Distanz im Dienst der Hochverfügbarkeit Was ist Georedundanz?

Unter Georedundanzen versteht man den Einsatz von zwei oder mehrere vollständig funktionsfähige Datacenter an entfernten Standorten, um Beeinträchtigungen bei Wartungsarbeiten bis hin zu Katastrophenfällen wie höhere Gewalt zu vermeiden. Dabei sind gesetzliche Regularien zu beachten.

Anbieter zum Thema

Rosenberger-OSI GmbH & Co. OHG

Datacenter One GmbH

Schwarz IT KG

Auf Grund der zunehmenden Nachfrage für Cloud-Angebote, immer mehr in den Fokus rückende persönliche Haftungsrisiken der Geschäftsleitung von Unternehmen sowie verschärfte Regularien, werden Forderungen hinsichtlich einer erweiterten und optimierten Betriebssicherheit vor allem im Bereich von Backup- und Redundanzlösungen zusehends lauter.

Die Georedundanz für Rechenzentren ist eine dieser präventiven Maßnahmen. Dabei geht es um ein oder mehrere Datacenter als Ausweichmöglichkeit beziehungsweise Maßnahme zur Notfallvorsorge. Das heißt: Sollte das laufende Rechenzentrum ausfallen, übernehmen je nach Bedarfslage eines oder weitere Rechenzentren an anderen entfernten Standorten den Betrieb. Georedundanz ist zum Beispiel für Behörden oder Unternehmen mit hohen oder sehr hohen Anforderungen an die Verfügbarkeit von Bedeutung.

Verschärfung der Auflagen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) definierte 2019 mit einer Neuauflage der „Kriterien für die Standortwahl höchstverfügbarer und georedundanter Rechenzentren“ den Mindestabstand zwischen den Datacentern neu. Darin wurde die Distanz drastisch erhöht - auf 200 Kilometer. Als Begründung führt das BSI den „Schutz vor Naturgewalten“ beziehungsweise Großschadenereignisse wie die Schneekatastrophe im Münsterland von 2005 oder das Jahrhunderthochwasser der Elbe und der Donau von 2013 an.

Abstand bitte: Latenzen, Kosten und noch viel mehr Probleme folgen

BSI: Georedundanz bedeutet 200 Kilometer zwischen den Rechenzentren

Nachgefragt: Die Empfehlungen für Georedundanz

BSI-Kriterien für Redundanz-Datacenter - Ist das Bundesamt übers Ziel hinausgeschossen?

Georedundanz-Regeln aus der Sicht eines Kolokateurs

Die Konzepte für (Geo-)Redundanz ändern sich

Solche großen Katastrophen führen zur Einsicht, dass gleich ganze Regionen von Ausfällen bedroht sein könnten. Daher dürfen Rechenzentren nicht gleichzeitig oder zeitnah auf mehrere Rechenzentren einer Redundanzgruppe treffen. Das bedeutet, je größer der Abstand zwischen den Standorten, umso unwahrscheinlicher sei es, dass beide von der gleichen Bedrohung betroffen sein könnten. Dies wird vom BSI genauer spezifiziert:

Hochwasser

Innerhalb eines Fluss-Systems sollte maximal ein Data Center einer Georedundanzgruppe betrieben werden.

Erdbeben

Höchstverfügbare Rechenzentren dürfen nur mit einem Standort in der Erdbebenzone 1 betrieben werden. Alle anderen gehören in Zone 0 oder in Bereiche ohne Erdbebengefahr.

Wind

In einer Redundanzgruppe darf maximal nur ein Data Center in einer Windzone 420 im Einsatz sein.

Energieversorgung

Innerhalb eines Netzsegmentes der obersten Netzebene (380 Kilovolt) darf sich maximal nur eines der Georedundanz-Datacenter befinden.

Verpflegung

Greifen georedundante Rechenzentren auf das gleiche Catering-Unternehmen zurück, so dürfen die Lebensmittel für mehr als ein Rechenzentrum nicht in der gleichen Küche zubereitet werden.

Wenngleich das Bundesamt für Sicherheit in der Informationstechnik (BSI) mit den „Kriterien für die Standortwahl höchstverfügbarer und georedundanter Rechenzentren“ auf TÜV-Vorschriften verweist, ersetzen die Regularien weder Auditierungs- noch Zertifizierungsverfahren.

Vielmehr geht es dabei um eine allgemeingültige Grundlage für alle bei der Standortauswahl für ein RZ zu hinterfragenden Entscheidungen. Wobei sich die Dimensionen „hochverfügbar“ und „höchstverfügbar“ an den im HV-Kompendium definierten Verfügbarkeitsklassen 3 und 4 orientieren.

Mit der Klasse 3 ist eine Zielverfügbarkeit von 99,99 Prozent pro Jahr gemeint. Die Dauer des maximal akzeptierten Ausfalls liegt unter einer Stunde. Klasse 4 entspricht einer Zielverfügbarkeit von 99,999 Prozent pro Jahr und der maximale Jahresausfall beträgt rund 5,25 Minuten.

Kritische Betrachtung

Bei der Ausweitung des Datacenter-Verbunds von bisherigen gebäudetypischen Entfernungen stellen sich jedoch neue Herausforderungen. Während sich die Signallaufzeiten innerhalb eines Standorts im Mikrosekundenbereich bewegen, führt Georedundanz zu Latenzwerten im Bereich von Millisekunden.

Diese Erhöhung um mehrere 10er Potenzen hat Auswirkungen auf die Dauer von Transaktionen. Das bedeutet, dass der Datentransfer zwischen Servern oder Speichersystemen anders geplant werden muss als an einem einzelnen Standort. Somit treten synchrone Replikationsverfahren eher in den Hintergrund, wogegen asynchrone Verfahren je nach Entfernung an Bedeutung gewinnen.

Ebenso muss das Betriebskonzept überdacht werden. Mit Data Center an entfernten Standorten ist es nicht unerheblich, wo eine virtuelle Maschine gerade zu einem bestimmten Zeitpunkt läuft oder ob eine bestimmte Maßnahme in dem einen oder dem anderen Rechenzentrumsschrank durchzuführen ist.

Diese Fragenstellungen geben zum Beispiel vor, ob ein redundanter Datacenter-Standort als reines Ausweichrechenzentrum betrieben wird, das nur in Notfällen die Funktion des Hauptstandorts übernimmt, oder ob die Datacenter im Lastverteilungsmodus gefahren werden.

(ID:46297494)