Сохранность данных: 3-2-1, контрольные суммы и восстановление без облака

Потеря данных почти никогда не бывает внезапной: диск умирает по кривой, где 1–2% накопителей отказывают в первый год, а к пятому году доля отказов доходит до 6–8%. За шифрование платят отдельно: одна успешная атака шифровальщика обезвреживает все подключённые диски за 20–40 минут. Схема 3-2-1 (три копии, два разных носителя, одна вне площадки) снижает риск полной потери на порядки, но работает только при регулярной проверке восстановления — копия, которую ни разу не разворачивали, копией не считается.

1. Индекс и назначение

ДАН-СОХР-3120
Организация резервного копирования и восстановления личного и рабочего архива без облачных сервисов: выбор носителей, схема копий, контроль целостности, проверка развёртывания.

2. Условия применения

Домашний ПК или небольшая рабочая группа 1–10 машин; объём архива 0,5–8 ТБ; канал в интернет может отсутствовать — схема обязана работать полностью офлайн.

3. Ключевые величины

Прирост архива 2–20 ГБ в сутки; скорость записи HDD 80–160 МБ/с, SSD 300–500 МБ/с; полное копирование 1 ТБ занимает 1,5–3 часа на HDD.

4. Ограничения и ресурс

HDD: ресурс 3–5 лет наработки, наработка на отказ 300–600 тыс. часов, но вероятность отказа растёт после 25 000 часов. SSD: 600–3000 циклов перезаписи ячейки; при записи 20 ГБ в сутки диск на 1 ТБ исчерпает ресурс за 3–8 лет.

5. Контроль целостности

Контрольная сумма SHA-256 по каждому файлу или контейнеру; сверка раз в квартал; журнал копий с датой, объёмом и результатом проверки; тест восстановления 1 файла и 1 каталога на каждой копии.

6. Норматив

Не менее 3 копий на 2 типах носителей, из них 1 вне помещения; допустимая потеря данных (RPO) не более 24 часов; время восстановления (RTO) не более 40 минут для рабочего каталога.

Пять шагов построения защиты архива

1. Инвентаризация: что именно нельзя потерять

   Разделите данные на три группы по цене потери. Критичные — то, что не восстанавливается: документы, ключи, исходники, семейный архив, объём обычно 20–200 ГБ. Рабочие — текущие проекты, объём 0,3–2 ТБ. Восстановимые — фильмы, дистрибутивы, кэши: их копировать не нужно. Правило: если каталог можно скачать заново за час, он не входит в схему резервирования.

2. Схема 3-2-1: три копии, два носителя, одна вне площадки

   Исходник на внутреннем диске, вторая копия на внешнем HDD, третья — на втором внешнем диске другого типа (или на NAS с зеркалом), которую хранят в другом помещении. Разные типы носителей важны: отказ партии SSD одной модели случается синхронно из-за общей прошивки, поэтому HDD + SSD надёжнее, чем два одинаковых HDD из одной партии.

3. Версионность и контрольные суммы

   Копия «поверх» уничтожает предыдущее состояние: если файл испорчен вирусом или ошибочным сохранением, второе копирование затрёт и здоровую версию. Нужны версии с шагом 1 сутки и глубиной 30–90 дней. Каждая версия сопровождается файлом контрольных сумм: sha256sum по каталогу, одна строка на файл, сверка занимает 2–10 минут на 100 тыс. файлов.

4. Проверка восстановления, а не проверка копирования

   Успешная запись не означает восстановимость. Раз в месяц разверните 1 случайный каталог на отдельный диск и откройте 3–5 файлов разного типа; раз в квартал — полный тест на резервной машине. Фиксируйте время: если восстановление 100 ГБ идёт дольше 40 минут, схема не соответствует RTO и требует диска быстрее или копии ближе.

5. Защита от шифровальщика: офлайн и неизменяемость

   Диск, подключённый постоянно, шифруется вместе с системой. Рабочее решение: копия на носителе, который физически отключают после сеанса, и вторая копия с атрибутом «только чтение» или на носителе с аппаратной защитой записи. Ещё один уровень — расписание, при котором архив пишется по событию, а не по расписанию всей системы: у шифровальщика остаётся окно не более 24 часов.

Как физически теряются данные: три механизма

Первый механизм — механический отказ. В HDD головка летит над пластиной на высоте 5–10 нм; пылинка размером 1 мкм — это препятствие в 100–200 раз больше зазора. Удар 300–400 g при падении с высоты 20 см вызывает касание головки и локальное выгорание секторов: диск может остаться работоспособным, но потеряет 0,1–2% поверхности. Второй механизм — деградация флеш-памяти: после исчерпания ресурса ячейки начинают «залипать» в одном состоянии, и данные читаются с ошибками ECC, которые сначала исправляются, а потом нет. Третий — логическая порча: сбой питания в момент записи таблицы разделов, ошибочная команда форматирования, шифровальщик.

Порог заметности разный. Механические повреждения видны сразу — диск щёлкает, система не видит раздел. Деградация флеша проявляется медленно: сначала один файл не открывается, потом каталог, а SMART показывает рост переназначенных секторов и параметр «Used Reserved Block Count». Логическая порча не видна вообще до момента обращения к файлу, поэтому единственный надёжный детектор — контрольные суммы, а не «файл вроде открывается».

SMART: какие атрибуты действительно говорят о скором отказе

Из двух десятков атрибутов практическое значение имеют пять. Reallocated Sectors Count (ID 5): любой рост — признак деградации поверхности; 10–20 переназначенных секторов обычно означают, что диск проживёт месяцы, а не годы. Current Pending Sector Count (ID 197): сектора, которые не читаются и ждут переназначения, — самый ранний признак. Uncorrectable Sector Count (ID 198): ошибки, которые контроллер не смог исправить. Spin Retry Count (ID 10): проблемы с раскруткой шпинделя. И для SSD — Media Wearout Indicator или Percentage Used: значение выше 80% означает, что остаточный ресурс меньше 20%.

Температура влияет на срок службы сильнее, чем принято думать: при 25 °C наработка диска соответствует паспортной, при 45 °C снижается примерно вдвое, при 55 °C — втрое. Для массива из двух дисков вероятность отказа в течение года при AFR 2% составляет около 4%, а вероятность отказа обоих в один год — 0,04%, то есть примерно один случай на 2500 систем: именно поэтому копии на разных носителях, а не «зеркало на двух одинаковых дисках из одной партии».

Сколько места и времени нужно: расчёт бюджета копий

Полный цикл 3-2-1 требует места примерно в 3,5 раза больше исходного объёма: три копии плюс запас на версии. При архиве 1 ТБ это 3,5 ТБ дискового пространства. Инкрементальные копии уменьшают объём: при суточном приросте 10 ГБ и глубине 90 дней версии занимают около 900 ГБ без дедупликации и 200–300 ГБ с дедупликацией повторяющихся файлов.

Время считается по худшему случаю — полному восстановлению. Скорость записи HDD 120 МБ/с даёт 1 ТБ за 2,4 часа, но скорость случайного чтения при восстановлении падает до 30–60 МБ/с, и реальное время растёт до 5–9 часов. Если RTO задан в 40 минут, восстанавливать нужно не весь архив, а рабочий каталог 200 ГБ с SSD: 200 ГБ при 300 МБ/с — это 11 минут записи плюс время на проверку, что укладывается в норматив.

Версии и «золотой снимок»: защита от порчи задним числом

Шифровальщик шифрует файлы за минуты и оставляет записку. Если копия делается по расписанию раз в сутки, испорченное состояние попадёт в архив на следующем цикле. Защита строится на версиях: суточные копии за 30 дней, недельные за 12 недель, месячные за 12 месяцев. При такой сетке даже полный месяц работы с испорченными файлами оставляет месячную копию, снятую до заражения.

Отдельный приём — «золотой снимок»: копия, которая не обновляется, а заменяется новой только после ручной проверки. Для домашнего архива это диск, подключаемый раз в квартал, для рабочего — каталог с атрибутом «только чтение» на сетевом хранилище. Стоимость такого решения — один диск на 2 ТБ и 20 минут в квартал, окупаемость — один эпизод с шифровальщиком.

Шифрование копий: когда оно помогает, а когда мешает

Шифрование архива защищает от физической кражи носителя, но создаёт риск потерять всё из-за утраченного пароля. Практика: шифровать только выносную копию, а ключ хранить отдельно от неё — на бумаге в другом помещении или в менеджере паролей с экспортом на второй носитель. Симметричный контейнер (LUKS, VeraCrypt) с паролем из 6–8 слов даёт стойкость, достаточную против бытового злоумышленника, и не требует инфраструктуры.

Ошибка, которая встречается чаще всего: ключ восстановления лежит на том же диске, что и зашифрованный архив, либо пароль известен одному человеку без записи. Второй риск — смена пароля без переупаковки контейнера: старые копии остаются под старым паролем, и через год никто не помнит, какая копия каким ключом открывается. Регламент: таблица «дата копии — версия ключа» обновляется при каждой смене пароля.

Восстановление по шагам: от «диск не виден» до рабочих файлов

Если диск не определяется, порядок действий фиксирован и не допускает импровизации. Сначала диск отключают от системы, чтобы не запускать автоматическую проверку и не перезаписывать метаданные. Затем снимают полный образ на исправный носитель объёмом не меньше исходного: скорость посекторного чтения при сбойных зонах падает до 1–5 МБ/с, и 500 ГБ могут читаться 30–100 часов. Все дальнейшие действия выполняются только с образом, оригинал остаётся нетронутым.

Если диск определяется, но файлы не открываются, начинают с SMART и проверки контрольных сумм: расхождение по 3–5 файлам говорит о локальной порче, по сотням — о деградации поверхности. Дальше восстановление идёт из копии, а не с повреждённого носителя: попытки «дочитать» сбойный диск многократно повышают шанс потерять остальное. Время восстановления рабочего каталога 200 ГБ из копии на SSD — 11–20 минут, из копии на HDD — 1–2 часа.

Мобильные устройства и «архив в кармане»

Телефон попадает в ту же схему, но с поправкой на объём: фотографии и переписка обычно занимают 30–150 ГБ. Автоматическая выгрузка в облако решает задачу, но не является копией в смысле 3-2-1: аккаунт можно потерять или заблокировать. Практика: раз в месяц полная выгрузка на ПК по кабелю (скорость 30–60 МБ/с, 100 ГБ за 30–60 минут) и попадание этого каталога в общую схему резервирования. Плюс отдельная копия ключей двухфакторной аутентификации: их потеря закрывает доступ к аккаунтам навсегда.

Пароли и ключи хранят в менеджере паролей, а его резервную копию — как обычный файл в схеме 3-2-1. Аварийный набор на бумаге (мастер-пароль, коды восстановления, PIN) держат в двух местах вне дома; это единственный элемент схемы, который остаётся работоспособным при полной потере техники.

Типичные ошибки, которые обнуляют схему

Копия на том же физическом диске (второй раздел, другая папка) — не копия: отказ диска уничтожает обе. RAID-массив не заменяет резервное копирование: зеркало повторяет и ошибку оператора, и шифрование, и удаление файла в ту же секунду. Сетевой диск, смонтированный с правами записи, шифруется вместе с системой. Ещё две ошибки — отключённая проверка восстановления и «копия, которую делают вручную, когда вспомнят»: фактический интервал между копиями измеряется неделями.

Проверка схемы занимает 10 минут: покажите на пальцах, где лежат три копии, какая из них вне помещения, когда последний раз разворачивали файл и сколько времени это заняло. Если хотя бы один ответ «не помню», схема существует только на бумаге.

Инженерный чертёж · три вкладки

Расчётная часть: бюджет копий и время восстановления

Схема резервирования считается тремя числами: объём архива, скорость носителя и допустимое окно потери. Ниже таблица даёт практическую прикидку для типовых объёмов: сколько места нужно, сколько длится копирование и укладывается ли восстановление в норматив 40 минут.

Сравнение носителей и схем

МТО: что нужно для схемы 3-2-1

Частые вопросы

OFFLINE RAG INDEX TAGS: резервное копирование, 3-2-1, SHA-256, SMART, Reallocated Sectors, AFR, RPO, RTO, версии, дедупликация, шифровальщик, offline-копия, VeraCrypt, восстановление данных, битый сектор