BCPとDRとは ― RPO・RTOの違い

地震や火災でシステムが使えなくなったとき、どう業務を続け、どう元に戻すか。それを前もって決めておくのがBCPとDRです。BCP（事業継続計画）は、重要な事業を止めない、または止まっても短い期間で復旧させるための計画です。DR（ディザスタリカバリ）は、使えなくなったITシステムを復旧させるための対策で、BCPを支える取り組みの1つです。

BCPは業務全体を対象にします。情報システムの復旧だけでなく、代わりの拠点の確保や、取引先への情報発信なども含みます。DRは、ITシステムという対象にしぼった復旧の対策です。

DRの計画で数字にして決める主な目標が、次の節のRPOとRTOです。どちらも、止まらない度合いを表す稼働率とは別の、止まった後の目標です。

障害が起きると、ITシステムは一時的に止まります。止まっている間のデータと時間について、あらかじめ2つの目標を決めておきます。

RPO（目標復旧時点）とは、失ったデータを過去のどの時点まで復旧させるかの目標です。RTO（目標復旧時間）とは、障害の発生からシステムを復旧させるまでの、許容する時間の目標です。

RPOは、障害発生より前を向いた目標です。直前のバックアップから障害発生までの間に作られたデータは、復旧しても失われる可能性があります。この範囲をRPOの目標以内に収めます。

RTOは、障害発生より後を向いた目標です。システムが止まってから使えるようになるまでの時間を、RTOの目標以内に収めます。ディスク1台の故障なら、RAIDによる冗長化で、システムを止めずに済むこともあります。

この2つとあわせて、RLO（目標復旧レベル）を決めることもあります。RLOは、復旧後にどの水準まで業務を戻すかの目標です。例えば、一部の機能だけを先に復旧させ、残りは後から復旧させるといった水準を、あらかじめ決めておきます。

RTOの目標を達成するには、予備の機器をどこまで準備しておくかを決めます。代表的な3つの方式を、切り替えにかかる時間が長い順に並べます。

ホットスタンバイほど切り替えが速く、RTOの目標を短くできます。ただし、予備機を常に動かしておく分、コストも高くなります。コールドスタンバイは、普段は予備機の電源を切っておくため、費用を抑えられます。その代わり、障害後に起動・設定する時間がかかる分、RTOは長くなります。

方式を選ぶときは、決めたRTOの目標と、かけられるコストを見比べます。復旧を急ぐ重要な業務にはホットスタンバイ、多少時間がかかってもよい業務にはコールドスタンバイ、というように業務ごとに使い分けることもあります。AWSで別のリージョンに待機側を置く4つの戦略と、AWSでのウォームスタンバイの意味の違いは、AWSのDR戦略の記事で比べています。予備機を用意して故障に備える考え方そのものは、フォールトトレラントやデュプレックスシステムの記事で説明しています。

RPO・RTOの目標を決めても、実際のバックアップの間隔や復旧にかかる時間が目標を超えていれば、目標は達成できません。次の計算機で、入力した値が目標を満たすかを確かめられます。

初期値は、RPOの目標1時間に対してバックアップの間隔が6時間のため、満たせない可能性があります。次のバックアップの直前に障害が起きると、最大6時間分のデータを失うからです。RTOの目標4時間に対しては、復旧の見込みが2時間のため、目標を満たせます。

RPOを満たせない場合は、バックアップの間隔を短くするか、RPOの目標そのものを見直します。RTOを満たせない場合は、スタンバイ方式を切り替えが速いものに変えるか、RTOの目標を見直します。戻すのにかかる手間は、フル・差分・増分バックアップのどれで取るかでも変わります。目標と方式を決めたあとは、計画どおりに復旧できるかを訓練で定期的に確かめます。

• 内閣府 事業継続ガイドライン（平成25年8月改定）（RPO・RTO・RLOの定義）
• NIST SP 800-34 Rev.1 Contingency Planning Guide for Federal Information Systems（BCPとDRPの違い、Cold Site・Warm Site・Hot Siteの定義）