01

Место в архитектуреМісце в архітектуріIts place in the architecture

Зачем этот слой вообще остался

Навіщо цей шар узагалі лишився

Why this layer is still here

У ленты в системе резервного копирования другая работа, чем у дискового уровня, и требовать от неё скорости — ошибка постановки задачи.

У стрічки в системі резервного копіювання інша робота, ніж у дискового рівня, і вимагати від неї швидкості — помилка постановки задачі.

Tape has a different job from the disk tier, and demanding speed from it is a framing error.

Раз в полгода слышу, что лента умерла. Обычно от людей, которые не подписывали акт после проверки регулятором.

Раз на пів року чую, що стрічка померла. Зазвичай від людей, які не підписували акт після перевірки регулятором.

Every six months I hear that tape is dead. Usually from people who have never signed off after a regulator’s audit.

Разговор путается ещё и потому, что под лентой понимают две разные задачи. Резервная копия — это то, из чего восстанавливаются после сбоя, и живёт она недели. Архив — это то, что обязаны хранить годы, и обращаются к нему в лучшем случае по запросу проверяющего. Требования к оборудованию у них противоположные, и когда эти две задачи считают одной строкой, спецификация получается неверной сразу в обе стороны.

Розмова плутається ще й тому, що під стрічкою розуміють два різні завдання. Резервна копія — це те, з чого відновлюються після збою, і живе вона тижні. Архів — це те, що зобов’язані зберігати роки, і звертаються до нього щонайбільше на запит перевіряльника. Вимоги до обладнання в них протилежні, і коли ці два завдання рахують одним рядком, специфікація виходить хибною одразу в обидва боки.

The conversation is also muddled because “tape” means two different jobs. A backup copy is what you restore from after a failure, and it lives for weeks. An archive is what you are obliged to keep for years and touch, at best, when an auditor asks. Their hardware requirements are opposite, and when the two are costed as one line the specification is wrong in both directions at once.

Лента держится на четырёх вещах, и ни одна из них не про скорость. Стоимость хранения терабайта на больших объёмах кратно ниже дисковой. Картридж в слоте потребляет ровно ноль ватт — на объёмах в петабайты это уже статья в счёте за электричество, а не абстракция. Заявленный срок хранения — тридцать лет и больше, у диска без питания счёт идёт на годы. И главное: картридж, вынутый из библиотеки, недостижим по сети физически. Не «защищён политикой», а недостижим — между ним и злоумышленником воздух и человек.

Стрічка тримається на чотирьох речах, і жодна з них не про швидкість. Вартість зберігання терабайта на великих обсягах кратно нижча за дискову. Картридж у слоті споживає рівно нуль ватів — на обсягах у петабайти це вже стаття в рахунку за електрику, а не абстракція. Заявлений строк зберігання — тридцять років і більше, у диска без живлення лік іде на роки. І головне: картридж, вийнятий із бібліотеки, недосяжний мережею фізично. Не «захищений політикою», а недосяжний — між ним і зловмисником повітря і людина.

Tape rests on four things, and none of them is speed. At large volumes the cost per terabyte is several times below disk. A cartridge in a slot draws exactly zero watts — at petabyte scale that is a line on the electricity bill, not an abstraction. Rated shelf life is thirty years and more, while an unpowered disk is counted in years. And most importantly: a cartridge taken out of the library is physically unreachable over the network. Not “protected by policy” — unreachable, with air and a human being between it and an attacker.

Вот это последнее и есть причина, по которой лента живёт в банках. Всё остальное, что называют air gap, — это процедура, настройка или договорённость с вендором. Их можно обойти, скомпрометировав достаточно высокие права. Картридж на полке обойти нельзя.

Ось це останнє і є причина, з якої стрічка живе в банках. Усе інше, що називають air gap, — це процедура, налаштування або домовленість із вендором. Їх можна обійти, скомпрометувавши достатньо високі права. Картридж на полиці обійти не можна.

That last point is why tape survives in banks. Everything else called an air gap is a procedure, a setting or an agreement with a vendor. All of those can be bypassed by compromising a sufficiently privileged account. A cartridge on a shelf cannot.

Отсюда главная мысль для тех, кто принимает решение: у ленты в системе резервного копирования другая работа, чем у дискового уровня. Диск отвечает за то, чтобы быстро восстановиться. Лента отвечает за то, чтобы было что восстанавливать даже в самом плохом сценарии. Требовать от ленты быстрого восстановления — это как требовать от сейфа в подвале, чтобы из него удобно доставали мелочь на обед.

Звідси головна думка для тих, хто ухвалює рішення: у стрічки в системі резервного копіювання інша робота, ніж у дискового рівня. Диск відповідає за те, щоб швидко відновитися. Стрічка відповідає за те, щоб було що відновлювати навіть у найгіршому сценарії. Вимагати від стрічки швидкого відновлення — це як вимагати від сейфа в підвалі, щоб із нього зручно діставали дрібні гроші на обід.

Hence the main point for whoever decides: tape has a different job from the disk tier. Disk is responsible for restoring quickly. Tape is responsible for there being something to restore even in the worst case. Demanding fast recovery from tape is like demanding that a basement safe be convenient for getting lunch money out of.

Практическое следствие: если в требованиях к проекту написан один показатель времени восстановления на всё подряд — это ошибка постановки, и её надо чинить до расчёта спецификации, а не после.

Практичний наслідок: якщо у вимогах до проєкту написано один показник часу відновлення на все підряд — це помилка постановки, і її треба лагодити до розрахунку специфікації, а не після.

The practical consequence: if the project requirements carry one recovery-time figure for everything, that is a framing error, and it has to be fixed before the specification is priced, not after.

02

Устройство и сервисБудова і сервісAnatomy and service

Как устроена библиотека и что в ней ломается

Як улаштована бібліотека і що в ній ламається

How a library is built and what breaks in it

Вся арифметика держится на трёх числах. А единственная подвижная часть останавливает весь обмен с лентой целиком.

Уся арифметика тримається на трьох числах. А єдина рухома частина зупиняє весь обмін зі стрічкою цілком.

The whole arithmetic rests on three numbers. And the single moving part stops all tape traffic at once.

Современная библиотека среднего класса собирается вертикально из модулей по 3U, и вся её арифметика держится на трёх числах. Один модуль даёт до сорока слотов под картриджи. Если в нём настраивается станция ввода-вывода — а она нужна, чтобы вынимать и добавлять картриджи, не останавливая работу, — под данные остаётся тридцать пять. Приводов в модуль помещается либо три половинной высоты, либо один полноразмерный и один половинной высоты.

Сучасна бібліотека середнього класу збирається вертикально з модулів по 3U, і вся її арифметика тримається на трьох числах. Один модуль дає до сорока слотів під картриджі. Якщо в ньому налаштовується станція введення-виведення — а вона потрібна, щоб виймати й додавати картриджі, не зупиняючи роботу, — під дані лишається тридцять п’ять. Приводів у модуль вміщається або три половинної висоти, або один повнорозмірний і один половинної висоти.

A modern mid-range library stacks vertically from 3U modules, and all its arithmetic rests on three numbers. One module gives up to forty cartridge slots. If an I/E (import/export) station is configured in it — and it is needed to add and remove cartridges without stopping work — thirty-five remain for data. A module holds either three half-height drives or one full-height plus one half-height.

Теперь про то, что ломается. У нас однажды встал робот в модульной библиотеке корпоративного класса — та самая карбоновая рука, которая ездит по рельсам и с ювелирной точностью вставляет картриджи в слоты. Библиотека выдала ошибку, рука перестала отвечать на команды, и весь обмен с лентой остановился.

Тепер про те, що ламається. У нас якось став робот у модульній бібліотеці корпоративного класу — та сама карбонова рука, що їздить по рейках і з ювелірною точністю вставляє картриджі в слоти. Бібліотека видала помилку, рука перестала відповідати на команди, і весь обмін зі стрічкою зупинився.

Now about what breaks. We once had the robot fail in an enterprise-class modular library — that carbon-fibre arm that rides the rails and inserts cartridges into slots with jeweller’s precision. The library threw an error, the arm stopped responding to commands, and all tape traffic stopped.

Замена такого узла — не «поменять диск». Отключить шлейфы, снять робота с направляющих, поставить новый, откалибровать позиционирование по каждой стене слотов, прогнать полную инвентаризацию, проверить захват и отпускание картриджей. Только после этого в продакшн. Ошибка в калибровке — и робот начинает промахиваться мимо слотов или ронять картриджи.

Заміна такого вузла — не «поміняти диск». Від’єднати шлейфи, зняти робота з напрямних, поставити новий, відкалібрувати позиціювання по кожній стіні слотів, прогнати повну інвентаризацію, перевірити захоплення та відпускання картриджів. Тільки після цього в продакшн. Помилка в калібруванні — і робот починає промахуватися повз слоти або ронити картриджі.

Replacing that unit is not “swapping a disk”. Disconnect the cable harnesses, take the robot off its rails, fit the new one, calibrate positioning against every slot wall, run a full inventory, verify pick and release. Only then back to production. A calibration error and the robot starts missing slots or dropping cartridges.

На возрастной библиотеке к этому добавляется то, что вообще не относится к технике. Платформа может быть снята с продаж, запчасть — под заказ со сроком в недели, а инженер с опытом именно этой модели — редкость на рынке. Я видел ситуации, где сама процедура занимала день, а ожидание узла — полтора месяца, и все эти полтора месяца вторая копия просто не создавалась.

На віковій бібліотеці до цього додається те, що взагалі не стосується техніки. Платформа може бути знята з продажу, запчастина — під замовлення з терміном у тижні, а інженер із досвідом саме цієї моделі — рідкість на ринку. Я бачив ситуації, де сама процедура займала день, а очікування вузла — півтора місяця, і всі ці півтора місяця друга копія просто не створювалася.

On an ageing library you add something that has nothing to do with engineering. The platform may be end-of-sale, the part may be built to order with a lead time in weeks, and an engineer with hands-on experience of that exact model is rare on the market. I have seen the procedure itself take a day while waiting for the part took six weeks — and for all six weeks the second copy simply was not being made.

Отсюда два пункта, которые стоит закладывать в проект осознанно, а не по остаточному принципу: возможность второго робота в старших моделях и наличие сервисного контракта с внятным сроком реакции на механику. И третий, совсем мелкий, про который забывают в каждой второй спецификации: чистящие картриджи. Один рассчитан примерно на пятьдесят циклов, и их отсутствие обнаруживается через полгода эксплуатации.

Звідси два пункти, які варто закладати в проєкт свідомо, а не за залишковим принципом: можливість другого робота в старших моделях і наявність сервісного контракту з виразним терміном реакції на механіку. І третій, зовсім дрібний, про який забувають у кожній другій специфікації: чистильні картриджі. Один розрахований приблизно на п’ятдесят циклів, і їхня відсутність виявляється через пів року експлуатації.

Two items follow that belong in the project by design, not as an afterthought: the option of a second robot on higher models, and a service contract with a clear response time for mechanics. And a third, tiny one that every other specification forgets: cleaning cartridges. One lasts about fifty cycles, and their absence is discovered six months into operation.

03

Смена поколенияЗміна поколінняThe generation change

LTO-10: что изменилось на самом деле

LTO-10: що змінилося насправді

LTO-10: what actually changed

Что выросло, что осталось прежним и что сломалось окончательно — по пунктам, без маркетингового шума.

Що зросло, що лишилося тим самим і що зламалося остаточно — по пунктах, без маркетингового шуму.

What grew, what stayed the same and what broke for good — point by point, without the marketing noise.

Ёмкость выросла существенно. Носитель LTO-9 — 18 ТБ native. У LTO-10 два типа носителя: стандартный на 30 ТБ и премиальный на 40 ТБ, оба работают в одном приводе. Это плюс 67 или плюс 122 процента на картридж. Все красивые сравнения вида «в 2,2 раза меньше кассет» считаются от премиального носителя, и это надо оговаривать явно, иначе на закупке выяснится, что цифры не сходятся.

Ємність зросла істотно. Носій LTO-9 — 18 ТБ native. У LTO-10 два типи носія: стандартний на 30 ТБ і преміальний на 40 ТБ, обидва працюють в одному приводі. Це плюс 67 або плюс 122 відсотки на картридж. Усі гарні порівняння штибу «у 2,2 раза менше касет» рахуються від преміального носія, і це треба обумовлювати явно, інакше на закупівлі з’ясується, що цифри не сходяться.

Capacity grew substantially. LTO-9 media is 18 TB native. LTO-10 has two media types: a standard 30 TB and a premium 40 TB, both running in the same drive. That is plus 67 or plus 122 per cent per cartridge. Every attractive comparison of the “2.2 times fewer cartridges” kind is counted from the premium media, and that has to be stated explicitly, or the numbers will not add up at purchase time.

Скорость записи не выросла. Полноразмерный привод LTO-9 выдаёт 400 МБ/с native, полноразмерный LTO-10 — те же 400 МБ/с. Весь выигрыш поколения вложен в плотность записи, а не в темп. Если вам обещают сокращение окна резервного копирования при переходе на новое поколение — спросите, откуда оно берётся. Обычно там сравнивают привод половинной высоты старого поколения (300 МБ/с) с полноразмерным новым, то есть выигрыш даёт форм-фактор, а не поколение.

Швидкість запису не зросла. Повнорозмірний привод LTO-9 видає 400 МБ/с native, повнорозмірний LTO-10 — ті самі 400 МБ/с. Весь виграш покоління вкладено в щільність запису, а не в темп. Якщо вам обіцяють скорочення вікна резервного копіювання під час переходу на нове покоління — спитайте, звідки воно береться. Зазвичай там порівнюють привод половинної висоти старого покоління (300 МБ/с) із повнорозмірним новим, тобто виграш дає форм-фактор, а не покоління.

Write speed did not grow. A full-height LTO-9 drive delivers 400 MB/s native; a full-height LTO-10 delivers the same 400 MB/s. The whole generational gain went into recording density, not into pace. If you are promised a shorter backup window from the new generation, ask where it comes from. Usually a half-height drive of the old generation (300 MB/s) is being compared with a full-height new one — so the gain comes from the form factor, not the generation.

Зато выросла шина. Приводы LTO-9 в библиотеках этого класса подключались по Fibre Channel 8 Gb. Полноразмерный LTO-10 заявлен на 32 Gb, а на сжимаемых данных способен отдавать до 1200 МБ/с. Вот это изменение и есть самое дорогое по последствиям.

Натомість зросла шина. Приводи LTO-9 у бібліотеках цього класу під’єднувалися по Fibre Channel 8 Gb. Повнорозмірний LTO-10 заявлений на 32 Gb, а на стисливих даних здатний віддавати до 1200 МБ/с. Ось ця зміна і є найдорожча за наслідками.

The bus, however, grew. LTO-9 drives in this class of library connected over 8 Gb Fibre Channel. A full-height LTO-10 is rated for 32 Gb and can push up to 1200 MB/s on compressible data. That change is the most expensive one in its consequences.

Ёмкость картриджа выросла на две трети. Темп записи — ни на процент. Выросла шина, по которой этот темп едет.

Ємність картриджа зросла на дві третини. Темп запису — ні на відсоток. Зросла шина, якою цей темп їде.

Cartridge capacity grew by two thirds. Write pace grew by nothing. What grew is the bus that pace travels on.

Исчезла процедура первичной оптимизации носителя. На LTO-9 новый картридж перед первым использованием проходил калибровку, которая могла занять до двух часов и роняла задания по таймауту. У LTO-10 её нет — мелочь, но при массовой загрузке нового пула экономит рабочий день.

Зникла процедура первинної оптимізації носія. На LTO-9 новий картридж перед першим використанням проходив калібрування, яке могло зайняти до двох годин і роняло завдання за таймаутом. У LTO-10 її немає — дрібниця, але під час масового завантаження нового пулу економить робочий день.

Initial media optimisation is gone. On LTO-9 a new cartridge went through calibration before first use, which could take up to two hours and dropped jobs on timeout. LTO-10 does not do it — a small thing, but it saves a working day when loading a whole new pool.

И сломалась обратная совместимость. Полностью. Привод LTO-10 не читает и не пишет LTO-9. До LTO-7 приводы работали с двумя предыдущими поколениями, с LTO-8 по LTO-9 — с одним, у LTO-10 не осталось ничего.

І зламалася зворотна сумісність. Повністю. Привод LTO-10 не читає і не пише LTO-9. До LTO-7 приводи працювали з двома попередніми поколіннями, з LTO-8 по LTO-9 — з одним, у LTO-10 не лишилося нічого.

And backward compatibility broke. Completely. An LTO-10 drive neither reads nor writes LTO-9. Up to LTO-7 drives handled two prior generations, LTO-8 and LTO-9 handled one, and LTO-10 handles none.

Это не мелкая деталь спецификации, это разворот стратегии закупки. Я встречал в чужих обоснованиях для заказчика фразу «новое поколение читает старые картриджи, ваши инвестиции защищены». Она неверна, и цена ошибки — весь ранее записанный архив.

Це не дрібна деталь специфікації, це розворот стратегії закупівлі. Я зустрічав у чужих обґрунтуваннях для замовника фразу «нове покоління читає старі картриджі, ваші інвестиції захищені». Вона хибна, і ціна помилки — увесь раніше записаний архів.

This is not a small specification detail, it is a U-turn in purchasing strategy. I have seen the phrase “the new generation reads old cartridges, your investment is protected” in someone else’s justification to a customer. It is false, and the price of the error is the entire archive written so far.

Что делать практически: либо оставлять часть приводов старого поколения в библиотеке ради доступа к накопленному архиву, либо мигрировать данные. Первое означает два пула носителей в одном устройстве — рабочая схема, но её надо развести по логическим библиотекам, иначе софт рано или поздно отправит картридж не в тот привод. Второе означает прочитать весь архив и записать заново, и вот это уже отдельный проект: несколько петабайт через реальную фабрику вычитываются неделями, причём на старых носителях выше вероятность ошибок чтения.

Що робити практично: або лишати частину приводів старого покоління в бібліотеці заради доступу до накопиченого архіву, або мігрувати дані. Перше означає два пули носіїв в одному пристрої — робоча схема, але її треба розвести по логічних бібліотеках, інакше софт рано чи пізно відправить картридж не в той привод. Друге означає прочитати весь архів і записати заново, і ось це вже окремий проєкт: кілька петабайтів через реальну фабрику вичитуються тижнями, до того ж на старих носіях вища ймовірність помилок читання.

What to do in practice: either keep some old-generation drives in the library for access to the accumulated archive, or migrate the data. The first means two media pools in one device — workable, but it has to be split across logical libraries, or the software will eventually send a cartridge to the wrong drive. The second means reading the whole archive and writing it again, and that is a project of its own: several petabytes through a real fabric take weeks to read, and old media has a higher chance of read errors.

И одна деталь из практики разбора спецификаций: цифры «36 ТБ native» и «90 ТБ compressed» относятся к дорожной карте консорциума, а не к выпущенному продукту, и в расчёты их переносить нельзя.

І одна деталь із практики розбору специфікацій: цифри «36 ТБ native» і «90 ТБ compressed» стосуються дорожньої карти консорціуму, а не випущеного продукту, і в розрахунки їх переносити не можна.

One more detail from reviewing specifications: the figures “36 TB native” and “90 TB compressed” belong to the consortium roadmap, not to a shipping product, and must not be carried into calculations.

04

Сеть храненияМережа зберіганняThe storage network

Почему новое поколение тянет за собой сеть хранения

Чому нове покоління тягне за собою мережу зберігання

Why the new generation drags the SAN along

Строка «замена коммутаторов» в смете на резервное копирование — не раздувание бюджета, а прямое следствие смены поколения.

Рядок «заміна комутаторів» у кошторисі на резервне копіювання — не роздування бюджету, а прямий наслідок зміни покоління.

A “switch replacement” line in a backup budget is not padding, it is a direct consequence of the generation change.

Считать надо две вещи по отдельности, и их постоянно смешивают. Первая — хватает ли полосы одного порта на один привод. Вторая — хватает ли самих портов на всю библиотеку.

Рахувати треба дві речі окремо, і їх постійно змішують. Перша — чи вистачає смуги одного порту на один привод. Друга — чи вистачає самих портів на всю бібліотеку.

Two things must be counted separately, and they are constantly mixed up. First, whether one port’s bandwidth is enough for one drive. Second, whether there are enough ports for the whole library.

По полосе. Порт Fibre Channel 8 Gb даёт примерно 800 МБ/с. Привод предыдущего поколения на 400 МБ/с native в него укладывается свободно — но на сжимаемых данных тот же привод отдаёт до тысячи мегабайт в секунду и в порт уже не помещается. Новое поколение рассчитано на 32 Gb и на поток до 1200 МБ/с: в старой фабрике оно просто согласуется вниз. Заказчик заплатил за поколение и не получил его.

За смугою. Порт Fibre Channel 8 Gb дає приблизно 800 МБ/с. Привод попереднього покоління на 400 МБ/с native у нього вкладається вільно — але на стисливих даних той самий привод віддає до тисячі мегабайтів на секунду і в порт уже не вміщається. Нове покоління розраховане на 32 Gb і на потік до 1200 МБ/с: у старій фабриці воно просто узгоджується вниз. Замовник заплатив за покоління і не отримав його.

Bandwidth. An 8 Gb Fibre Channel port gives roughly 800 MB/s. A previous-generation drive at 400 MB/s native fits comfortably — but on compressible data the same drive pushes up to a thousand megabytes per second and no longer fits. The new generation is designed for 32 Gb and up to 1200 MB/s: in an old fabric it simply negotiates down. The customer paid for a generation and did not get it.

По числу портов. Каждый привод занимает свой порт на коммутаторе — линк они между собой не делят. Двадцать четыре привода — это двадцать четыре порта фабрики, плюс порты адаптеров в медиа-серверах, плюс запас. На старой фабрике, где свободных портов три, разговор о расширении библиотеки заканчивается, не начавшись.

За кількістю портів. Кожен привод займає свій порт на комутаторі — лінк вони між собою не ділять. Двадцять чотири приводи — це двадцять чотири порти фабрики, плюс порти адаптерів у медіа-серверах, плюс запас. На старій фабриці, де вільних портів три, розмова про розширення бібліотеки закінчується, не почавшись.

Port count. Every drive takes its own switch port — they do not share a link. Twenty-four drives means twenty-four fabric ports, plus HBA ports in the media servers, plus spares. On an old fabric with three free ports, the conversation about expanding the library ends before it starts.

Отдельно про SAS. Приводы бывают и в SAS-исполнении, и для небольшой установки это честный вариант: библиотека подключается прямо к адаптеру медиа-сервера, фабрика не нужна вообще, и весь разговор про порты снимается. Ограничение в другом — SAS не коммутируется: длина кабеля меряется метрами, приводов помещается столько, сколько портов на адаптере, и подключить одну библиотеку к двум медиа-серверам уже неудобно. Как только приводов становится больше пары или серверов больше одного, возвращаемся к фабрике и к арифметике портов.

Окремо про SAS. Приводи бувають і в SAS-виконанні, і для невеликої установки це чесний варіант: бібліотека під’єднується прямо до адаптера медіа-сервера, фабрика не потрібна взагалі, і вся розмова про порти знімається. Обмеження в іншому — SAS не комутується: довжина кабелю міряється метрами, приводів вміщається стільки, скільки портів на адаптері, і під’єднати одну бібліотеку до двох медіа-серверів уже незручно. Щойно приводів стає більше за пару або серверів більше одного, повертаємося до фабрики і до арифметики портів.

A word on SAS. Drives also come in SAS, and for a small installation that is an honest option: the library connects straight to the media server’s adapter, no fabric is needed at all, and the whole port discussion goes away. The limit is elsewhere — SAS is not switched: cable length is measured in metres, you fit as many drives as the adapter has ports, and connecting one library to two media servers is already awkward. As soon as there are more than a couple of drives or more than one server, you are back to the fabric and to port arithmetic.

И третье, о чём вспоминают в последнюю очередь: настоящий потолок обычно стоит выше по тракту. Я разбирал конфигурацию, где двадцать четыре привода давали паспортных почти десять гигабайт в секунду — а данные к ним приходили через пару адаптеров в медиа-серверах, и это была совсем другая цифра. Все споры про «добавить приводов, чтобы уложиться в окно» там не имели смысла: узким местом была не библиотека и даже не фабрика.

І третє, про що згадують в останню чергу: справжня стеля зазвичай стоїть вище по тракту. Я розбирав конфігурацію, де двадцять чотири приводи давали паспортних майже десять гігабайтів на секунду — а дані до них приходили через пару адаптерів у медіа-серверах, і це була зовсім інша цифра. Усі суперечки про «додати приводів, щоб вкластися у вікно» там не мали сенсу: вузьким місцем була не бібліотека і навіть не фабрика.

And a third thing, remembered last: the real ceiling usually sits further up the path. I once reviewed a configuration where twenty-four drives were rated at almost ten gigabytes per second — while the data reached them through a pair of adapters in the media servers, which was an entirely different number. Every argument about “adding drives to fit the window” was pointless there: the bottleneck was neither the library nor the fabric.

Практический порядок действий, который я советую закладывать в план работ. Сначала фиксируем интерфейс приводов: они бывают в исполнении Fibre Channel и в исполнении SAS, и это разные адаптеры в медиа-сервере. Я видел спецификацию, где приводы заказаны с FC, а в рекомендациях по серверу стоял внешний SAS-адаптер. Подключить такую библиотеку физически невозможно, и выясняется это на приёмке.

Практичний порядок дій, який я раджу закладати в план робіт. Спочатку фіксуємо інтерфейс приводів: вони бувають у виконанні Fibre Channel і у виконанні SAS, і це різні адаптери в медіа-сервері. Я бачив специфікацію, де приводи замовлені з FC, а в рекомендаціях щодо сервера стояв зовнішній SAS-адаптер. Під’єднати таку бібліотеку фізично неможливо, і з’ясовується це на прийманні.

The practical order of work I recommend building into the plan. First, fix the drive interface: drives come in Fibre Channel and in SAS versions, and those are different adapters in the media server. I have seen a specification where the drives were ordered with FC while the server recommendation listed an external SAS adapter. Such a library physically cannot be connected, and that surfaces at acceptance.

Дальше считаем порты: сколько приводов, столько же портов нужной скорости, и проверяем, свободны ли они. Потом считаем суммарную потребность и сверяем её с полосой адаптеров в медиа-серверах. Потом проверяем, что в медиа-серверах есть свободный слот PCIe нужного поколения под адаптер. И только после этого закрываем спецификацию.

Далі рахуємо порти: скільки приводів, стільки ж портів потрібної швидкості, і перевіряємо, чи вільні вони. Потім рахуємо сумарну потребу і звіряємо її зі смугою адаптерів у медіа-серверах. Потім перевіряємо, що в медіа-серверах є вільний слот PCIe потрібного покоління під адаптер. І тільки після цього закриваємо специфікацію.

Then count ports: as many ports of the right speed as there are drives, and check that they are free. Then total the demand and compare it with the media servers’ adapter bandwidth. Then verify that the media servers have a free PCIe slot of the right generation for that adapter. Only then close the specification.

Для менеджера вывод простой: если проект предполагает переход на новое поколение ленты, вопрос «а что у нас с сетью хранения» задаётся на старте, а не после подписания. Иначе он всплывёт на этапе внедрения, когда бюджет уже утверждён.

Для менеджера висновок простий: якщо проєкт передбачає перехід на нове покоління стрічки, питання «а що в нас із мережею зберігання» ставиться на старті, а не після підписання. Інакше воно спливе на етапі впровадження, коли бюджет уже затверджено.

For a manager the conclusion is simple: if the project involves moving to a new tape generation, the question “what about our SAN” is asked at the start, not after signing. Otherwise it surfaces during implementation, when the budget is already approved.

05

Расчёт ёмкостиРозрахунок ємностіSizing the capacity

Ёмкость: откуда берётся число картриджей

Ємність: звідки береться кількість картриджів

Capacity: where the cartridge count comes from

Три места, где ошибаются, и все три — в одну сторону: картриджей заказывают меньше, чем нужно.

Три місця, де помиляються, і всі три — в один бік: картриджів замовляють менше, ніж потрібно.

Three places where people get it wrong, and all three in the same direction: too few cartridges.

Первое. Считаем только native. Лента традиционно продаётся в «сжатых» терабайтах: 18 ТБ превращаются в 45, 40 — в 100. Аппаратная компрессия привода действительно работает — но только на данных, которые до неё дошли несжатыми. Современная система резервного копирования отдаёт на носитель уже дедуплицированный и сжатый поток. Сжимать там нечего, коэффициент будет околоединичным.

Перше. Рахуємо лише native. Стрічка традиційно продається у «стиснутих» терабайтах: 18 ТБ перетворюються на 45, 40 — на 100. Апаратна компресія привода справді працює — але лише на даних, які до неї дійшли нестиснутими. Сучасна система резервного копіювання віддає на носій уже дедуплікований і стиснутий потік. Стискати там нічого, коефіцієнт буде близько одиниці.

First: count native only. Tape is traditionally sold in “compressed” terabytes: 18 TB becomes 45, 40 becomes 100. The drive’s hardware compression does work — but only on data that reaches it uncompressed. A modern backup system hands the media an already deduplicated and compressed stream. There is nothing left to squeeze, and the ratio will be around one.

Аппаратная компрессия работает только на данных, которые дошли до неё несжатыми.

Апаратна компресія працює лише на даних, які дійшли до неї нестиснутими.

Hardware compression only works on data that reaches it uncompressed.

Любой расчёт, где паспортная ёмкость библиотеки умножается на два с половиной, — ошибка, и вскроется она не на защите проекта, а через год эксплуатации, когда картриджи кончатся втрое раньше плана.

Будь-який розрахунок, де паспортна ємність бібліотеки множиться на два з половиною, — помилка, і розкриється вона не на захисті проєкту, а через рік експлуатації, коли картриджі скінчаться втричі раніше за план.

Any calculation that multiplies the library’s rated capacity by two and a half is an error, and it will surface not at the design review but a year into operation, when the cartridges run out three times sooner than planned.

Второе. Слоты — это не картриджи с данными. Видел спецификацию, где на три петабайта архива посчитали сто шестьдесят семь картриджей и заказали библиотеку на двести слотов — «с запасом». Запаса там нет: в эти двести слотов должны поместиться архив, пул свободных картриджей под текущую запись, чистящие картриджи, слоты станции ввода-вывода и рост на весь срок жизни решения.

Друге. Слоти — це не картриджі з даними. Бачив специфікацію, де на три петабайти архіву порахували сто шістдесят сім картриджів і замовили бібліотеку на двісті слотів — «із запасом». Запасу там немає: у ці двісті слотів мають вміститися архів, пул вільних картриджів під поточний запис, чистильні картриджі, слоти станції введення-виведення і зростання на весь строк життя рішення.

Second: slots are not cartridges with data. I saw a specification where three petabytes of archive were costed at one hundred and sixty-seven cartridges and a two-hundred-slot library was ordered “with headroom”. There is no headroom: those two hundred slots have to hold the archive, the pool of free cartridges for current writes, the cleaning cartridges, the I/E station slots and the growth over the whole life of the solution.

Третье, и самое дорогое. Число копий определяет регулятор, а не архитектор. В одном из проектов расчёт числа картриджей дал вилку: около 364 штук при оптимизированной схеме поколений копий против примерно 936 при строгом прочтении требования «хранить 36 месяцев». Разница — почти шестьсот картриджей, и она не зависит ни от модели библиотеки, ни от вендора, ни от качества расчёта дедупликации.

Третє, і найдорожче. Кількість копій визначає регулятор, а не архітектор. В одному з проєктів розрахунок кількості картриджів дав вилку: близько 364 штук за оптимізованої схеми поколінь копій проти приблизно 936 за суворого прочитання вимоги «зберігати 36 місяців». Різниця — майже шістсот картриджів, і вона не залежить ні від моделі бібліотеки, ні від вендора, ні від якості розрахунку дедуплікації.

Third, and the most expensive: the number of copies is set by the regulator, not the architect. In one project the cartridge count came out as a range: about 364 with an optimised generation scheme against roughly 936 on a strict reading of “retain for 36 months”. The difference is nearly six hundred cartridges, and it depends on neither the library model, nor the vendor, nor the quality of the dedup estimate.

Поэтому вопрос «какую именно схему хранения требует регулятор и как её трактует ваша служба комплаенса» задаётся первым, до всех технических споров. Один невыясненный пункт здесь стоит дороже, чем весь спор о том, чья библиотека лучше.

Тому питання «яку саме схему зберігання вимагає регулятор і як її трактує ваша служба комплаєнсу» ставиться першим, до всіх технічних суперечок. Один нез’ясований пункт тут коштує дорожче, ніж уся суперечка про те, чия бібліотека краща.

So the question “which retention scheme exactly does the regulator require, and how does your compliance function read it” is asked first, before any technical argument. One unresolved item here costs more than the entire debate about whose library is better.

06

Пределы решенияМежі рішенняWhere tape stops working

Когда лента перестаёт быть ответом

Коли стрічка перестає бути відповіддю

When tape stops being the answer

Обратная сторона: где лента действительно не подходит и что при замене всплывает поздно и дорого.

Зворотний бік: де стрічка справді не підходить і що під час заміни спливає пізно й дорого.

The other side: where tape genuinely does not fit, and what surfaces late and expensively when replacing it.

Честный разбор требует и обратной стороны. Лента не универсальна, и есть сценарии, где её надо заменять. У неё принципиально последовательный доступ. Восстановление одного файла из середины картриджа — это монтирование, перемотка и ожидание, минуты вместо секунд. Восстановление большого набора данных упирается в то, сколько приводов можно задействовать параллельно.

Чесний розбір потребує і зворотного боку. Стрічка не універсальна, і є сценарії, де її треба замінювати. У неї принципово послідовний доступ. Відновлення одного файлу із середини картриджа — це монтування, перемотування і очікування, хвилини замість секунд. Відновлення великого набору даних упирається в те, скільки приводів можна задіяти паралельно.

An honest write-up needs the other side too. Tape is not universal, and there are scenarios where it should be replaced. Its access is fundamentally sequential. Restoring a single file from the middle of a cartridge means mounting, winding and waiting — minutes instead of seconds. Restoring a large dataset is limited by how many drives can work in parallel.

Но здесь важно не впасть в противоположную ошибку. Уход с ленты на диск сам по себе быстрого восстановления не гарантирует. У меня был кейс, где виртуальная машина на 1,1 терабайта восстанавливалась девять часов — около 34 мегабайт в секунду. Ленты в схеме не было вообще: читали с дискового пула на обычных шпиндельных дисках 7200 оборотов.

Але тут важливо не впасти в протилежну помилку. Відхід зі стрічки на диск сам по собі швидкого відновлення не гарантує. У мене був кейс, де віртуальна машина на 1,1 терабайта відновлювалася дев’ять годин — близько 34 мегабайтів на секунду. Стрічки в схемі не було взагалі: читали з дискового пулу на звичайних шпиндельних дисках 7200 обертів.

But do not fall into the opposite error here. Moving off tape onto disk does not by itself guarantee fast recovery. I had a case where a 1.1-terabyte virtual machine took nine hours to restore — about 34 megabytes per second. There was no tape in the design at all: it was read from a disk pool on ordinary 7200 rpm spindles.

Разбор оказался поучительнее самой цифры. У машины было два диска — небольшой системный и второй, на котором лежало всё остальное. В логах видно, что системный прошёл со скоростью около ста мегабайт в секунду и занял считаные минуты, а большой шёл на тридцати двух и съел почти всё окно. Агент восстанавливает машину последовательно, диск за диском — но даже умей он иначе, это ничего бы не дало: распараллеливать было нечего, почти все данные лежали на одном томе. И этот единственный поток тянул за собой всю цепочку — произвольное чтение с дедуплицированного пула на шпинделях, обратную сборку из дедупликации, распаковку и запись.

Розбір виявився повчальнішим за саму цифру. У машини було два диски — невеликий системний і другий, на якому лежало все інше. У логах видно, що системний пройшов зі швидкістю близько ста мегабайтів на секунду і зайняв лічені хвилини, а великий ішов на тридцяти двох і з’їв майже все вікно. Агент відновлює машину послідовно, диск за диском — але навіть умій він інакше, це нічого б не дало: розпаралелювати не було чого, майже всі дані лежали на одному томі. І цей єдиний потік тягнув за собою весь ланцюжок — довільне читання з дедуплікованого пулу на шпинделях, зворотне складання з дедуплікації, розпакування і запис.

The analysis turned out to be more instructive than the number itself. The machine had two disks — a small system one and a second holding everything else. The logs show the system disk running at about a hundred megabytes per second and taking a handful of minutes, while the large one ran at thirty-two and ate almost the whole window. The agent restores a machine sequentially, disk by disk — but even if it could do otherwise it would not have helped: there was nothing to parallelise, since nearly all the data sat on one volume. And that single stream dragged the whole chain behind it: random reads from a deduplicated pool on spindles, rehydration, decompression and writing.

Сеть, базу дедупликации и оборудование проверили и исключили, поведение подтвердил вендор кейсом в поддержке. Вывод, который я после этого повторяю на каждом проекте: время восстановления проверяется восстановлением, а не расчётом. Скорость бэкапа не говорит о скорости restore ничего — это разные цепочки. А если все данные машины лежат на одном большом томе, её не спасёт никакой параллелизм.

Мережу, базу дедуплікації та обладнання перевірили і виключили, поведінку підтвердив вендор кейсом у підтримці. Висновок, який я після цього повторюю на кожному проєкті: час відновлення перевіряється відновленням, а не розрахунком. Швидкість бекапу не каже про швидкість restore нічого — це різні ланцюжки. А якщо всі дані машини лежать на одному великому томі, її не врятує жодний паралелізм.

The network, the dedup database and the hardware were checked and ruled out; the vendor confirmed the behaviour in a support case. The conclusion I have repeated on every project since: recovery time is verified by recovering, not by calculating. Backup speed says nothing about restore speed — they are different chains. And if all of a machine’s data sits on one large volume, no amount of parallelism will save it.

Если лента всё-таки заменяется, заменяют её обычно на иммутабельное объектное хранилище. И здесь важно, что «иммутабельность» бывает разной глубины: от блокировки на уровне носителя, которую не снять никак, до механизма на уровне массива, где политику меняют через поддержку вендора по подтверждению от согласованных контактов заказчика — то есть защита уже процедурная, а не техническая. У блокировки объектов вдобавок есть мягкий режим, где привилегированная роль может её снять, и строгий, где не может никто. Под требования регулятора нужен строгий, и это пишется в требованиях явно — иначе поставщик закроет пункт самым мягким вариантом.

Якщо стрічка все-таки замінюється, замінюють її зазвичай на імутабельне об’єктне сховище. І тут важливо, що «імутабельність» буває різної глибини: від блокування на рівні носія, яке не зняти ніяк, до механізму на рівні масиву, де політику змінюють через підтримку вендора за підтвердженням від погоджених контактів замовника — тобто захист уже процедурний, а не технічний. У блокування об’єктів на додачу є м’який режим, де привілейована роль може його зняти, і суворий, де не може ніхто. Під вимоги регулятора потрібен суворий, і це пишеться у вимогах явно — інакше постачальник закриє пункт найм’якшим варіантом.

If tape is replaced, it is usually replaced by immutable object storage. And here it matters that “immutability” comes in different depths: from a media-level lock that cannot be lifted at all, to an array-level mechanism where the policy is changed through vendor support on confirmation from agreed customer contacts — that is, the protection is procedural rather than technical. Object lock additionally has a governance mode, where a privileged role can remove it, and a compliance mode, where nobody can. Regulatory requirements need the strict one, and that is written into the requirements explicitly — otherwise the supplier will close the item with the softest option.

Две вещи, которые в таких проектах всплывают поздно и дорого. Иммутабельность стоит ёмкости: чтобы блокировка всего набора истекала одновременно, система хранит его замкнутым, без ссылок наружу, и эффективность дедупликации падает. И матрица совместимости определяет архитектуру сильнее даташита — я разбирал случай, где выбранный массив был сертифицирован для одной системы резервного копирования и не числился в списке для второй, и архитектуру пришлось делить на два таргета.

Дві речі, які в таких проєктах спливають пізно й дорого. Імутабельність коштує ємності: щоб блокування всього набору спливало одночасно, система тримає його замкненим, без посилань назовні, і ефективність дедуплікації падає. І матриця сумісності визначає архітектуру сильніше за даташит — я розбирав випадок, де обраний масив був сертифікований для однієї системи резервного копіювання і не значився у списку для другої, і архітектуру довелося ділити на два таргети.

Two things that surface late and expensively in such projects. Immutability costs capacity: for a whole set’s lock to expire at once, the system keeps it self-contained with no outward references, and dedup efficiency drops. And the compatibility matrix shapes the architecture more than the datasheet — I looked at a case where the chosen array was certified for one backup product and absent from the list for another, and the architecture had to be split across two targets.

07

Чек-листЧек-листChecklist

Что спросить до того, как считать спецификацию

Що спитати до того, як рахувати специфікацію

What to ask before you price a specification

Девять вопросов, которые решаются за одну встречу с эксплуатацией и снимают почти все риски проекта.

Дев'ять питань, які вирішуються за одну зустріч з експлуатацією і знімають майже всі ризики проєкту.

Nine questions that a single meeting with the operations team closes, removing almost every project risk.

1. Сколько данных реально лежит на ленте сейчас — по отчёту системы резервного копирования, а не по числу картриджей. И native это или compressed: путают постоянно, разница в разы.
2. Какое поколение приводов и носителей стоит. Не «LTO», а конкретное поколение и форм-фактор: от этого зависит и ёмкость картриджа, и скорость, и совместимость.
3. Какое исполнение библиотеки и сколько модулей уже занято. Если потолок исчерпан, дешёвого расширения не будет.
4. Сколько портов сети хранения подведено к приводам и на какой они скорости. Это ваш реальный потолок производительности.
5. В каком интерфейсном исполнении заказываются приводы и есть ли под них адаптер и свободный слот в медиа-сервере.
6. Какую схему хранения требует регулятор и как её трактует служба комплаенса. От формулировки число картриджей меняется кратно.
7. Есть ли сервисный контракт на механику и какой у него срок реакции. Робот — единственная точка отказа для всей ёмкости.
8. Когда в последний раз проверяли восстановление на реальном объёме и сколько оно заняло. Расчётное время восстановления и измеренное — разные величины, и разница обычно не в вашу пользу.
9. Когда планируется смена поколения носителя и заложена ли миграция архива в бюджет и в график.

1. Скільки даних реально лежить на стрічці зараз — за звітом системи резервного копіювання, а не за кількістю картриджів. І native це чи compressed: плутають постійно, різниця в рази.
2. Яке покоління приводів і носіїв стоїть. Не «LTO», а конкретне покоління і форм-фактор: від цього залежить і ємність картриджа, і швидкість, і сумісність.
3. Яке виконання бібліотеки і скільки модулів уже зайнято. Якщо стелю вичерпано, дешевого розширення не буде.
4. Скільки портів мережі зберігання підведено до приводів і на якій вони швидкості. Це ваша реальна стеля продуктивності.
5. У якому інтерфейсному виконанні замовляються приводи і чи є під них адаптер та вільний слот у медіа-сервері.
6. Яку схему зберігання вимагає регулятор і як її трактує служба комплаєнсу. Від формулювання кількість картриджів змінюється кратно.
7. Чи є сервісний контракт на механіку і який у нього термін реакції. Робот — єдина точка відмови для всієї ємності.
8. Коли востаннє перевіряли відновлення на реальному обсязі і скільки воно зайняло. Розрахунковий час відновлення і виміряний — різні величини, і різниця зазвичай не на вашу користь.
9. Коли планується зміна покоління носія і чи закладено міграцію архіву в бюджет і в графік.

1. How much data is actually on tape now — from the backup system’s report, not from the cartridge count. And is that native or compressed: constantly confused, and the difference is a multiple.
2. Which drive and media generation is installed. Not “LTO”, but the specific generation and form factor: cartridge capacity, speed and compatibility all follow from it.
3. Which chassis variant the library is and how many modules are already used. If the ceiling is reached, there will be no cheap expansion.
4. How many SAN ports run to the drives and at what speed. That is your real performance ceiling.
5. Which interface version the drives are ordered in, and whether there is an adapter and a free slot for them in the media server.
6. Which retention scheme the regulator requires and how compliance reads it. The wording changes the cartridge count by a multiple.
7. Is there a service contract covering the mechanics and what is its response time. The robot is a single point of failure for the entire capacity.
8. When recovery was last tested at realistic volume and how long it took. Calculated and measured recovery times are different quantities, and the difference is usually not in your favour.
9. When the media generation change is planned, and whether archive migration is in the budget and the schedule.

08

ИтогПідсумокBottom line

Вместо вывода

Замість висновку

Instead of a conclusion

Ленточный слой выглядит самым скучным элементом системы резервного копирования, и именно поэтому его проектируют последним и по остаточному принципу. А потом он оказывается единственным местом, где ошибка обнаруживается не на бумаге, а через год, когда картриджи кончились, окно не укладывается, а архив предыдущего поколения читать нечем.

Стрічковий шар виглядає найнуднішим елементом системи резервного копіювання, і саме тому його проєктують останнім і за залишковим принципом. А потім він виявляється єдиним місцем, де помилка виявляється не на папері, а через рік, коли картриджі скінчилися, вікно не вкладається, а архів попереднього покоління читати нічим.

The tape layer looks like the dullest element of a backup system, which is exactly why it is designed last and with whatever is left. And then it turns out to be the one place where the mistake is found not on paper but a year later, when the cartridges have run out, the window does not fit, and there is nothing left to read the previous generation’s archive with.

С приходом LTO-10 цена такой ошибки выросла. Ёмкость носителя действительно шагнула вперёд, и это хорошая новость для бюджета. Но темп записи остался прежним, шина под приводом стала втрое шире, а мост в прошлое поколение сгорел. Спецификация, собранная по памяти или скопированная из прошлогоднего проекта, теперь не просто неточна — она может быть нерабочей.

Із приходом LTO-10 ціна такої помилки зросла. Ємність носія справді зробила крок уперед, і це добра новина для бюджету. Але темп запису лишився тим самим, шина під приводом стала втричі ширшою, а міст у минуле покоління згорів. Специфікація, зібрана з пам’яті або скопійована з торішнього проєкту, тепер не просто неточна — вона може бути непрацездатною.

With LTO-10 the price of that mistake went up. Media capacity really did move forward, and that is good news for the budget. But the write pace stayed the same, the bus under the drive got three times wider, and the bridge to the previous generation burned. A specification assembled from memory or copied from last year’s project is now not merely imprecise — it may be unworkable.

Хорошая новость в том, что все девять вопросов из чек-листа решаются за одну встречу с эксплуатацией заказчика. Дороже всего обходятся не сложные расчёты, а те, которые никто не сделал.

Хороша новина в тому, що всі дев’ять питань із чек-листа вирішуються за одну зустріч з експлуатацією замовника. Найдорожче обходяться не складні розрахунки, а ті, яких ніхто не зробив.

The good news is that all nine checklist questions are settled in a single meeting with the customer’s operations team. The most expensive calculations are not the complicated ones — they are the ones nobody did.