張 明 李 麗 智 峰 劉羿彤

(中國計量科學(xué)研究院信息中心，北京 100029)

?

虛擬化技術(shù)在計量檢定信息管理系統(tǒng)容災(zāi)恢復(fù)中的研究與應(yīng)用

張 明 李 麗 智 峰 劉羿彤

(中國計量科學(xué)研究院信息中心，北京 100029)

隨著信息技術(shù)在量值傳遞體系中的不斷深入應(yīng)用，計量檢定信息管理系統(tǒng)的應(yīng)用及數(shù)據(jù)安全成了量傳體系能否順利開展的關(guān)鍵因素。在互聯(lián)網(wǎng)環(huán)境下，來自網(wǎng)絡(luò)的危險是無法預(yù)測的，一旦支撐系統(tǒng)運行的軟硬件設(shè)備出現(xiàn)異常，整套系統(tǒng)將無法運轉(zhuǎn)。出于計量檢定信息管理系統(tǒng)的高可靠性要求考慮，并結(jié)合實際業(yè)務(wù)情況進(jìn)行分析研究，以虛擬化技術(shù)為基礎(chǔ)，在單一物理主機(jī)中虛擬出可同時運行的多臺虛擬服務(wù)器，結(jié)合Replication and High Availability應(yīng)用可用性保護(hù)解決方案，提出了一種可實現(xiàn)對系統(tǒng)應(yīng)用及數(shù)據(jù)快速恢復(fù)的新方式，保障了量值傳遞的安全進(jìn)行。

虛擬化；量值傳遞；容災(zāi)恢復(fù)

0 引言

計量檢定工作越來越依靠信息系統(tǒng)來處理關(guān)鍵業(yè)務(wù)流程，計量檢定信息管理系統(tǒng)無論是在院內(nèi)，還是與外部合作伙伴交互均是如此。該系統(tǒng)的完整性及其提供業(yè)務(wù)連續(xù)性的能力至關(guān)重要[1]。發(fā)生可用性或信息完整性受影響的每一分鐘都會直接導(dǎo)致無法挽回的經(jīng)濟(jì)損失，意外的災(zāi)難、服務(wù)器停機(jī)、平臺遷移和過時信息都是必須解決的威脅因素，信息流的中斷會對計量檢定業(yè)務(wù)造成沉重的打擊[2]。

為了保證業(yè)務(wù)系統(tǒng)的連續(xù)運行，傳統(tǒng)上都會配置相應(yīng)的容災(zāi)恢復(fù)方案以保證意外情況發(fā)生后對系統(tǒng)進(jìn)行恢復(fù)。但是傳統(tǒng)方法普遍存在恢復(fù)時間長、時效低、恢復(fù)不完整等問題，備份服務(wù)器一般都與實際服務(wù)器在數(shù)量和質(zhì)量上保持一致，在經(jīng)濟(jì)性和節(jié)能性上有較大缺陷。下面，將介紹一種新的容災(zāi)恢復(fù)方式，以單一物理主機(jī)中虛擬出可同時運行的多臺虛擬服務(wù)器的虛擬化方法為基礎(chǔ)，結(jié)合Replication and High Availability應(yīng)用可用性保護(hù)解決方案(以下簡稱RHA)，可實現(xiàn)對系統(tǒng)應(yīng)用及數(shù)據(jù)快速、準(zhǔn)確地恢復(fù)，從而保障了量值傳遞的安全進(jìn)行。

1 需求分析及研究

1.1 計量檢定信息管理系統(tǒng)及數(shù)據(jù)特征

本業(yè)務(wù)系統(tǒng)由應(yīng)用系統(tǒng)及數(shù)據(jù)庫兩大部分構(gòu)成，應(yīng)用系統(tǒng)由Browser/Server(瀏覽器/服務(wù)器模式，以下簡稱BS)和Client/Server(客戶端/服務(wù)器模式，以下簡稱CS)兩種架構(gòu)組成，數(shù)據(jù)庫統(tǒng)一采用SQL Server[3]。

1.1.1 應(yīng)用系統(tǒng)特征

為了保證接待大廳內(nèi)工作人員可高效地操作系統(tǒng)，故接待、客服、證書打印及財務(wù)人員使用CS架構(gòu)程序，并且業(yè)務(wù)大廳采用與院區(qū)局域網(wǎng)隔離的專網(wǎng)直接與數(shù)據(jù)庫相連。為了保證檢定人員可以不受地域限制地使用本系統(tǒng)，故使用BS架構(gòu)設(shè)計我院業(yè)務(wù)能力維護(hù)系統(tǒng)及檢定測試系統(tǒng)。

1.1.2 數(shù)據(jù)庫特征

支撐業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫，數(shù)據(jù)類型多樣，我院現(xiàn)有國家計量基準(zhǔn)127項，標(biāo)準(zhǔn)258項，有證標(biāo)準(zhǔn)物質(zhì)1062種(一級354種，二級708種)，國際計量局(BIPM)公布的國際互認(rèn)的校準(zhǔn)和測量能力1011項，需要動態(tài)管理這些業(yè)務(wù)能力相關(guān)的大量文檔及圖形文件。

此外,本系統(tǒng)數(shù)據(jù)增長迅速，自上線以來，每年都有十幾萬份證書生成，僅僅證書數(shù)據(jù)每年增長量就約50G。

1.2 現(xiàn)有網(wǎng)絡(luò)環(huán)境特征

目前系統(tǒng)由2臺IIS服務(wù)器和3臺數(shù)據(jù)庫服務(wù)器構(gòu)成，所有機(jī)器均配置雙網(wǎng)卡分別連接至不同網(wǎng)段。網(wǎng)卡1進(jìn)行各服務(wù)器間內(nèi)部通信，為萬兆網(wǎng)卡，網(wǎng)卡2進(jìn)行與局域網(wǎng)用戶數(shù)據(jù)交互。和平里院區(qū)與昌平院區(qū)內(nèi)均為千兆局域網(wǎng)并已部署流量控制系統(tǒng)，兩院區(qū)之間有一條專線進(jìn)行連接。

2 實現(xiàn)方案

基于以上的需求分析，我們考慮采用ARCserve公司RHA應(yīng)用可用性保護(hù)解決方案對計量檢定信息管理系統(tǒng)的數(shù)據(jù)庫及應(yīng)用系統(tǒng)加以保護(hù)[4]。核心應(yīng)用持續(xù)性保護(hù)拓?fù)淙鐖D1所示。

圖1 核心服務(wù)器應(yīng)用持續(xù)性保護(hù)拓?fù)鋱D

采用ARCserve RHA實現(xiàn)對SQL/IIS數(shù)據(jù)文件的實時復(fù)制，保證數(shù)據(jù)的完整性及災(zāi)難后的快速重建。同時采用 Assured Recovery對備用主機(jī)的數(shù)據(jù)進(jìn)行定期的自動測試，以確保數(shù)據(jù)丟失后得到快速、可靠的故障恢復(fù)。為確保應(yīng)用系統(tǒng)時時刻刻的可靠運轉(zhuǎn)，我們在方案中設(shè)計了實時保護(hù)系統(tǒng)。由于現(xiàn)有系統(tǒng)中有5臺Windows服務(wù)器，其中三臺運行MS SQL數(shù)據(jù)庫，采用針對所有服務(wù)器進(jìn)行1對1數(shù)據(jù)復(fù)制以及高可用的保護(hù)。出于成本及恢復(fù)效率兩方面的考慮，五臺服務(wù)器的備機(jī)通過本地虛擬服務(wù)器主機(jī)操作系統(tǒng)window server 2012數(shù)據(jù)中心版自帶的hyper-V虛擬化技術(shù)實現(xiàn)的虛擬服務(wù)器來實現(xiàn)。虛擬出的五臺虛擬服務(wù)器對主關(guān)鍵服務(wù)器做數(shù)據(jù)實時的數(shù)據(jù)保護(hù)，并將所有應(yīng)用數(shù)據(jù)傳送給異地容災(zāi)中心。同時，部署一臺服務(wù)器作為備份服務(wù)器，對上述5臺服務(wù)器中的所有數(shù)據(jù)進(jìn)行集中備份[5]。

為確保系統(tǒng)在遇到災(zāi)難性破壞后能夠得到恢復(fù)，我們在處于昌平院區(qū)的異地設(shè)置一臺服務(wù)器作為災(zāi)備服務(wù)器，它的設(shè)置方式與本地虛擬服務(wù)器完全相同。在此遠(yuǎn)程虛擬服務(wù)器中啟動5臺虛擬機(jī)，與主應(yīng)用服務(wù)器的5臺服務(wù)器做一一對應(yīng)實時復(fù)制。當(dāng)主機(jī)房主應(yīng)用服務(wù)器和虛擬服務(wù)器都出現(xiàn)故障時，此災(zāi)備服務(wù)器才會接管中心機(jī)房的服務(wù)器工作，保證業(yè)務(wù)的不間斷。

ARCserve RHA實時對實際在用的業(yè)務(wù)系統(tǒng)及數(shù)據(jù)庫中的被保護(hù)信息與虛擬機(jī)中的虛擬系統(tǒng)進(jìn)行對比，一旦發(fā)生對比兩部分內(nèi)容校驗不通過的情況，則在用系統(tǒng)將被掛起，由虛擬機(jī)中的備份系統(tǒng)接管業(yè)務(wù)。接管完成之后，RHA軟件將繼續(xù)對本地虛擬機(jī)及異地虛擬機(jī)進(jìn)行對比，倘若此校驗再次不通過，將把虛擬機(jī)中的系統(tǒng)掛起，由異地備份系統(tǒng)接管業(yè)務(wù)。待在用系統(tǒng)被修復(fù)，重新接入網(wǎng)絡(luò)之后，災(zāi)難恢復(fù)系統(tǒng)中的本地及異地系統(tǒng)都將掛起，并將主用系統(tǒng)宕機(jī)過程中發(fā)生的數(shù)據(jù)變更自動同步至主用系統(tǒng)，最終保證三地數(shù)據(jù)統(tǒng)一。最終切換回主用系統(tǒng)主宰應(yīng)用，兩地備份系統(tǒng)恢復(fù)至待用狀態(tài)。

采用的完整系統(tǒng)方案獨立于應(yīng)用程序，可以將整個物理服務(wù)器所有系統(tǒng)狀態(tài)信息，傳送到支持活動虛擬機(jī)服務(wù)器的操作系統(tǒng)的虛擬副本服務(wù)器上。來自物理主機(jī)的數(shù)據(jù)未被復(fù)制到物理副本主機(jī)，而是復(fù)制到存儲在虛擬機(jī)上的虛擬硬盤(VHD)文件上。該虛擬服務(wù)器機(jī)運行在虛擬平臺主機(jī)的Hyper-V上，并被配置有ARCserve RHA Engine。當(dāng)主服務(wù)器發(fā)生故障，需要切換時，物理主機(jī)將被禁用，新的虛擬機(jī)在虛擬平臺主機(jī)上被創(chuàng)建，VHD文件被掛接為磁盤。啟動新的虛擬機(jī)，部署集成服務(wù)[6]，對應(yīng)關(guān)系如圖2所示。

圖2 虛擬機(jī)與物理主機(jī)對應(yīng)關(guān)系

ARCserve RHA是在Replication平臺的基礎(chǔ)上構(gòu)建的，該平臺保留了完整的數(shù)據(jù)庫和應(yīng)用服務(wù)器的全面?zhèn)浞莨δ堋＿@些同步的服務(wù)器既可分布于本地，也可位于昌平院區(qū)，使實時復(fù)制在局域網(wǎng)上完成。如果由于意外的故障或維護(hù)的原因而導(dǎo)致服務(wù)器宕機(jī)，則由一個同步拷貝自動、即時地聯(lián)機(jī)，保持高可用性，無需任何人為介入。

綜合連續(xù)數(shù)據(jù)負(fù)載技術(shù)，當(dāng)主服務(wù)器因為某種原因不可用時，如：硬盤故障，SQL數(shù)據(jù)庫服務(wù)不可用等，故障切換被觸發(fā)，備份服務(wù)器被激活保證服務(wù)的不間斷，實現(xiàn)系統(tǒng)最高的可用性。ARCserve RHA監(jiān)視所有可能引起服務(wù)中斷的事件，包括主生產(chǎn)服務(wù)器整機(jī)的故障、數(shù)據(jù)庫服務(wù)或者郵件服務(wù)器的故障，命令或者初始化失敗等等。由于主機(jī)與備機(jī)同處于同一局域網(wǎng)內(nèi)，可以進(jìn)行IP切換，即主機(jī)與備機(jī)的IP地址設(shè)置為相同的，保證故障切換對用戶透明，不受任何影響。

3 系統(tǒng)容災(zāi)性能測試

完成系統(tǒng)部署之后，各個服務(wù)器之間有一個較長的數(shù)據(jù)同步過程，在此過程中，物理主機(jī)與各虛擬機(jī)的CPU占有率、內(nèi)存占有率及網(wǎng)絡(luò)帶寬均處于一個較正常情況下略高的水平，但未超過80%這一警戒線，各實際業(yè)務(wù)使用流暢度及正確率并未受到影響[7]。待同步過程結(jié)束之后，各服務(wù)器及網(wǎng)絡(luò)設(shè)備各項運行指標(biāo)逐漸恢復(fù)到正常水平，此同步過程大約持續(xù)了17個小時，其中大部分為非工作時間，對現(xiàn)有系統(tǒng)正常運行無任何影響。

以下從系統(tǒng)發(fā)生故障后各種情況切換過程以及切換過程中網(wǎng)絡(luò)帶寬占用兩方面，詳細(xì)介紹使用效果。

3.1 故障切換

在模擬測試環(huán)境中，通過以下幾種測試用例對系統(tǒng)的容災(zāi)性能進(jìn)行了測試。

3.1.1 物理IIS服務(wù)器系統(tǒng)故障

通過停止物理服務(wù)器中IIS服務(wù)的方式模擬此種情況發(fā)生。用戶對業(yè)務(wù)系統(tǒng)的訪問會顯示無法連接，此時備份虛擬機(jī)中的IIS服務(wù)將接管此項服務(wù)。經(jīng)過約3秒鐘的系統(tǒng)中斷，業(yè)務(wù)系統(tǒng)訪問恢復(fù)，為可接受范圍內(nèi)的恢復(fù)時間目標(biāo)(以下簡稱RTO)及恢復(fù)點目標(biāo)(以下簡稱RPO)[8]。

IIS服務(wù)恢復(fù)之后，用戶對業(yè)務(wù)系統(tǒng)的訪問不受影響，無縫切換回物理主機(jī)支撐業(yè)務(wù)系統(tǒng)運行。

3.1.2 物理IIS服務(wù)器網(wǎng)絡(luò)中斷

通過禁用物理服務(wù)器網(wǎng)卡模擬此種情況發(fā)生。用戶對業(yè)務(wù)系統(tǒng)的訪問會顯示無法連接，此時備份虛擬IIS服務(wù)將接管此項服務(wù)。經(jīng)過約2秒鐘的系統(tǒng)中斷，業(yè)務(wù)系統(tǒng)訪問恢復(fù)，為可接受范圍內(nèi)的RTO及RPO。

恢復(fù)網(wǎng)卡正常運行之后，用戶對業(yè)務(wù)系統(tǒng)的訪問不受影響，無縫切換回物理主機(jī)支撐業(yè)務(wù)系統(tǒng)運行。

3.1.3 物理SQLServer服務(wù)器故障

通過停止物理服務(wù)器SQL服務(wù)的方式模擬此種情況發(fā)生。用戶對業(yè)務(wù)系統(tǒng)的訪問會顯示無返回數(shù)據(jù)，此時備份虛擬IIS服務(wù)將接管此項服務(wù)。經(jīng)過約5秒鐘的系統(tǒng)中斷，業(yè)務(wù)系統(tǒng)訪問恢復(fù)，為可接受范圍內(nèi)的RTO及RPO。

恢復(fù)物理主機(jī)SQL服務(wù)正常運行之后，用戶對業(yè)務(wù)系統(tǒng)的訪問不受影響，無縫切換回物理主機(jī)支撐業(yè)務(wù)系統(tǒng)運行。同時，通過對比物理主機(jī)與虛擬備份機(jī)中數(shù)據(jù)庫表格中的新增數(shù)據(jù)，發(fā)現(xiàn)主備機(jī)之間數(shù)據(jù)無差異，受損期間數(shù)據(jù)已經(jīng)通過軟件同步回正常狀態(tài)。

3.1.4 物理SQL Server服務(wù)器網(wǎng)絡(luò)中斷

通過禁用物理SQL服務(wù)器網(wǎng)卡模擬此種情況發(fā)生。用戶對業(yè)務(wù)系統(tǒng)的訪問會顯示無返回數(shù)據(jù)，此時備份虛擬IIS服務(wù)將接管此項服務(wù)。經(jīng)過約2秒鐘的系統(tǒng)中斷，業(yè)務(wù)系統(tǒng)訪問恢復(fù)，為可接受范圍內(nèi)的RTO及RPO。

恢復(fù)網(wǎng)卡正常運行之后，用戶對業(yè)務(wù)系統(tǒng)的訪問不受影響，無縫切換回物理主機(jī)支撐業(yè)務(wù)系統(tǒng)運行。同時，通過對比物理主機(jī)與虛擬備份機(jī)中數(shù)據(jù)庫表格中的新增數(shù)據(jù)，發(fā)現(xiàn)主備機(jī)之間數(shù)據(jù)無差異，受損期間數(shù)據(jù)已經(jīng)通過軟件同步回正常狀態(tài)。

3.1.5 備份虛擬IIS服務(wù)器系統(tǒng)故障及網(wǎng)絡(luò)中斷

通過停止虛擬備份服務(wù)器IIS服務(wù)及禁用網(wǎng)卡的方式模擬此種情況。用戶對系統(tǒng)訪問無任何影響。在停止IIS服務(wù)之后對發(fā)布文件進(jìn)行刪除，故障恢復(fù)之后，經(jīng)過約10分鐘，虛擬備份服務(wù)器中被刪除文件得到恢復(fù)，可繼續(xù)為系統(tǒng)提供保障。

3.1.6 備份虛擬SQL Server服務(wù)器系統(tǒng)故障及網(wǎng)絡(luò)中斷

通過停止虛擬備份服務(wù)器SQL Server服務(wù)及禁用網(wǎng)卡的方式模擬此種情況。用戶對系統(tǒng)訪問無任何影響。在停止SQL服務(wù)之后對數(shù)據(jù)庫文件進(jìn)行刪除，故障恢復(fù)之后，經(jīng)過約2小時，虛擬備份服務(wù)器中被刪除文件得到恢復(fù)，可繼續(xù)為系統(tǒng)提供保障?；謴?fù)期間，物理主機(jī)及虛擬備份機(jī)CPU占有率出現(xiàn)偏高的現(xiàn)象。

3.2 網(wǎng)絡(luò)帶寬占用

通過流量監(jiān)控軟件觀察，在故障情況發(fā)生之后的恢復(fù)過程中，網(wǎng)絡(luò)帶寬占有率會稍有偏高，如圖3所示。同步完成之后，網(wǎng)絡(luò)流量將恢復(fù)到一個平穩(wěn)的狀態(tài)，如圖4所示。各種情況所占用的網(wǎng)絡(luò)帶寬均在可接受范圍之內(nèi)。

圖3 故障恢復(fù)過程網(wǎng)絡(luò)占有率

圖4 平穩(wěn)狀態(tài)網(wǎng)絡(luò)占有率

綜合上述測試用例的結(jié)果及網(wǎng)絡(luò)帶寬占用情況可以看出，本文設(shè)計的容災(zāi)恢復(fù)方案可以滿足實際應(yīng)用的需求。由于運行5臺虛擬機(jī)的服務(wù)器采用了較高配置，故分配給各虛擬機(jī)的硬件資源都可以與對應(yīng)的實際在用物理主機(jī)相匹配。經(jīng)過極端試驗測試，啟動三臺虛擬機(jī)接管實際系統(tǒng)的情況可以保證業(yè)務(wù)系統(tǒng)的基本流程運行，但是啟動四臺虛擬機(jī)接管實際系統(tǒng)后，卡頓的情況發(fā)生幾率明顯增加。由于三臺實際系統(tǒng)主機(jī)同時出現(xiàn)故障的情況極小，所以可以得出本系統(tǒng)可以滿足設(shè)計要求的結(jié)論。

4 結(jié)束語

通過研究先進(jìn)的虛擬化技術(shù)及熱備技術(shù)，將它們與計量檢定信息管理系統(tǒng)的實際情況相融合，完成了本次研究。通過一段時間的運行，未發(fā)生長時間系統(tǒng)訪問中斷的情況，保證了系統(tǒng)的高可用性和高可靠性。經(jīng)過一段實際的觀測，發(fā)現(xiàn)虛擬化技術(shù)不僅僅節(jié)約了服務(wù)器購置的經(jīng)濟(jì)成本，而且提高了機(jī)房可用空間，大大降低了系統(tǒng)運行能耗。

此外，與傳統(tǒng)的采用物理主機(jī)作為系統(tǒng)備機(jī)相比，虛擬主機(jī)接管系統(tǒng)的速度明顯比傳統(tǒng)方式要高很多，可更有效的保證系統(tǒng)的高可用性。并且可用根據(jù)運行經(jīng)驗，靈活為虛擬機(jī)劃分有效物理資源，可為承擔(dān)高負(fù)載的虛擬機(jī)提供更高的處理能力，為承擔(dān)低負(fù)載的物理機(jī)減少資源劃分，進(jìn)一步提高管理效率。

[1] Liu Yitong，Li li，Zhang Ming. Effectiveness evaluaction of information management system based on modified normal cloud model[C].Information technology applications in industry I，2013：411-414

[2] 劉羿彤，李麗，張明.計量管理軟件系統(tǒng)建設(shè)及其安全性分析[J].中國計量，2011(3)：103-104

[3] 智峰，張明，韓超，錢振宇.計量業(yè)務(wù)網(wǎng)絡(luò)升級工程實施及安全性研究[J].計量技術(shù)，2014(10)：72-74

[4] 王德軍，王麗娜.容災(zāi)系統(tǒng)研究[J].計算機(jī)工程，2005，31(6)：43-45

[5] 王吉，包衛(wèi)東，朱曉敏.虛擬化云平臺中實時任務(wù)容錯調(diào)度算法研究[J].通信學(xué)報，2014，35(10)：171-180

[6] 項國富，金海，鄒德清，陳學(xué)廣.基于虛擬化的安全監(jiān)控[J].軟件學(xué)報，2012，23(8)：2173-2187

[7] 姚文斌，王帥元.基于虛擬化的容災(zāi)系統(tǒng)任務(wù)關(guān)鍵性判定方法[J].哈爾濱工程大學(xué)學(xué)報，2009，30(11)：1256-1260

[8] GB/T 20988.2007 信息安全技術(shù)信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范

10.3969/j.issn.1000-0771.2015.10.07