Circolare numero 259 del 16-11-1993

Salvaguardia sistemi IBM/AS400 e disciplina dei salvataggi

La circolare disciplina in modo rigoroso la protezione dei sistemi IBM/AS400, evidenziando che l’integrità del sistema operativo, dei file, delle librerie e degli oggetti rappresenta un presidio essenziale per la continuità operativa di ciascuna Sede. Per tale ragione viene richiamato l’obbligo di eseguire i salvataggi alle periodicità previste, senza deroghe, e di verificare con attenzione sia l’esecuzione sia la conservazione nel tempo dei supporti prodotti.

Finalità e principi generali

Il documento muove dalla constatazione che un’eventuale distruzione o compromissione dei dati, anche per errori o malfunzionamenti gravi, provocherebbe un pregiudizio rilevante per la funzionalità della Sede. La ricostruzione successiva sarebbe infatti onerosa e potrebbe non riallinearsi perfettamente alla situazione preesistente, soprattutto per l’estrema dinamicità dei singoli file. Da qui deriva la necessità di un sistema di backup uniforme, sistematico e controllato, destinato a ridurre i danni e a consentire una rapida ripresa delle attività.

La circolare richiama inoltre che, in più occasioni, soprattutto nei periodi feriali o di maggior carico operativo, si sono riscontrate applicazioni non sempre puntuali delle disposizioni e una gestione talvolta poco attenta delle fasi procedurali, con ripercussioni negative sulla qualità del servizio e sull’immagine dell’ufficio. Per questo viene ribadito che le esigenze locali non possono mai giustificare il mancato rispetto delle periodicità di salvataggio.

Gestione del journal e salvaguardia delle transazioni

Un primo presidio essenziale è la costante attivazione della registrazione a giornale. La circolare precisa che il journal, avviato al termine della migrazione dal sistema IBM/8100, non dovrebbe mai interrompersi, salvo il caso di ricezione di nuovi file o modifiche di file esistenti; anche in tali ipotesi, il riavvio è definito assolutamente necessario. La funzione del journal è quella di consentire la registrazione puntuale di tutte le transazioni effettuate nella giornata.

Salvataggio giornaliero dei ricevitori journal

Il backup giornaliero riguarda i ricevitori del journal ed è da effettuare ogni giorno per ciascun sottosistema allocato. L’operazione è finalizzata alla salvaguardia delle transazioni della singola giornata lavorativa. L’allegato operativo spiega che il sistema esegue automaticamente l’inizializzazione del nastro, il cambio del ricevitore journal in uso, l’attivazione del break mode della coda messaggi dell’unità TAP01, il salvataggio dei ricevitori presenti e, infine, la disattivazione del break mode e l’invio del messaggio di completamento.

Per il buon esito dell’operazione non è necessario terminare i lavori attivi né disattivare i sottosistemi DMA, PNA/PNB, RGA, KSBATCH e QBATCH. Al termine deve essere immesso il comando SIGNOFF *LIST, così da produrre uno spool file che consenta di verificare se tutti gli oggetti siano stati correttamente salvati. Deve inoltre essere controllata, tramite DSPLIB xxxJRN, la presenza nella libreria dei corretti oggetti: uno o più *JRNRCV, un *JRNC e un file *FILE con attributo SAVF per ogni backup giornaliero già effettuato. La presenza di una situazione diversa indica che il backup non si è concluso positivamente.

La circolare segnala che, in caso di messaggio di “salvataggio parziale”, l’operazione non può considerarsi conclusa positivamente, anche perché può dipendere da danneggiamento o mancato sincronismo dei ricevitori. In tale evenienza il rimedio indicato è l’esecuzione di un salvataggio settimanale, indipendentemente dal tempo trascorso dall’ultimo analogo backup.

Salvataggio settimanale delle librerie e dei dati

Il salvataggio settimanale, da eseguire con frequenza settimanale, riguarda la salvaguardia integrale degli oggetti delle librerie indicate per le aree DMA, PNA/PNB e RGA, nonché delle librerie di ambiente, dati, journal, nuovi file e utility. La circolare ne evidenzia la funzione di consolidamento dell’intero set di oggetti allocati nel sistema. È inoltre precisato che tale operazione deve sempre essere preceduta da un salvataggio giornaliero, altrimenti non si azzererebbero i ricevitori e i successivi backup richiederebbero un numero crescente di nastri.

Operativamente è richiesto di verificare che non vi siano lavori attivi sui terminali; in caso contrario, questi devono essere terminati immediatamente. Devono essere disattivati i sottosistemi DMA, PNA/PNB, RGA, KSBATCH e QBATCH, quindi va montato un nastro su TAP01 e avviata l’opzione 2 del pannello di salvataggio. Il sistema potrà richiedere il cambio di nastro, che verrà inizializzato automaticamente. Al termine deve essere nuovamente eseguito SIGNOFF *LIST e controllato che nello spool non risultino oggetti non salvati o salvati solo parzialmente.

Sul piano della verifica della libreria dei giornali, dopo il backup settimanale devono rimanere soltanto un oggetto *JRNRCV creato automaticamente per le nuove fasi di giornalizzazione e un oggetto *JRNC. Qualsiasi ulteriore presenza di oggetti segnala un esito non corretto.

Salvataggio periodico dei programmi

Il salvataggio periodico dei programmi è destinato alla salvaguardia delle librerie contenenti i programmi applicativi e oggetti collegati. La circolare lo indica come operazione da eseguire ogni 7/10 giorni, senza una rigidità assoluta di calendario, ma con lo scopo di evitare pesanti disallineamenti tra librerie locali e centrali.

Le librerie interessate comprendono, per le varie aree, DMPGM, PNPGM, RGPGM, DM10MPGM, PNCBLPGM, RGCBLPGM, INPSTOOL, QDCX e DMNDM/PNNDM/RGNDM. Pur non essendo vincolato a specifiche attività sui dati, il salvataggio è raccomandato anche in presenza di programmi in uso, fermo restando che sarebbe opportuno terminare lavori attivi e sottosistemi per evitare il coinvolgimento di oggetti in esercizio. Anche in questo caso si applicano il comando SIGNOFF *LIST e la verifica dello spool file; gli eventuali oggetti *PGM danneggiati, non salvati, dovranno essere ripresi singolarmente con le consuete modalità di caricamento.

Salvataggio mensile dell’intero sistema

Il salvataggio mensile rappresenta il momento più ampio della disciplina di backup e prevede due attività: SAVSYSTEM per il salvataggio SYS e SAVNONSYS per il salvataggio NO-SYS. Tali operazioni devono essere effettuate in ambiente totalmente dedicato, tramite i comandi eseguiti dall’utente QSYSOPR e dalla system console identificata con DSP01.

Prima di avviare la procedura, l’operatore deve verificare che non vi siano lavori attivi e, se necessario, terminarli immediatamente. Deve poi eseguire ENDSBS *ALL *IMMED e attivare il break mode delle code messaggi QSYSOPR, DSP01, TAPMSGQ e UPSLIB/UPSCTL con CHGMSGQ ... *BREAK.

Salvataggio SYS

Per il salvataggio SYS va eseguito il comando CALL INPSTOOL/SAVSYSTEM. La procedura automatizza l’attivazione del break mode, la chiusura di tutti i sottosistemi, l’inizializzazione del nastro, il salvataggio del sistema operativo e delle definizioni di configurazione e sicurezza tramite SAVSYS, quindi la disattivazione del break mode e l’invio del messaggio di completamento.

Salvataggio NO-SYS

Per il salvataggio NO-SYS va eseguito il comando CALL INPSTOOL/SAVNONSYS. La procedura è analoga alla precedente, ma riguarda gli oggetti del sistema non già inclusi nel SAVSYS. Se il sistema non è in grado di salvare alcune librerie, viene trasmesso un messaggio all’operatore che richiede, dopo la sostituzione del nastro, l’esecuzione di CALL QGPL/RSTNSYS per consentire la prosecuzione senza riavvio dall’inizio. La circolare segnala che tale passaggio verrà in futuro automatizzato.

Al termine delle attività mensili deve essere sempre prodotto lo spool file tramite SIGNOFF *LIST e verificato che non vi siano oggetti non salvati, salvo le code messaggi e le descrizioni unità che il sistema ricrea automaticamente al successivo IPL. Per il completamento della procedura, la circolare indica infine i comandi KRESETLOG SAVLOG(*NO) PWRDWN(*SI) RSTRS(*SI) per il riavvio del sistema, oppure KRESETLOG SAVLOG(*NO) PWRDWN(*SI) RSTRS(*NO) quando il sistema può essere spento.

Criteri di conservazione dei supporti magnetici

La conservazione dei supporti magnetici deve avvenire negli armadi ignifughi già forniti alle Sedi, che costituiscono il mezzo ordinario di custodia dei backup OS/400 e dei salvataggi mensili, periodici, settimanali e giornalieri. La circolare invita a uno sfoltimento periodico degli armadi, nel rispetto delle direttive di apertura, chiusura e allarme già impartite.

Possono essere rimossi e riutilizzati, se ancora conservati, i nastri legati a sistemi o versioni non più attuali, tra cui: i supporti della migrazione IBM/8100 verso AS400, i nastri di copia prodotti per la migrazione, i backup anteriori alla versione corrente di OS/400, i nastri originali IBM relativi a vecchi aggiornamenti non più utilizzabili, i supporti prodotti prima delle precedenti operazioni di rinnovo generalizzato delle pensioni e le copie di singoli file create con i programmi 810 e 819 o da altri programmi non più allineati alla situazione attuale.

Diversamente, i supporti relativi ai salvataggi correnti devono essere conservati con questi criteri:

• i giornalieri compresi tra due settimanali devono essere mantenuti fino alla produzione con esito positivo di una nuova serie, in modo da conservare sempre un settimanale, i giornalieri successivi e il successivo settimanale;
• i settimanali e i periodici devono essere conservati tutti fino all’effettuazione con successo del mensile riferito allo stesso periodo;
• i mensili devono essere conservati tutti, in modo da avere sempre disponibili almeno due serie, quella del periodo in corso e quella del periodo immediatamente precedente.

Tali criteri valgono anche per i Centri Operativi dotati di sistema IBM/AS400; ove gli armadi ignifughi non siano presenti, devono comunque essere adottate soluzioni locali che garantiscano il massimo livello possibile di sicurezza.

Adempimenti organizzativi e responsabilità delle Sedi

La circolare conclude richiamando la responsabilità delle Sedi nel programmare e pianificare le attività di backup secondo le periodicità descritte, prevedendo adeguate verifiche tecnico-funzionali. Ogni Sede deve autonomamente individuare il momento della giornata più opportuno per eseguire i salvataggi, compatibilmente con l’organizzazione operativa locale.

Le linee generali e i criteri operativi devono essere notificati personalmente e direttamente ai singoli Operatori di sistema, per i quali costituiscono una vera e propria norma di comportamento da seguire scrupolosamente. Il rispetto di tali regole è presentato come condizione necessaria per garantire la massima funzionalità operativa del sistema e la sicurezza complessiva dei dati.