백업·복구와 RPO·RTO

핵심 요약

RPO는 장애 시 허용 가능한 데이터 손실 시점의 범위이고, RTO는 서비스가 허용 가능한 시간 안에 복구되어야 하는 목표다. 백업 종류만 선택해서는 목표를 보장할 수 없으며 백업 주기, 로그 보존, 복원 속도, 인력·절차, 대체 인프라와 실제 복구 시험을 함께 설계해야 한다.

백업본 Restore → 로그 Roll-forward(REDO/WAL) → 미완료 작업 Rollback(UNDO)
                 → 일관성 검증 → 서비스 재개

학습 목표

• RPO와 RTO를 사례에서 계산·판단합니다.
• 전체·증분·차등·로그, 논리·물리, 온라인·오프라인 백업을 구분합니다.
• REDO/WAL, UNDO, 아카이브 로그, 체크포인트의 복구 역할을 설명합니다.
• 트랜잭션·인스턴스·미디어·사용자·사이트 장애별 복구 절차를 선택합니다.

1. 개념 설명

1.1 RPO와 RTO

RPO가 0에 가깝다고 자동으로 RTO도 짧아지는 것은 아니다. 동기 복제로 최신 데이터가 있어도 장애 전환·검증·애플리케이션 재기동에 시간이 걸릴 수 있다. 반대로 빠르게 서버를 재기동해도 마지막 백업 이후 데이터가 없으면 RPO를 만족하지 못한다.

1.2 백업 분류

증분·차등이라는 명칭과 기준은 제품에 따라 다를 수 있으므로 “무엇 이후의 변경분인지”를 확인해야 한다.

1.3 로그와 체크포인트

• REDO 또는 WAL(Write-Ahead Log): 데이터 페이지보다 먼저 변경 정보를 로그에 기록하여, 장애 후 커밋된 변경을 다시 적용할 수 있게 한다.
• UNDO: 미완료 트랜잭션을 취소하거나 이전 버전을 제공하는 데 사용된다. 구현 명칭·보존 방식은 제품별로 다르다.
• 아카이브 로그: 재사용되기 전 변경 로그를 별도 보존하여 백업 이후 시점까지 roll-forward할 수 있게 한다.
• 체크포인트: 메모리의 변경 페이지와 로그 복구 기준을 정리해 인스턴스 복구 범위를 줄이는 메커니즘이다. 체크포인트 자체는 독립된 백업본이 아니다.

1.4 장애 유형과 복구

복제는 가용성에 도움을 주지만 잘못된 삭제·오염도 복제할 수 있어 별도 백업과 시점 복구가 필요하다.

2. 구성요소와 관계

3. 백업·복구 설계 절차

1. 업무 영향 분석: 핵심 기능, 최대 허용 중단, 데이터 손실 허용량을 정한다.
2. RPO·RTO와 복구 우선순위 확정: 시스템 전체가 아니라 업무 기능별로 정의한다.
3. 백업·로그 조합 설계: 전체/증분/로그, 저장 위치, 암호화, 보존 기간을 정한다.
4. 복구 시나리오 작성: 장애 유형별 Restore, Recover, 전환, 검증, 재개 순서를 기록한다.
5. 복구 리허설: 운영과 분리된 환경에서 시간, 누락 로그, 권한, 애플리케이션 정합성을 측정한다.
6. 결과 개선: 실제 RPO/RTO가 목표를 넘으면 주기·처리량·자동화·인프라를 조정한다.

4. 사례와 계산

사례: 일 1회 전체 백업 + 15분마다 로그 아카이브

• 전체 백업: 매일 00:00
• 로그 아카이브 완료: 15분 간격
• 장애: 10:37
• 10:30까지의 로그가 안전하게 보존됨

이론상 복구 가능한 최근 시점은 10:30이므로 데이터 손실 범위는 7분이며, 설계상 최악의 RPO는 약 15분이다. 그러나 로그 전송 지연·손상·백업 실패가 있으면 실제 RPO가 커진다.

RTO는 다음 합으로 판단한다.

장애 인지·의사결정 + 인프라 준비 + 전체 백업 복원 + 로그 적용
+ DB 일관성 확인 + 애플리케이션 점검 + 업무 승인

백업 파일 복사 시간이 40분이어도 전체 절차가 2시간이면 RTO는 40분이 아니다.

5. 비교와 구분

시험 판단 포인트

• RPO는 데이터 손실 허용량, RTO는 서비스 복구 시간 목표다.
• 체크포인트는 복구량을 줄일 수 있지만 백업을 대체하지 않는다.
• Restore는 백업본을 되돌리는 과정, Recover는 로그를 적용해 목표 시점의 일관된 상태로 만드는 과정으로 구분한다.
• 미디어 장애는 일반적으로 백업 복원과 로그 적용이 필요하고, 인스턴스 장애는 로그 기반 인스턴스 복구가 핵심이다.
• 백업 정책의 완료 기준은 “파일 생성 성공”이 아니라 목표 시점·시간 내 실제 복구와 업무 검증이다.

자주 틀리는 부분

• RPO 0을 ‘복구 시간이 0’으로 해석한다.
• 아카이브 로그가 있으므로 기본 백업 없이 무한히 복구할 수 있다고 본다.
• 복제본을 백업과 동일하게 보고 오삭제·랜섬웨어 전파를 무시한다.
• 복원 시간만 측정하고 DNS, 애플리케이션, 권한, 업무 검증 시간을 RTO에서 제외한다.
• 체크포인트를 백업 시점 또는 커밋 시점과 같은 개념으로 본다.