Reserve, capaciteit en bewaking

De reserve voor uitval, herstel en overname ligt per cel vast en gaat niet naar afnemers. Uitvalreserve is capaciteit voor het verlies van één knooppunt, geen vrij uit te geven quotum.

Iedere cel kent drie soorten reserve, naast de capaciteitsgrenzen van de samenstelling. De capaciteit per cluster ligt vast bij de clusters zelf.

De reserve voor herstel en overname wordt in een vaste voorrang ingezet: overname van bedrijfskritische diensten, herstel van vlootbrede voorzieningen, de herstelomgeving bij een incident, gepland onderhoud en als laatste een herstelproef. Schiet de reserve tekort, dan gaan eerst de werkers van clusters in het profiel ontwikkelen en beproeven in die cel uit.

Vanaf groeipadstap 2 ligt de capaciteit voor de overname van bedrijfskritische diensten apart van de uitvalreserve.

Iedere cel heeft één koude reserveserver van het werkertype, zonder stroom. Zij vervangt een werkerknooppunt van het clusterbeheer na blijvend verlies, levert schone rekencapaciteit voor de herstelkern en is in cel 2 deel van het hersteldoel van het vlootbeheer. Na inzet komt er een nieuwe.

Het hersteldoel van het vlootbeheer in cel 2, de koude reserveserver en twee werkerknooppunten van de werkervirtualisatie, hoort bij de reserve van cel 2. De werkervirtualisatie in cel 2 krijgt daarom ten minste zes werkerknooppunten, plus wat de overname van bedrijfskritische diensten vraagt; zo houdt zij na dat herstel haar uitvalreserve.

Een aanvraag voor bedrijfskritische productie zonder reserve in de andere cel wordt geweigerd. Vragen de bedrijfskritische diensten van cel 1 na overname meer dan de reserve van cel 2, dan krijgt cel 2 werkerknooppunten erbij voordat die diensten in dat profiel gaan. De reserve voor bedrijfskritische diensten wordt afgeleid uit de werkelijk afgenomen diensten en hun bedrijfsimpactanalyse.

Een herstelproef gebruikt de reserve alleen als geen overname, onderhoud of incident haar nodig heeft; vóór iedere proef wordt de capaciteit gecontroleerd.

Van de tien plaatsen op het clusterbeheer zijn er twee voor het bouw- en het portaalcluster, één voor de herstelomgeving en zeven voor applicatieclusters van teams, waaronder de proefgroep; er is geen apart proefcluster. Iedere cel houdt één plaats vrij voor de herstelomgeving. Het besturingscluster van het dienstennetwerk telt pas mee zodra het dienstennetwerk er is; de gedeelde databasevoorziening krijgt vanaf groeipadstap 3 plaatsen buiten de tien.

De cel van een applicatiecluster staat in zijn naam in de dienstbeschrijving; de beleidstoetsing weigert een cel zonder vrije plaats. Een bedrijfskritische dienst noemt beide cellen, de schrijvende cel en haar dienstnaam onder het vlootdomein. Een afnemer kiest profiel en cel, niet de plaatsing binnen de cel of de reserve.

De samenstelling heeft bij de eerste levering deze omvang en groeit zo.

Iedere uitbreiding volgt de rekindeling en heeft een groeibesluit over reserve, foutdomeinen, ruimte, vermogen en poorten; ruimte en vermogen worden per uitbreiding opnieuw berekend.

De capaciteitsrapportage toont per cel de gereserveerde en de gebruikte reserve, naast capaciteit, kosten en gebruik per dienst en per afnemer.

De samenstelling draagt de dienstprofielen met deze normen: volledige opslagbescherming binnen 8 uur, herstart van het versiebeheer binnen 15 minuten, de herstelomgeving binnen 90 minuten opgebouwd, herstel van het vlootbeheer binnen 24 uur en overname binnen de hersteltijd en het herstelpunt uit de dienstbeschrijving. Blijft de reactie op een melding uit, dan volgt escalatie naar de vervanger en daarna naar platformbeheer.

Ieder cluster bewaakt zichzelf en meldt rechtstreeks aan de meldingsroutes. Het vlootbeheer vat de metingen samen, met de historie in de objectopslag van cel 1; in de eerste levering gaat die historie met cel 1 verloren. Ieder platformcluster, ook het vlootcluster, levert zijn audit- en beveiligingslogboeken rechtstreeks aan het SOC.

Iedere meetwaarde van de samenstelling heeft een drempel, een ontvanger en een actie, zodat uitval en krapte zichtbaar worden vóór de harde grens. De meldingen voor een onbereikbaar vlootcluster, uitval van de koppeling, mislukte replicatie en inzet van reserve komen erbij voor de samenstelling en staan in de meldingsroutes zodra de bewaking in gebruik gaat.