План отката и параллельная эксплуатация при миграции

Критерии «переезд не удался»

Самая дорогая ошибка переезда не техническая. Она в том, что в три часа ночи новая система работает наполовину, команда верит, что «еще час и поднимем», и никто не вправе сказать «откатываемся». К утру окно кончилось, процесс стоит, а откатываться уже некуда, потому что в новую систему начали вводить данные.

Лечится заранее записанными порогами. Их три вида, и все три должны быть в плане до окна:

• Порог времени. Из допустимого простоя процесса вычитается время, нужное на откат. Если окно восемь часов, а откат занимает два, решение принимается не позже шестого часа, что бы ни происходило.
• Порог операций. Список ключевых операций, которые должны пройти на новой системе до конца окна: проводка, отгрузка, пуск линии, выдача наряда. Не прошла хотя бы одна из списка «обязательных», значит откат.
• Порог ошибок. Число и тяжесть ошибок, после которых система считается неработающей, даже если формально запущена. Например, расхождение остатков более чем на заданную долю или недоступность рабочих мест в одном из цехов.

Пороги согласуются с владельцем процесса до окна и записываются в план. В окне их не обсуждают, по ним действуют. Решение об откате принимает один названный человек, обычно руководитель проекта или ответственный за переход; у команды внедрения права отложить откат нет, потому что она всегда будет верить, что «еще час».

Порядок возврата

Откат это отдельная процедура со своим временем, и она тоже репетируется. Минимальный состав:

1. Снимок перед стартом. До остановки старой системы делается полная копия данных и конфигурации, проверяется, что она читается. Без этого шага откатываться некуда.
2. Заморозка ввода. С момента решения об откате ввод в новую систему прекращается. Все, что введено в нее после старта окна, выгружается отдельно для последующего переноса в старую.
3. Возврат старой системы. Запуск из снимка, проверка ключевых операций по тому же списку, что и для новой. Только после этого процесс объявляется восстановленным.
4. Перенос накопленного. Данные, введенные в новую систему в окне, переносятся в старую по регламенту, чаще вручную. Объем должен быть известен заранее: если в окне ожидается тысяча операций, ручной перенос займет день, и это надо учесть в допустимом простое.
5. Разбор. В течение недели фиксируется, что пошло не так, и назначается новое окно. Откат без разбора повторяется.

Время отката измеряется на стенде до переезда, а не оценивается. Если стенда нет, время отката закладывается с двукратным запасом.

Параллельная эксплуатация: правила

После удачного переезда старую систему не выключают сразу. Несколько недель обе работают: новая ведет процесс, старая доступна для сверки и возврата. Это режим параллельной эксплуатации, и у него есть правила, без которых он порождает больше проблем, чем решает.

• Одна система ведущая. Ввод идет только в одну систему. Двойной ввод «для надежности» гарантированно дает расхождение через неделю, и потом никто не знает, где правда.
• Срок ограничен. Параллельная работа заканчивается в записанную дату, обычно после закрытия первого отчетного периода на новой системе. Бессрочная параллель это не страховка, а два процесса вместо одного.
• Сверка ежедневная. Контрольные суммы, остатки, ключевые показатели сверяются каждый день, расхождения разбираются в тот же день.
• Выход из параллели по критериям. Старая система отключается, когда прошел период, сверка сходится и ключевые операции на новой системе выполнены хотя бы один полный цикл.

Отдельный случай промышленных объектов, где параллельная работа двух систем управления физически невозможна: там ее заменяет оконный переезд по участкам, о нем на странице замена АСУ ТП без остановки производства.

Данные: что хранить и как сверять

Регулятор про данные при переходе ничего не говорит, а именно они чаще всего становятся причиной отката. Три правила:

Исходные данные хранятся неизменными до закрытия периода наблюдения, а лучше до конца отчетного года: возможность вернуться к снимку это единственный способ доказать, что перенос был верным.

Сверка делается по контрольным суммам и по выборкам: суммы ловят потерю записей, выборки ловят искажение содержимого. Одна из двух проверок пропускает половину ошибок.

Целевая точка восстановления (RPO) для окна переезда назначается отдельно и обычно жестче обычной: терять данные, введенные в окне, нельзя, потому что их некому восстановить по памяти. Как это связано с допустимым простоем: категорирование и допустимое время простоя.

Частые вопросы