. B. in Form eines Standby Systems – gehalten werden. Fällt ein Rechner aus, übernimmt der andere.

Redundant ausgelegte Rechnersysteme nutzen jedoch wenig, wenn eine andere Komponente einen SPOF bildet. So ist die Stromversorgung ein wichtiger Punkt, der gerne vergessen wird. Das Datacenter von IXEurope zum Beispiel verfügte im Jahr 2004 über mehrfach redundante Anbindungen von bis zu einem Dutzend unabhängigen Carrier und gewährleistete damit eine 99,999-prozentige Stromversorgung. Im Falle eines partiellen Netzausfalles kann der Kunde in solchen Konfigurationen innerhalb kurzer Zeit auf einen alternativen Carrier umgeschaltet werden.

Hardware Fehlertoleranz

Fehlertoleranz kann durch Hardware unterstützt werden. Ein gutes Beispiel ist die Fehlertoleranz eines RAID 1 Storage. Hier werden Daten über Plattenspiegelung redundant, also "mehrfach" auf physisch unterschiedlichen Platten gespeichert. Fällt eine Festplatte aus, so hat dies zunächst keinen Einfluss auf die Verfügbarkeit des Gesamtsystems. Der Festplattenspiegel fängt diesen Fehler auf. Der Ausfall bleibt für den Benutzer in der Regel transparent, er wird für ihn also nicht sichtbar.

Software Fehlertoleranz

Software Fehlertoleranz wird häufig mit den bereits genannten Methoden der Hardware-Redundanz kombiniert. Damit eine Anwendung auch nach einem Failover korrekt weiterverarbeiten kann, muss diese in der Regel auf eine Fehlersituation reagieren können. So entsteht bei einem Failover in einem Cluster ein zumindest vorübergehender Verbindungsverlust. In der Regel geht dies mit einem Verlust offener Transaktionen einher. Eine Anwendung muss also in der Lage sein, dies zu erkennen und gegebenenfalls zurückgerollte Verarbeitungsschritte nach einem Wechsel der Verbindung auf dem Ersatzsystem nachzuholen.

Hybride Verfahren

Im Rahmen von Clustersystemen, bei denen ein ganzes Rechnersystem redundant vorgehalten wird, wird Fehlertoleranz in einer Kombination aus Hardware und intelligenter Software bereitgestellt. Hier wird zum einen die hardwareseitige, redundante Auslegung eines Gesamtsystems genutzt, andererseits spielen aber auch Softwarekomponenten eine herausragende Rolle. So ist die Clustersoftware für die Erkennung eines Systemausfalls, die nachfolgende Fehlerbehandlung und erneute Bereitstellung der Dienste verantwortlich. Durch eine automatische Wiederherstellung der Betriebsfähigkeit eines Systems wird hier die Systemverfügbarkeit ohne menschlichen Eingriff wiederhergestellt. Idealerweise sollten hierbei kein Daten- oder Verbindungsverluste entstehen.