Sao lưu và mất dữ liệu
Sao lưu và mất dữ liệu
Bạn có hai bản của đồ án, nên bạn yên tâm. Bài này tính ra con số cho sự yên tâm đó, và con số thường nhỏ hơn nhiều so với cảm giác.
Bài an toàn và liêm chính nói về việc giữ cho người khác không vào được dữ liệu của bạn. Bài này nói về một chuyện khác hẳn, và thường xảy ra trước: dữ liệu tự biến mất, không cần ai tấn công. Ổ cứng chết giữa kỳ. Máy bị đánh cắp ở quán cà phê. Một lệnh xoá gõ sai thư mục. Một tài khoản bị khoá vì lý do bạn không kịp hiểu.
Chuyện này khác với mọi thứ khác trong môn học ở một điểm: nó không thể sửa sau. Mật khẩu yếu thì đổi được, bài viết dở thì viết lại được, còn đồ án tốt nghiệp không còn bản nào thì không có cách nào cứu. Vì thế đây là chỗ đáng tính bằng số thay vì cảm giác.
Quy tắc 3-2-1
Quy tắc lâu năm nhất trong nghề, và cũng ngắn nhất, gồm ba điều kiện:
- ba bản của cùng dữ liệu, tính cả bản bạn đang làm việc trên đó;
- trên hai loại phương tiện khác nhau, ví dụ ổ trong máy và ổ cứng ngoài;
- và một bản ở nơi khác, không cùng một căn phòng với hai bản kia.
Mỗi điều kiện chặn một loại nguyên nhân. Ba bản chặn chuyện một thiết bị chết. Hai loại phương tiện chặn chuyện cả một dòng thiết bị có lỗi giống nhau, hoặc một phần mềm làm hỏng đúng một định dạng. Một bản ở nơi khác chặn chuyện cháy, ngập, mất trộm, tức những nguyên nhân lấy mọi thứ trong cùng một chỗ.
Quy tắc chỉ có ba điều kiện đó. Nó không nói gì về đồng bộ, về tài khoản dùng chung, hay về việc bạn có bao giờ thử phục hồi hay chưa. Ba chỗ đó là ba chỗ hay hỏng nhất, nên phần còn lại của bài dành cho chúng.
Đồng bộ không phải sao lưu
Đây là điều quan trọng nhất trong bài, và nó ngược với cảm giác của gần như mọi người.
Một thư mục đồng bộ mây (Google Drive, OneDrive, Dropbox, iCloud) làm đúng một việc: giữ cho bản trên mây giống bản trên máy. Nó không giữ lịch sử của bạn, nó giữ trạng thái hiện tại của bạn. Cho nên:
- bạn xoá một tệp trên máy, đồng bộ xoá luôn bản trên mây;
- bạn ghi đè một chương luận văn bằng bản nháp cũ, đồng bộ ghi đè bản trên mây;
- ransomware mã hoá thư mục của bạn, đồng bộ ngoan ngoãn đẩy bản đã mã hoá lên mây và ghi lên bản còn đọc được.
Ransomware là loại mã độc mã hoá toàn bộ tệp của bạn rồi đòi tiền để đưa khoá giải mã. Nó không xoá gì cả, nên với hệ thống đồng bộ thì đó chỉ là "người dùng vừa sửa rất nhiều tệp một lúc", một việc hoàn toàn hợp lệ.
Nói cách khác: đồng bộ nhân bản của bạn lên, nhưng nó cũng nhân lệnh của bạn lên. Một bản sao lưu thật thì phải có ít nhất một trong hai tính chất sau: nó không nhận lệnh từ máy đang làm việc (một ổ cứng ngoài rút ra khỏi máy), hoặc nó giữ được phiên bản cũ để bạn quay lại thời điểm trước tai hoạ.
Nhiều dịch vụ mây có tính năng lịch sử phiên bản, và nếu bạn bật nó và biết cách dùng nó thì bản trên mây tiến gần tới một bản sao lưu thật. Nhưng đó là một tính năng bạn phải kiểm tra, không phải một thứ mặc định có.
Thử ngay: tính rủi ro mất hết bằng số
Câu "nên có nhiều bản" thì ai cũng đồng ý, nhưng nhiều bao nhiêu, và nhiều thì lợi bao nhiêu, thì hầu như không ai nói. Chuyện đó tính được.
Đặt q là xác suất một bản bị mất trong một năm. Nếu các bản độc lập với nhau, mất hết n bản là q nhân với chính nó n lần, tức q^n. Phép nhân các số nhỏ hơn 1 làm kết quả tụt rất nhanh, và đó chính là lý do sao lưu có tác dụng.
Hãy kéo từng núm trong sim, và chú ý ba tầng của nó: sơ đồ quyết định quy tắc 3-2-1 đạt hay thiếu, hai xác suất quyết định rủi ro mất toàn bộ, khoảng cách và hai tốc độ quyết định bạn mất bao nhiêu công và chờ bao lâu.
1 · Sơ đồ và quy tắc 3-2-1 ✎ sửa được
| bản | phương tiện | ở đâu | tài khoản | loại bản |
|---|---|---|---|---|
| đang làm việc | ổ trong máy | cùng chỗ với máy | tài khoản 1 | bản gốc |
| bản 1 | ổ cứng ngoài | nơi khác | tài khoản 1 | bản đồng bộ (không phải bản sao lưu) |
- Thiếu điều kiện "ba bản": đang có 2 bản, cần thêm 1 bản nữa.
- 1 trong 2 bản là bản đồng bộ. Trước một lần xoá nhầm hoặc một lần ransomware, bạn chỉ còn 1 bản, vì lệnh xoá và bản mã hoá được đồng bộ đi theo.
- Một tài khoản đang giữ 2 bản. Mất tài khoản đó, hoặc bị chiếm tài khoản đó, là mất 2 bản trong cùng một lúc.
2 · Xác suất mất toàn bộ trong một năm ✎ sửa được
Nếu 2 bản hỏng độc lập với nhau thì mất hết là q nhân với chính nó 2 lần, tức 0,2500%. Nhưng 40,00% rủi ro của mỗi bản đến từ một nguyên nhân chung, nên một biến cố duy nhất có thể lấy mọi bản cùng lúc với xác suất a = c × q = 2,00%. Phần còn lại mới thật sự nhân được:
a + (1 - a) × b^n = 0,0200 + 0,9800 × 0,0306^2 = 2,09%b = 0,030612 là xác suất một bản hỏng vì lý do riêng của nó, chọn sao cho mỗi bản vẫn hỏng đúng 5,00% một năm, đúng con số bạn đặt. Hệ số tương quan giữa hai bản khi đó là 0,3878, khác với núm 0,40 bạn kéo, nên sim in cả hai chứ không coi chúng là một.n × (1 - q), mù hoàn toàn trước tương quan. Cái đổi là xác suất mất hết. Đây là lý do một con số trung bình không bao giờ đủ để nói về tai hoạ.| số bản | mất toàn bộ | nếu độc lập | tệ hơn mấy lần | thêm bản này bớt được | đạt ngưỡng |
|---|---|---|---|---|---|
| 1 | 5,00% | 5,00% | 1,00 lần | 95,00% | ✗ chưa |
| 2 ← | 2,09% | 0,2500% | 8,37 lần | 2,91% | ✗ chưa |
| 3 | 2,00% | 0,0125% | 160,22 lần | 0,0890% | ✗ chưa |
| 4 | 2,00% | 0,0006% | 3.200,14 lần | 0,0027% | ✗ chưa |
| 5 | 2,00% | ≈ 3,1 × 10^-5% | 64.000,08 lần | ≈ 8,3 × 10^-5% | ✗ chưa |
| 6 | 2,00% | ≈ 1,6 × 10^-6% | 1.280.000,05 lần | ≈ 2,6 × 10^-6% | ✗ chưa |
| 7 | 2,00% | ≈ 7,8 × 10^-8% | 25.600.000,03 lần | ≈ 7,8 × 10^-8% | ✗ chưa |
| 8 | 2,00% | ≈ 3,9 × 10^-9% | 512.000.000,02 lần | ≈ 2,4 × 10^-9% | ✗ chưa |
1/q lần, mãi mãi. Khi nó lớn hơn 0 thì cột đó tụt về gần 0 rất nhanh: từ một điểm nào đó, mua thêm ổ cứng gần như không mua thêm an toàn, và tiền nên dồn vào việc tách các bản ra khỏi nguyên nhân chung thay vì nhân chúng lên.3 · Mất bao nhiêu công, và chờ bao lâu mới chạy lại được ✎ sửa được
Trường hợp tệ nhất là hỏng ngay trước lần sao lưu kế tiếp, nên phần công mất đúng bằng một khoảng cách trọn vẹn: 168 giờ. Con số đó không phụ thuộc vào dữ liệu đã có bao nhiêu, chỉ phụ thuộc vào bạn sao lưu thưa hay dày. Thời gian chờ thì ngược lại, nó chỉ phụ thuộc vào dung lượng và tốc độ đọc.
| công mất tệ nhất | 168 giờ làm việc | bằng đúng khoảng cách hai lần sao lưu, tức 4,92 GiB dữ liệu mới |
|---|---|---|
| chờ phục hồi | 13,7 phút | 20,0 GiB đọc ở 25,00 MiB/s |
| ghi một bản đầy | 8,53 phút | chiếm 0,08% khoảng cách; ghi riêng phần mới thì chỉ 2,10 phút |
| tổng thiệt hại thời gian | 7,01 ngày | chờ phục hồi cộng làm lại phần đã mất, với giả định công việc dồn đều theo giờ |
- Xác suất hỏng của mỗi bản là số bạn gõ vào. Sim không đo ổ cứng nào, dịch vụ mây nào, sinh viên nào. Vì thế nó cố ý không có chỗ để chọn tên sản phẩm rồi nhận về một con số hỏng.
- Mức dùng chung cũng là một núm, và sơ đồ không được phép tự suy ra nó. Biết ba bản nằm cùng một phòng thì không ai biết căn phòng đó góp bao nhiêu phần trăm rủi ro của một năm. Sim chỉ báo bán kính thiệt hại, tức một biến cố lấy được mấy bản, còn quy nó thành mấy phần trăm là việc của bạn.
- Mô hình tương quan ở đây là dạng đơn giản nhất còn trung thực được: một biến cố chung lấy tất cả, hoặc mỗi bản tự hỏng. Nó không diễn tả được chuyện hai bản này dính nhau mà không dính bản thứ ba. Một mô hình đầy đủ cần nhiều tham số hơn số một người học năm nhất có thể đặt có nghĩa, nên chỗ này là một giới hạn đã biết, không phải một điều đã giải quyết.
- Loại phương tiện được đếm theo nhãn. Hai nhãn khác nhau vẫn có thể cùng một cơ chế hỏng (ổ SSD trong máy và USB đều là bộ nhớ flash), và không phép tính nào ở đây nhận ra điều đó.
- Ngưỡng 3-2-1 là một quy ước lâu năm trong nghề, không phải kết quả của phép tính nào trong sim. Sim chỉ đếm xem sơ đồ của bạn có thoả ba điều kiện đó hay không.
Trạng thái mở bài là kế hoạch của gần như mọi sinh viên năm nhất: một máy tính cộng một thư mục đồng bộ mây. Hai bản, hai loại phương tiện, một bản ở nơi khác, một tài khoản, và một trong hai bản là bản đồng bộ.
Sim nói ngay rằng kế hoạch đó đạt 2 trong 3 điều kiện, và thiếu đúng một điều: chưa đủ ba bản. Nhưng con số đáng nhìn hơn nằm ở dưới. Với q = 5% mỗi bản mỗi năm và 40% rủi ro dùng chung, xác suất mất toàn bộ trong một năm là 2,09%. Nếu hai bản đó thật sự độc lập với nhau thì con số phải là 0,05 × 0,05 = 0,2500%, tức kế hoạch này đang tệ hơn 8,37 lần so với những gì phép nhân hứa.
Và trước một lần xoá nhầm thì còn tệ hơn nữa. Một trong hai bản là bản đồng bộ, nên khi lệnh xoá được nhân lên, bạn chỉ còn 1 bản, và rủi ro nhảy từ 2,09% lên đúng 5,00%, tức bằng xác suất hỏng của một bản duy nhất. Hai bản mà chỉ đáng một bản: đó là toàn bộ nội dung của mục "đồng bộ không phải sao lưu", viết bằng số.
Tương quan phá vỡ phép nhân
Phép nhân q^n chỉ đúng khi các bản hỏng độc lập với nhau. Trong thực tế thì thường không:
- hai bản trên cùng một ổ cứng chết cùng lúc khi ổ đó chết;
- hai bản trong cùng một phòng mất cùng lúc khi phòng đó cháy hoặc bị trộm;
- hai bản trong cùng một tài khoản mất cùng lúc khi tài khoản đó bị khoá hoặc bị chiếm;
- mọi bản trong cùng một thư mục đồng bộ bị mã hoá cùng lúc.
Sim mô hình hoá chuyện này bằng cách đơn giản nhất còn trung thực được, gọi là biến cố chung. Một phần c rủi ro của mỗi bản đến từ một nguyên nhân duy nhất lấy tất cả các bản cùng lúc; phần còn lại mỗi bản tự chịu riêng. Xác suất của biến cố chung là a = c × q, và khi đó
rủi ro mất toàn bộ = a + (1 - a) × b^n
trong đó b là xác suất một bản hỏng vì lý do riêng của nó. b không phải một núm tự do: nó được chọn sao cho mỗi bản, tính riêng, vẫn hỏng đúng q một năm. Ở trạng thái mở bài, q = 5% và c = 40% cho a = 2,00% và b = 0,030612.
Hãy nhìn vế phải cho kỹ. Số hạng b^n tụt nhanh theo n đúng như phép nhân hứa, nhưng số hạng a thì không phụ thuộc vào n một chút nào. Nó là một cái sàn. Thêm bản không hạ được nó xuống, vì cái biến cố nó mô tả lấy mọi bản cùng lúc, kể cả những bản bạn chưa tạo.
Bảng trong sim cho thấy chuyện đó rất rõ. Ở 2 bản, rủi ro là 2,09%. Thêm bản thứ ba chỉ đưa nó xuống 2,00%, tức bớt được 0,0890%. Đến 8 bản thì rủi ro vẫn là 2,00%, trong khi nếu các bản độc lập thật thì 8 bản cho ≈ 3,9 × 10^-9%, tức tốt hơn 512.000.000,02 lần. Bạn có thể mua thêm bảy ổ cứng và gần như không mua thêm được gì.
Đây là chỗ mà bài học thực dụng đảo ngược so với trực giác. Câu hỏi đúng không phải "tôi có mấy bản", mà "một biến cố lấy được mấy bản của tôi". Sim gọi con số đó là bán kính thiệt hại, và ở trạng thái mở bài nó bằng 2: một tài khoản duy nhất đang giữ cả hai bản. Tiền và công nên dồn vào việc tách các bản ra khỏi nguyên nhân chung, chứ không phải nhân chúng lên.
Ngưỡng, và khi nào không có số bản nào đủ
Sim hỏi một câu cụ thể: cần ít nhất bao nhiêu bản để rủi ro mất toàn bộ xuống dưới một ngưỡng bạn đặt? Giải bằng đại số thì với c = 0 điều kiện là q^n ≤ ngưỡng, tức
n = trần của (ln ngưỡng / ln q)
Ở mặc định, q = 5% và ngưỡng 0,1% cho ln 0,001 / ln 0,05 = 2,3059, làm tròn lên thành 3 bản. Sim khẳng định đúng hai chiều của mốc đó: 3 bản cho 0,0125%, đạt ngưỡng; 2 bản cho 0,2500%, chưa đạt.
Nhưng với mức dùng chung 40% đang đặt, câu trả lời là không có số bản nào đủ. Sàn a bằng 2,00%, còn ngưỡng là 0,1%, nên rủi ro không bao giờ xuống dưới ngưỡng dù bạn tạo bao nhiêu bản. Sim nói thẳng câu đó ra thay vì in một con số bản rất lớn, bởi vì "cần 500 bản" và "không bao giờ đạt" là hai lời khuyên hoàn toàn khác nhau.
Hãy bấm preset Đúng 3-2-1 để thấy chuyện gì đổi: ba bản thật, 2 tài khoản, không bản nào là bản đồng bộ, và mức dùng chung tụt về 10%. Rủi ro xuống 0,5092%, và sàn xuống 0,5000%. Rồi bấm Ba bản, cùng một phòng: vẫn ba bản, nhưng không bản nào ở nơi khác, cả ba dùng một tài khoản, và mức dùng chung 80%. Rủi ro là 4,00%, tức tệ hơn cả kế hoạch hai bản ở trạng thái mở bài. Ba bản không tự động tốt hơn hai bản.
Xác suất hỏng q và mức dùng chung c là hai con số bạn tự gõ vào. Sim không đo ổ cứng nào, dịch vụ nào, sinh viên nào, và nó cố ý không có chỗ để chọn tên sản phẩm rồi nhận về một con số hỏng. Mọi phần trăm trên màn hình là hệ quả của giả định bạn đặt, không phải một dự báo.
Sơ đồ cũng không được phép tự suy ra mức dùng chung. Biết ba bản nằm cùng một phòng thì không ai biết căn phòng đó góp bao nhiêu phần trăm rủi ro của một năm: chuyện đó phụ thuộc vào toà nhà, vào thời tiết, vào ổ điện. Vì thế sim chỉ báo bán kính thiệt hại, tức một biến cố lấy được mấy bản, còn quy nó thành mấy phần trăm là việc của bạn.
Và biến cố chung là một dạng phụ thuộc trong rất nhiều dạng. Nó nói được "một biến cố lấy tất cả" nhưng không nói được "hai bản này dính nhau mà không dính bản thứ ba", vốn là tình huống thật khi bạn có hai ổ trong cùng một phòng và một bản ở quê. Một mô hình đầy đủ cần nhiều tham số hơn số mà một người mới có thể đặt có nghĩa. Đây là giới hạn đã biết của bài học, không phải một chuyện đã giải quyết, và bạn nên đọc mọi con số của mục này như một hướng chứ không phải một phép đo.
Cuối cùng, sim đếm loại phương tiện theo nhãn. Ổ SSD trong máy và một chiếc USB là hai nhãn khác nhau nhưng cùng là bộ nhớ flash, nên chúng có thể hỏng theo cùng một cách mà không phép tính nào ở đây nhận ra.
Trung bình không nhìn thấy tai hoạ
Có một con số trong sim đứng yên khi bạn kéo mức dùng chung từ 0% lên 100%: số bản còn sống trung bình. Ở trạng thái mở bài nó là 1,90 bản, và nó là 1,90 ở mọi mức dùng chung.
Lý do là số học thuần: số bản sống trung bình luôn bằng n × (1 - q), và công thức đó không có chỗ nào cho tương quan. Trong khi đó xác suất mất hết đi từ 0,2500% lên 2,09%, tức gấp 8,37 lần, trên đúng cùng khoảng kéo ấy.
Đây là một bài học rộng hơn chuyện sao lưu. Trung bình đo trường hợp thường, còn cái làm bạn mất đồ án là cái đuôi. Hai kế hoạch có thể giống nhau hoàn hảo ở mọi con số trung bình mà một cái an toàn còn cái kia thì không. Khi ai đó trả lời một câu hỏi về rủi ro bằng một con số trung bình, họ chưa trả lời câu hỏi.
Mất bao nhiêu công, và chờ bao lâu
Hai chi phí nữa, và điều đáng nhớ là chúng độc lập với nhau, mỗi cái do một núm khác quyết định.
Công mất do khoảng cách hai lần sao lưu quyết định. Trường hợp tệ nhất là hỏng ngay trước lần sao lưu kế tiếp, nên phần công mất đúng bằng một khoảng cách trọn vẹn. Ở mặc định, sao lưu mỗi 168 giờ (một tuần) nghĩa là tệ nhất mất 168 giờ công, tương đương 4,92 GiB dữ liệu mới. Con số đó không phụ thuộc vào dữ liệu của bạn đã có bao nhiêu, chỉ phụ thuộc vào bạn sao lưu thưa hay dày.
Thời gian chờ thì ngược lại, nó chỉ phụ thuộc vào dung lượng và tốc độ đọc. 20,0 GiB ở 25 MiB/s là 13,7 phút để có lại dữ liệu, cộng với phần công phải làm lại, tổng cộng 7,01 ngày thiệt hại thời gian. Chép một bản đầy thì mất 8,53 phút, còn chép riêng phần mới của một tuần chỉ mất 2,10 phút, và đó là lý do sao lưu tăng dần tồn tại.
Có một cái bẫy ở đây mà hầu như không ai kiểm: lịch sao lưu có chạy nổi hay không. Bấm preset Đồ án 500 GiB, mạng chậm và nhìn dòng cảnh báo. Kế hoạch đó đạt cả ba điều kiện của quy tắc 3-2-1, nhưng một bản đầy mất 3,95 ngày để ghi, trong khi lịch đòi một bản mỗi 24 giờ. Lần sao lưu sau bắt đầu khi lần trước chưa xong, mãi mãi. Sim giải luôn hai cách sửa: nới khoảng cách lên ít nhất 94,81 giờ, hoặc nâng tốc độ ghi lên ít nhất 5,93 MiB/s. Và nếu hôm đó bạn thật sự mất dữ liệu thì phải chờ 2,96 ngày mới có lại.
Bản sao chưa từng phục hồi thử thì chưa biết có dùng được không
Mục ngắn nhất của bài, và cũng là mục hay bị bỏ nhất.
Một bản sao lưu chỉ tồn tại như một giả định cho tới lần đầu bạn phục hồi nó. Trước lần đó, mọi thứ sau đây đều có thể đang sai mà không có dấu hiệu nào: tệp lưu đúng nhưng thiếu một thư mục con; ổ cứng ghi được nhưng đã hỏng vùng đọc; bản nén cần mật khẩu bạn đã quên; công cụ sao lưu chạy mỗi tuần và báo thành công trong khi thư mục nguồn bị đổi tên từ tháng trước; bạn có tệp nhưng không có phần mềm mở được định dạng đó nữa.
Phép thử tối thiểu, làm một lần mỗi học kỳ và không mất bao lâu: chọn vài tệp quan trọng, phục hồi chúng ra một thư mục mới (không ghi lên bản đang dùng), rồi mở chúng ra và nhìn. Nếu bạn phục hồi được một tệp và nó mở đúng thì bạn vừa biến một giả định thành một sự thật.
Con số ở đầu bài nói rằng trung bình 47,8 năm mới có một lần mất sạch với kế hoạch mở bài, nghe rất xa. Nhưng một khoá học kéo 4 năm, và 4 năm liên tiếp với đúng kế hoạch ấy cho xác suất mất sạch ít nhất một lần là 8,11%, tức khoảng một trên mười hai. Và con số đó còn giả định kế hoạch không mục đi, tức mỗi năm giống hệt năm trước. Một ổ cứng nằm im nhiều năm không ai cắm vào thì tệ hơn thế, và bạn sẽ chỉ phát hiện ra vào ngày cần tới nó.
Ba bản, hai loại phương tiện, một bản ở nơi khác. Nhưng con số quan trọng hơn số bản là một biến cố lấy được mấy bản: hai bản cùng một tài khoản, cùng một phòng, hay cùng một thư mục đồng bộ thì không phải hai bản, và số học ở trên đo được đúng chuyện đó. Đồng bộ nhân bản của bạn lên nhưng cũng nhân lệnh của bạn lên, nên nó bảo vệ bạn khỏi ổ cứng chết mà không bảo vệ bạn khỏi chính bạn. Và một bản sao lưu chưa từng được phục hồi thử thì vẫn còn là một giả định.
- 1Bạn để đồ án trong thư mục Google Drive đồng bộ trên máy, nên có bản trên máy và bản trên mây. Sáng nay bạn xoá nhầm cả thư mục. Chuyện gì xảy ra, và tại sao?
- 2Trong sim, xác suất hỏng của mỗi bản là 5% một năm và mức rủi ro dùng chung là 40%. Bạn tăng số bản từ 2 lên 8. Rủi ro mất toàn bộ đi từ 2,09% xuống đâu, và vì sao?
- 3Sim cho hai con số về kế hoạch mở bài: số bản còn sống trung bình sau một năm là 1,90 và xác suất mất toàn bộ là 2,09%. Bạn kéo mức dùng chung từ 0% lên 40%. Con số nào đổi?