一種多點容災系統的設計與實現

摘 要：設計并實現了一種多點容災系統。主數據中心的數據通過本地高速網絡同步地在本地備份中心備份，并通過Internet異步地在多個遠程備份中心備份。主數據中心的寫請求同步地在本地備份中心提交，并經過緩存、差錯檢測后異步地在多個遠程備份中心重放。災難發生時，可從多個備份點對主數據中心進行恢復。該系統具有可靠性高、費用低廉、備份距離遠、容災能力強等優點。

關鍵詞：多點備份； 災難恢復； 容災； 寫重放

中圖分類號：TP309 文獻標志碼：A 文章編號：1001-3695(2008)08-2427-03

Design and implementation of multi-point disaster tolerant system

GU Qi-chao，LIU Xiao-jie，LI Tao，ZHAO Kui，HUANG Chao-chang，CHEN Qian

(Dept. of Computer， Sichuan University， Chengdu 610065， China)

Abstract:This paper designed and implemented a multi-point disaster tolerant system.The primary data center was synchronously backuped in local backup center via local stable high-speed network， and was asynchronously backuped in multiple remote backup centers via Internet. Write requests in the primary data center synchronously submitted in local backup center， and they replayed in every remote backup center after being cached and error detected. When disasters happened， the primary data center could be recovered from multiple backup centers. This system has high reliability， low cost， far backup distance， and strong ability of disaster tolerant.

Key words：multi-point backup; disaster recovery; disaster tolerant; write replay

信息技術的飛速發展和應用范圍的不斷擴大使得企業對信息技術的依賴越來越大，信息已成為企業極其重要的資源。但由于信息系統的復雜性，信息也是最易受損害的資源。對計算機信息進行容災備份與恢復是維護信息安全的重要手段^[1，2]。傳統的備份技術往往需要專線設施，且備份距離有限，投入費用高，使得容災系統的應用范圍受到極大限制。容災距離遠、費用低廉的備份與恢復系統逐漸成為容災研究的熱點^[3，4]。

本文設計并實現一種多點容災系統，將主數據中心的數據同步地在本地備份中心備份，并異步地在多個遠程備份中心備份。這種多點容災系統可靠性高、費用低廉、備份距離遠、兼具本地備份與遠程備份、恢復快、容災能力強，是企業切實可行的容災系統。

1 系統設計

1.1 系統結構

多點容災系統由三部分組成，即主數據中心（primary data center，PDC）、本地備份中心（local backup center，LBC）和遠程備份中心（remote backup center，RBC）。其中，主數據中心通過本地穩定高速網絡與本地備份中心相連，本地備份中心通過Internet與遠程備份中心相連。遠程備份中心有多個，遠程備份中心1、遠程備份中心2……遠程備份中心n（n為備份點個數），形成多點結構。系統的體系結構如圖1所示。

數據備份的流程是：在主數據中心上監控存儲設備驅動層寫操作，寫操作同步地在主數據中心與本地備份中心提交，寫操作的相關信息通過Internet異步地發往各個遠程備份中心，并重放，從而實現對主數據中心的多點備份。

數據恢復的流程根據發生的災難范圍的不同而不同：

a)局部災難（local disaster）

(a)主數據中心發生災難，但本地備份中心正常。選擇本地備份中心為恢復源，對主數據中心進行數據重建^[5，6]，完成恢復。

(b)本地備份中心發生災難，但主數據中心正常。選擇主數據中心為恢復源，對本地備份中心進行數據重建，并對各個遠程備份中心進行數據同步，完成恢復。

b)廣域災難（wide-area disaster）

主數據中心和本地備份中心均發生災難，選擇備份數據最新的遠程備份中心為恢復源，對本地備份中心進行數據重建，完成本地備份中心的恢復；本地備份中心再對主數據中心進行數據重建，完成恢復。

1.2 容災任務

對備份和恢復的管理控制通過建立容災任務實現。一個容災任務的組成元素包括監控對象、鏡像對象、緩存對象、備份對象。其中，監控對象是主數據中心上待備份的存儲設備，鏡像對象是本地備份中心上對監控對象的鏡像設備，緩存對象是本地備份中心上備份數據緩存設備，備份對象是各個遠程備份中心上的備份設備。

監控對象上的存儲設備寫操作請求通過穩定高速的本地網絡同步在鏡像對象上提交，實現鏡像對象始終與監控對象保持數據實時一致。緩存對象存儲每次寫操作請求的相關信息，并按序組成發送隊列，通過Internet發送到備份對象上重放，實現備份對象保持與監控對象的數據異步一致。

容災任務各組成元素的數據關系表示如下：

任一時刻有

datamonitor=datamirror

datamonitor=databackup+datacache

當datacache =0時有datamonitor=databackup

其中：datamonitor表示監控對象的數據，datamirror表示鏡像對象的數據，datacache表示緩存對象的數據，databackup表示備份對象存儲的數據。datamonitor始終與datamirror相同，實現本地同步備份。datacache=0表示緩存對象中的數據已全部發送到備份對象中并重放，此時備份對象與監控對象的數據完全一致，實現數據遠程異步備份。

1.3 功能模塊

根據數據備份與恢復的流程，可將系統劃分為如下的功能模塊：

a）初始化模塊。初始化容災任務，在備份前同步各備份中心與主數據中心的數據。

b）寫請求監控模塊。獲取主數據中心的存儲設備驅動層寫操作^[7]的相關信息，將相關信息封裝成備份項。

c）網絡通信模塊。負責主數據中心與本地備份中心之間、本地備份中心與遠程備份中心之間備份項的發送和接收，以及相關應答信息的傳輸。

d)海量數據緩存模塊。主數據中心與本地備份中心之間通過穩定高速的本地網絡傳輸備份項的速度遠大于本地備份中心與遠程備份中心之間通過Internet傳輸備份項的速度。海量緩存模塊緩存來自主數據中心的備份項，組成發送隊列依次發往各個遠程備份中心。

e)差錯控制模塊。驗證遠程備份中心接收到的來自本地備份中心的備份項是否完整無誤。

f）寫重放模塊。解析備份項，在遠程備份中心上重放^[8]存儲設備層寫操作。

g）災難恢復模塊。系統發生災難時，在主數據中心與本地備份中心之間和本地備份中心與遠程備份中心之間進行數據恢復。

h)配置管理模塊。提供對容災任務的管理配置工具，是系統管理員管理容災任務、備份和恢復的界面接口。

各模塊間的關系如圖2所示。

2 系統實現

2.1 初始化模塊

容災任務開始前需要進行任務初始化。初始化模塊將主數據中心的數據發送到本地備份中心和各遠程備份中心，確保在開始備份前，各備份中心的數據均與主數據中心一致。

2.2 寫請求監控模塊

主數據中心的數據變化最終表現為存儲設備驅動層的寫操作，寫請求監控模塊在存儲設備驅動層監控系統對存儲設備的寫請求。主數據中心提交寫請求時，監控模塊阻塞該請求，獲取本次寫請求相關的寫數據（data）、數據長度（len）、寫位置（offset），通過本地穩定的高速網絡發送到本地備份中心，再與主數據中心監控設備對應的鏡像設備上同步提交此寫請求。同時將寫請求信息附加上必要的控制信息（控制信息有摘要值算法、摘要值和備份項序號），封裝成一個備份項（backup item），發送到本地備份中心的緩存設備緩存。其中，摘要值算法可以為MD5、SHA-1等，記為algorithm；摘要值為寫請求相關數據用摘要值算法計算得到的值，用于進行差錯控制，記為mdsend；備份項序號為一個遞增的長整數，從零開始記錄每個備份項的序號，用于災難恢復時選擇最優恢復源的依據，記為index。綜上所述，一個備份項是這樣的一個多元組：backup item=（data，len，offset，algorithm，mdsend，index）。

2.3 網絡通信模塊

在主數據中心與本地備份中心之間以及本地備份中心與各個遠程備份中心之間建立TCP socket連接，接收其他模塊（寫請求監控模塊、海量數據緩存模塊、差錯控制模塊、災難恢復模塊）的數據發送請求，處理備份項和相關應答信息的發送和接收。

2.4 海量數據緩存模塊

海量數據緩存模塊運行于本地備份中心，緩存寫請求監控模塊發送來的備份項，按序組成發送隊列，通過Internet發送到各個遠程備份中心。

首先創建一個發送隊列sendlist，將新接收到的備份項插入到當前隊尾，為一發送項senditem，并依次從隊頭取出發送。每個senditem同時發送到各個遠程備份中心，得到發送成功的應答（SUCCESS）后從sendlist中銷毀此senditem，回收存儲空間；得到要求重傳的應答（RETRANS）后重傳該senditem。若與某個遠程備份中心的連接中斷，senditem發送失敗，則立即創建一個臨時隊列templist，并將當前sendlist的所有senditem復制到templist中。此后海量緩存模塊接收到的每個備份項同時插入到sendlist和templist隊尾。Sendlist繼續從隊頭取出senditem往連接正常的遠程備份中心發送。當網絡連接恢復后，templist從隊頭取出senditem發往恢復連接的遠程備份中心，當templist為空時，銷毀這個隊列。

由以上分析，海量數據緩存模塊的主要算法用偽代碼表示如下：

while(sendlist非空)

{

for(i=0;i

{

begin_send://跳轉標簽

send senditem to RBCi;

//發送當前senditem到第i個遠程備份中心（RBC）

receive ACK ;//接收應答

switch(ACK)

{

case SUCCESS://發送成功

continue ;//結束本次循環，發送下一個

case RETRANS://要求重傳

goto begin_send;//跳轉到標簽處

case BREAKOFF://連接斷開

create templist;//創建臨時隊列

copy sendlist to templist;//拷貝當前sendlist到templist

break;//跳出switch

}//switch

}//for

delete senditem from sendlist; //銷毀senditem

}//while

2.5 差錯控制模塊

差錯控制模塊確保備份數據的無誤傳輸以及正確重放。遠程備份中心將接收到的備份項，提交給差錯控制模塊，差錯控制模塊解析備份項，獲取有效寫信息write_info（包括寫數據data、數據長度len和寫位置offset）、摘要值算法algorithm和摘要值mdsend。用algorithm重新計算write_info的摘要值，得到mdrecv。比較mdsend和mdrecv，若mdsend=mdrecv，則反饋給海量緩存模塊應答信息SUCCESS，表示本次備份項傳輸無誤；若mdsend≠mdrecv，則丟棄此備份項，并反饋應答信息RETRANS，表示要求重傳本次備份項。

2.6 寫重放模塊

寫重放模塊解析經過差錯控制模塊檢驗的備份項，將其中的有效寫信息write_info（包括寫數據data、數據長度len和寫位置offset）提交給遠程備份中心的存儲設備驅動程序，重放寫操作。各個遠程備份中心各自維護一個值backup_index，每個備份項重放后用備份項序號index更新backup_index，從而backup_index表明了各遠程備份中心當前對主數據中心的備份程度，這個值將作為最優恢復源的選擇依據。

2.7 災難恢復模塊

系統發生災難時，數據恢復模塊負責數據重建。前述數據恢復流程表明，災難范圍不同，則恢復源也不同。

當主數據中心由于局部災難發生災難時，以本地備份中心作為恢復源。災難恢復模塊將本地備份中心的備份數據以一定的大小劃分成數據塊^[9，10]，通過本地穩定的高速網絡發送所有數據塊到主數據中心，主數據中心得以快速恢復。

當主數據中心與本地備份中心由于廣域災難發生災難時，選擇最優的遠程備份中心為恢復源。比較各個遠程備份中心的backup_index，選擇其backup_index值最大的遠程備份中心為最優恢復源（數據丟失最少），用RBCrecov表示。災難恢復模塊將RBCrecov的備份數據以一定的大小劃分成數據塊，發送所有數據塊到本地備份中心，本地備份中心得以恢復。再以本地備份中心為恢復源對主數據中心進行恢復。

2.8 配置管理模塊

配置管理模塊采用B/S結構，在本地備份中心與各遠程備份中心上部署Web服務器和后臺數據庫，管理員通過Web頁面進行容災配置管理，如新建容災任務、刪除任務、啟動／停止任務、啟動恢復、實時監控各點狀態、配置系統參數等。配置管理的信息通過后臺數據庫和配置文件保存，配置管理指令通過后臺進程傳遞給各個相應模塊。圖形化的配置管理界面簡化了容災配置操作。

3 安全方案

備份數據通過Internet在本地備份中心與各遠程備份中心間傳輸，可能遭受竄改、竊聽等網絡攻擊。筆者通過架設VPN（virtual private network，虛擬專用網）保證數據的安全傳輸。在本地備份中心與各遠程備份中心之間分別建立VPN tunnel（安全隧道），對所有在本地備份中心與遠程備份中心間發送與接收的數據進行加密與認證。VPN的使用和管理，如生成證書、簽名證書、更新證書、選擇加密／認證算法、設置密鑰、更新密鑰、建立／撤銷隧道等，通過配置管理模塊提供的Web頁面進行操作。

4 結束語

本文設計并實現了一種多點容災系統，使主數據中心的數據在本地備份中心與多個遠程備份中心備份，并能夠在災難發生后及時快速地恢復數據。該系統廉價、可靠、容災能力強，為企業提供了可行的容災方案。

參考文獻：

［1］李濤. 網絡安全概論[M].北京：電子工業出版社，2004.

[2]陳凱，白英彩.網絡存儲技術及發展趨勢[J].電子學報，2002，30(12):1928-1932.

[3]LENNERT， JOSEPH F， RETZNER，et al.The automated backup solution-safeguarding the communications network infrastructure[J].Bell Labs Technical，2004，9:59-84.

[4]KOTLA R， DAHLIN M. High throughput Byzantine fault tolerance[C]//Proc of International Conference on Dependable Systems and Networks.2004:575-584.

[5]BALDONI R， MARCHETTI C， TUCCCI PIERGIOVANNI S. Asynchronous active replication in three-tier distributed systems[C]//Proc of Pacific Rim International Symposium on Dependable Computing.2002:19-26.

[6]EHRHARDT A. Extension of storage area networks and integration on different platforms of an optical transport network[C]//Proc of the 6th International Conference on Transparent Optical Networks.2004:229-232.

[7]LO Chi-chun. A novel approach of backup path reservation for survi-vable high-speed networks[J].IEEE Communications Magazine，2003，41(3).

[8]HAYES， PHILLIP E， HAMMON，et al.Disaster recovery project management[C]//Proc of Conference Record-IAS Annual Meeting (IEEE Industry Applications Society).2000:2814-2821.

[9]WANG Kun， ZHOU Li-hua， CAI Zhen，et al.A disaster recovery system model in an e-government system[C]//Proc of the 6th International Conference on Parallel and Distributed Computing， Applications and Technologies.2005:247-250.

[10]KEETON K， MERCHANT A. A framework for evaluating storage system dependability[C]//Proc of International Conference on Dependable Systems and Networks (DSN’04).2004:877-886.

注：本文中所涉及到的圖表、注解、公式等內容請以PDF格式閱讀原文