IBM i Wersja 7 Wydanie 3. Dostępność Przegląd wysokiej dostępności IBM

Transkrypt

1 IBM i Wersja 7 Wydanie 3 Dostępność Przegląd wysokiej dostępności IBM

2

3 IBM i Wersja 7 Wydanie 3 Dostępność Przegląd wysokiej dostępności IBM

4 Uwaga Przed skorzystaniem z tych informacji oraz z produktu, którego dotyczą, należy przeczytać informacje zawarte w sekcji Uwagi na stronie 33. Niniejsze wydanie dotyczy wersji 7.3 systemu IBM i (numer produktu 5770-SS1) oraz wszystkich kolejnych wersji i modyfikacji tego produktu, chyba że w nowych wydaniach zostanie określone inaczej. Wersja ta nie działa na wszystkich modelach komputerów z procesorem RISC ani na modelach z procesorem CISC. Niniejszy dokument może zawierać odniesienia do Licencjonowanego Kodu Wewnętrznego. Licencjonowany Kod Wewnętrzny jest kodem maszynowym i jest licencjonowany zgodnie z warunkami Umowy Licencyjnej IBM dotyczącej Kodu Maszynowego. Copyright IBM Corporation 2002, 2015.

5 Spis treści Przegląd wysokiej dostępności Co nowego w systemie IBM i Plik PDF z przeglądem zagadnień dotyczących wysokiej dostępności Zalety wysokiej dostępności Wyłączenia planowane Wyłączenia nieplanowane Odzyskiwanie po awarii Skrócenie okna składowania Równoważenie obciążenia Kryteria wysokiej dostępności Budżet Wymagania w zakresie czasu dostępności Ochrona przed wyłączeniami Docelowy czas odzyskiwania Docelowy stan systemu Wymagania w zakresie zdolności do pracy przy częściowej awarii Automatyczne przełączanie i przełączanie awaryjne.. 9 Wymagania w zakresie odległości Liczba systemów zapasowych Dostęp do dodatkowej kopii danych Wydajność systemu Komponenty wysokiej dostępności Zdolność do pracy przy częściowej awarii na poziomie aplikacji Poziomy elastyczności aplikacji Zdolność do pracy przy częściowej awarii na poziomie danych Zdolność do pracy przy częściowej awarii spowodowanej warunkami środowiskowymi Prostota Przegląd systemu IBM PowerHA SystemMirror for i.. 17 Porównanie technologii PowerHA zapewniających zdolność do pracy przy częściowej awarii na poziomie danych Przełączalna jednostka logiczna Geograficzny zapis lustrzany Zapis lustrzany MAN Globalny zapis lustrzany Opcja HyperSwap dla całego systemu DS Opcja HyperSwap systemu DS8000 korzystająca z niezależnych pul pamięci dyskowej (IASP) Scenariusze przypadków użycia FlashCopy Połączenie technologii wysokiej dostępności Zarządzanie wysoką dostępnością Interfejsy programu IBM PowerHA SystemMirror for i Interfejs graficzny programu PowerHA Opcja 41 (HA Switchable Resources) Zaawansowane wykrywanie awarii węzła Funkcje wysokiej dostępności w podstawowym systemie operacyjnym Informacje pokrewne dotyczące przeglądu wysokiej dostępności Uwagi Informacje dotyczące interfejsu programistycznego Znaki towarowe Warunki Copyright IBM Corp. 2002, 2015 iii

6 iv IBM i: Przegląd wysokiej dostępności

7 Przegląd wysokiej dostępności Ciągłość biznesowa oznacza odporność firmy na wyłączenia i zdolność do świadczenia istotnych usług w normalny, nieprzerwany sposób zgodnie z predefiniowanymi umowami dotyczącymi poziomu usług. Aby osiągnąć pożądany poziom ciągłości biznesowej, należy wybrać zestaw usług, oprogramowania, sprzętu i procedur, opisać je w dokumentacji, wdrożyć, a następnie regularnie sprawdzać. Rozwiązania zapewniające ciągłość biznesową muszą uwzględniać dane, środowisko operacyjne, aplikacje, środowisko serwerowe aplikacji oraz interfejs użytkownika. Wszystkie te komponenty muszą zapewniać odpowiedni i niezawodny poziom ciągłości biznesowej. Ciągłość biznesowa obejmuje usuwanie skutków awarii i wysoką dostępność. Można ją określić jako zdolność do kontynuowania pracy w przypadku wszystkich typów wyłączeń (planowanych, nieplanowanych i klęsk żywiołowych) oraz do zapewnienia nieprzerwanego działania wszystkich ważnych aplikacji. Ostatecznym celem jest osiągnięcie czasu wyłączeń krótszego niż 0,001% całkowitego czasu działalności. Środowisko wysokiej dostępności różni się od odzyskiwania po awarii założeniem krótszego czasu odzyskiwania (liczonego w sekundach lub minutach) i bardziej surowymi wymaganiami co do docelowego stanu systemu (całkowity brak zakłóceń pracy użytkowników). Rozwiązania wysokiej dostępności umożliwiają w pełni zautomatyzowane przełączenie awaryjne na system zapasowy, co pozwala na nieprzerwane działanie aplikacji i pracę użytkowników. Rozwiązania wysokiej dostępności muszą udostępniać natychmiastowy punkt odzyskiwania. Jednocześnie muszą zapewniać znacznie krótszy czas odtwarzania niż w przypadku rozwiązań, które nie charakteryzują się wysoką dostępnością. Co nowego w systemie IBM i 7.3 Poniżej omówiono nowe informacje zawarte w kolekcji tematów dotyczących wysokiej dostępności. Rozszerzony program licencjonowany IBM PowerHA SystemMirror for i (5770-HAS) w wersji 7.2 Program licencjonowany IBM PowerHA SystemMirror for i nie został zaktualizowany na potrzeby wersji 7.3. Oznacza to, że program licencjonowany 5770-HAS w wersji 7.2 może działać zarówno w systemie IBM i 7.3, jak i IBM i 7.2. Program IBM PowerHA for i Enterprise Edition został rozszerzony i obsługuje opcję HyperSwap dla systemu DS8000 korzystającą z niezależnych pul pamięci dyskowej (IASP). Ta nowa funkcja zapewnia niemal zerowy czas przestoju podczas planowanych i nieplanowanych wyłączeń pamięci masowej. Można jej używać w połączeniu z innymi rozwiązaniami technologicznymi PowerHA opartymi na pulach IASP. Funkcja ta jest udostępniana w postaci poprawki PTF rozwiązania PowerHA zawierającej nowe funkcje. W Centrum Wiedzy IBM terminy IASP oraz niezależna pula dyskowa oznaczają to samo. Plik PDF z przeglądem zagadnień dotyczących wysokiej dostępności Informacje zawarte w tym temacie są także dostępne w postaci pliku PDF, który można wyświetlić i wydrukować. Aby wyświetlić lub pobrać dokument w formacie PDF, kliknij odsyłacz Przegląd zagadnień dotyczących wysokiej dostępności. Można otworzyć lub pobrać następujące pliki PDF z kolekcją tematów pokrewnych: v Plik Technologie wysokiej dostępności Technologia klastrów systemu IBM i Zaawansowane wykrywanie awarii węzła zawiera następujące tematy: Copyright IBM Corp. 2002,

8 Domena administracyjna klastra Technologie replikacji danych PowerHA Zarządzanie wysoką dostępnością Monitorowanie zasobów i sterowanie v Plik Implementacja wysokiej dostępności zawiera następujące tematy: Instalowanie programu licencjonowanego IBM PowerHA SystemMirror for i (5770-HAS) Deinstalowanie programu licencjonowanego IBM PowerHA SystemMirror for i (5770-HAS) Planowanie rozwiązania wysokiej dostępności Wdrożenie programu PowerHA Zarządzanie programem PowerHA Rozwiązywanie problemów dotyczących rozwiązania wysokiej dostępności Zapisywanie plików PDF Aby zapisać plik PDF na stacji roboczej w celu jego wyświetlenia lub wydrukowania, wykonaj następujące czynności: 1. Kliknij prawym przyciskiem myszy odsyłacz do pliku PDF w przeglądarce. 2. Kliknij opcję zapisania pliku PDF lokalnie. 3. Przejdź do katalogu, w którym ma zostać zapisany plik PDF. 4. Kliknij opcję Zapisz. Pobieranie programu Adobe Reader Do przeglądania i drukowania plików PDF potrzebny jest program Adobe Reader. Bezpłatną kopię tego programu można pobrać z serwisu WWW firmy Adobe ( Zalety wysokiej dostępności Wysoka dostępność chroni firmy przed utratą przychodów w przypadku przerwy w dostępie do zasobów danych i newralgicznych aplikacji biznesowych. Pierwszym krokiem przy wyborze rozwiązania wysokiej dostępności jest dokładne określenie, jakie problemy z dostępnością wymagają rozwiązania. W odniesieniu do ciągłości biznesowej problemy te można podzielić na pięć głównych kategorii. Wyłączenia planowane Rozwiązania wysokiej dostępności systemu IBM i pozwalają zmniejszyć skutki odczuwane przez klientów i użytkowników w sytuacjach, kiedy konieczne jest odłączenie systemów lub danych w celu wykonania niezbędnych czynności konserwacyjnych, takich jak nocne składowanie lub instalacja nowego sprzętu i oprogramowania. Wraz z rozwojem firmy wzrasta też znaczenie czasu dostępności. Okno konserwacji systemów się może stawać coraz krótsze. Wyłączenia planowane obejmują składowanie na taśmach, aktualizację aplikacji, aktualizację systemów operacyjnych itp. Przez ile godzin tygodniowo aplikacje mogą być niedostępne, aby nie miało to wpływu na działalność? Wyłączenia planowane są najczęstszym powodem stosowania rozwiązań wysokiej dostępności. Rozwiązania gwarantujące dostępność pojedynczych systemów IBM i służą przede wszystkim do zapewnienia możliwości obsługi technicznej sprzętu i oprogramowania w trakcie pracy systemu i wykorzystują w tym celu nadmiarowość. Istnieją jednak ograniczenia zakresu działań możliwych do wykonania w przypadku pojedynczego systemu. Technologie wysokiej dostępności systemu IBM i, takie jak klastry i niezależne pule dyskowe, umożliwiają przeniesienie prac produkcyjnych na inny system lub udostępnienie drugiego zestawu danych. Te rozwiązania wysokiej dostępności systemu IBM i umożliwiają prowadzenie działalności podczas wykonywania prac konserwacyjnych. Za pomocą tych rozwiązań wysokiej dostępności można zminimalizować wpływ wyłączeń planowanych na działalność. 2 IBM i: Przegląd wysokiej dostępności

9 Składowanie na taśmie w trybie bez połączenia Składowanie na taśmie może być realizowane z systemu zapasowego, w którym przechowywana jest kopia danych użytkownika. Poprawki i aktualizacje aplikacji oraz systemów operacyjnych Aby możliwa była instalacja poprawek i aktualizacji, można wykonać aktualizację sekwencyjną. Poprawki można wprowadzić w systemie zapasowym, podczas gdy system główny działa w trybie produkcyjnym. Następnie obciążenie może zostać przełączone na system zapasowy, a poprawki mogą zostać wprowadzone do systemu pierwotnego. Po zakończeniu aktualizacji pracę w trybie produkcyjnym można z powrotem przełączyć na pierwotny system główny. Serwisowanie sprzętu Zmiany, których nie można wykonać w ramach serwisowania sprzętu w trakcie pracy, zazwyczaj wymagają wyłączenia systemu. Rozwiązanie wysokiej dostępności pozwala przełączyć pracę w trybie produkcyjnym na system zapasowy, a następnie przeprowadzić serwisowanie sprzętu, bez negatywnego wpływu tych czynności na działalność. Pojęcia pokrewne: Ochrona przed wyłączeniami na stronie 7 Przed jakiego rodzaju wyłączeniami ma być chroniona firma? Podczas wyboru rozwiązania wysokiej dostępności należy uwzględnić takie czynniki, jak: skrócenie okna składowania, planowane wyłączenia, nieplanowane wyłączenia lub klęski żywiołowe. Skracanie planowanych wyłączeń Wyłączenia nieplanowane Rozwiązania wysokiej dostępności w systemie IBM i umożliwiają ochronę przed wyłączeniami nieplanowanymi, spowodowanymi przez błędy człowieka, problemy z oprogramowaniem, awarie sprzętowe oraz warunki środowiskowe. Wraz z rozwojem działalności coraz większego znaczenia nabiera ochrona przed nieplanowanymi zdarzeniami. Niestety, zaplanowanie nieplanowanych zdarzeń jest oczywiście niemożliwe. Wymagania firmy w zakresie wysokiej dostępności powinny być skoncentrowane wokół okresu, który jest najważniejszy dla działalności. Podczas wyboru rozwiązania wysokiej dostępności i sposobu jego wdrożenia należy uwzględnić koszt wyłączenia w najbardziej newralgicznym okresie. Nieplanowane wyłączenia można podzielić na następujące kategorie: Błędy człowieka Niestety, błędy człowieka są zazwyczaj najczęściej występującym powodem nieplanowanych wyłączeń. Ludzie mogą nie postępować zgodnie z procedurami, pomijać ostrzeżenia, mieć za małą wiedzę. Mogą nawet występować problemy w komunikacji i niezrozumienie między grupami pracowników. Wszystkie te czynniki mogą powodować nieplanowane wyłączenia mające wpływ na działalność. Problemy z oprogramowaniem Złożoność aplikacji, systemów operacyjnych, oprogramowania pośredniego lub bazy danych może powodować nieplanowane wyłączenia. Każda działalność jest unikalna, a kłopoty z interakcją między poszczególnymi komponentami oprogramowania mogą powodować problemy. Awarie sprzętowe Każde urządzenie mechaniczne po pewnym czasie ulegnie awarii. Komponenty elektryczne są wrażliwe na zmiany środowiskowe: temperaturę, wilgotność, wyładowania elektrostatyczne. Wszystkie te czynniki mogą doprowadzić do wystąpienia awarii. Może również wystąpić uszkodzenie kabli i poluzowanie połączeń. Warunki środowiskowe Pojedynczy system może się stać niedostępny z powodu awarii zasilania, sieci lub klimatyzacji. Aby uniknąć tych problemów, można wprowadzić elementy nadmiarowości, ale możliwości są tu ograniczone. Przegląd wysokiej dostępności 3

10 Odzyskiwanie po nieplanowanym wyłączeniu w środowisku wysokiej dostępności polega na przełączeniu awaryjnym na system zapasowy. Dzięki temu firma może nadal pracować z wykorzystaniem serwera zapasowego, a w tym czasie problem jest diagnozowany i usuwany. Pojęcia pokrewne: Ochrona przed wyłączeniami na stronie 7 Przed jakiego rodzaju wyłączeniami ma być chroniona firma? Podczas wyboru rozwiązania wysokiej dostępności należy uwzględnić takie czynniki, jak: skrócenie okna składowania, planowane wyłączenia, nieplanowane wyłączenia lub klęski żywiołowe. Skracanie nieplanowanych wyłączeń Zapobieganie nieplanowanym wyłączeniom Odzyskiwanie ostatnich zmian utraconych w wyniku nieplanowanego wyłączenia Odzyskiwanie danych utraconych w wyniku nieplanowanego wyłączenia Odzyskiwanie po awarii Odzyskiwanie po awarii oznacza zbiór zasobów, planów, usług i procedur, które w przypadku klęski żywiołowej służą do odzyskania i uruchomienia aplikacji o znaczeniu krytycznym w ośrodku zdalnym. Wraz z rozwojem działalności, odzyskanie środowiska w ośrodku zdalnym za pomocą taśm może przestać spełniać wymagania czasowe firmy. W każdej lokalizacji mogą wystąpić jakiegoś rodzaju klęski żywiołowe. Pożary, trąby powietrzne, powodzie, trzęsienia ziemi i huragany mogą mieć ogromny zasięg geograficzny i poważne konsekwencje. Powoduje to, że zdalne ośrodki zapasowe, wykorzystywane w przypadku klęsk żywiołowych, są tworzone w coraz większych odległościach od ośrodków produkcyjnych. W niektórych przypadkach odległość między ośrodkami jest też uzależniona od przepisów branżowych. Podczas planowania na wypadek wystąpienia klęski żywiołowej należy sobie zadać kilka istotnych pytań: v Jaki wpływ finansowy na działalność może mieć wystąpienie klęski żywiołowej? v Jak szybko można przywrócić działanie firmy? v Na ile aktualne mają być odtworzone dane? v Na jak dużą przepustowość łącza komunikacyjnego stać firmę? v Jakie rozwiązania do odtwarzania po awarii są sensowne przy określonych wymaganiach w zakresie odległości? Na podstawie odpowiedzi na te pytania można zaprojektować rozwiązania wysokiej dostępności w systemie IBM i. Może się okazać, że wystarczy solidniejsze zabezpieczenie pojedynczego ośrodka. Do przywrócenia działalności może też wystarczyć użycie systemu odtwarzania z taśm. Istnieje jednak również możliwość, że konieczne będzie tworzenie aktualnej kopii zapasowej w ośrodku zdalnym, na podstawie której będzie można w dowolnej chwili wznowić działalność produkcyjną. Planowanie odzyskiwania po awarii Odzyskiwanie systemu Skrócenie okna składowania Rozwiązania wysokiej dostępności w systemie IBM i mogą skrócić okres niedostępności systemu lub usług podczas składowania. Czas, jaki zajmuje składowanie, jest nazywany oknem składowania. Trudność polega na zagwarantowaniu, że w dostępnym czasie zostaną zeskładowane wszystkie dane. Oczywistą techniką skracania lub eliminowania okna składowania jest skracanie czasu wykonywania składowania lub zmniejszanie liczby składowanych danych. Obejmuje to następujące metody: Udoskonalone technologie taśm Technologie szybszego i bardziej gęstego zapisu na taśmach pozwalają skrócić czas składowania. 4 IBM i: Przegląd wysokiej dostępności

11 Składowanie równoległe W celu skrócenia czasu składowania można używać wielu napędów taśm jednocześnie, co pozwala zredukować lub wyeliminować przetwarzanie szeregowe na pojedynczym urządzeniu. Składowanie na nośnikach niewymiennych Składowanie na nośnikach, które są szybsze niż nośniki wymienne, np. bezpośrednio na urządzeniach DASD, może skrócić okno składowania. Migrację danych na nośniki wymienne można wykonać później. Archiwizacja danych Dane, które nie są potrzebne podczas normalnego działania systemu, mogą zostać zarchiwizowane i odłączone. Takie dane są podłączane tylko w razie potrzeby, na przykład w celu wykonania miesięcznych lub kwartalnych obliczeń. Dzienne okno składowania ulega skróceniu, ponieważ nie jest wykonywane składowanie zarchiwizowanych danych. Składowanie jedynie zmienionych obiektów i nieuwzględnianie w codziennym składowaniu tych obiektów, które nie zmieniły się w ciągu ostatniego dnia Okno składowania można znacznie skrócić, jeśli procentowa liczba niezmienionych obiektów jest dość duża. Inne techniki skrócenia okna składowania wykorzystują kopię danych (rzeczywistą lub wirtualną). Do tych technik należą: Składowanie z drugiego systemu Technologie zapewniające zdolność do pracy przy częściowej awarii na poziomie danych, takie jak replikacja logiczna. Udostępniają one drugą kopię danych, dzięki czemu można przenieść okno składowania z kopii podstawowej na dodatkową. Technika ta pozwala wyeliminować okno składowania w systemie podstawowym. Nie ma to wpływu na system produkcyjny, ponieważ przetwarzanie kopii zapasowej jest wykonywane na drugim systemie. Składowanie podczas użycia W środowisku z jednym systemem dane mogą być składowane podczas działania aplikacji w trybie produkcyjnym. Aby zagwarantować integralność i łatwość używania danych, tworzony jest punkt kontrolny, który zapewnia spójność. Obrazy obiektów w punkcie kontrolnym podlegają składowaniu, ale dalsze zmiany samego obiektu są dozwolone. Składowane obiekty są spójne względem siebie, a więc możliwe jest odtworzenie środowiska aplikacji do znanego stanu. Składowanie podczas użycia może również zostać wdrożone z wykorzystaniem kopii zapasowej, realizowanej za pośrednictwem replikacji logicznej. Zastosowanie tej techniki pozwala skutecznie wyeliminować okno składowania. IBM System Storage FlashCopy W technologii tej wykorzystano funkcję FlashCopy serwera IBM System Storage na niezależnej puli dyskowej. Obraz stanu niezależnej puli dyskowej jest wykonywany na pojedynczym serwerze System Storage Server. Pojedynczy serwer System Storage Server tworzy w zadanym momencie wersję niezależnej puli dyskowej, a host nie jest świadomy operacji kopiowania. Technologia klastrów umożliwia przenoszenie kopii na system zapasowy w celu składowania lub przetwarzania w trybie bez połączenia. Pozwala również na bezproblemowe ponowne włączanie drugiego systemu do klastra. Technologia klastrów zapewnia obsługę wielu niezależnych pul dyskowych z poziomu tego samego systemu oraz obsługę wielu systemów produkcyjnych podłączonych jednocześnie do danej jednostki pamięci. Pojęcia pokrewne: Ochrona przed wyłączeniami na stronie 7 Przed jakiego rodzaju wyłączeniami ma być chroniona firma? Podczas wyboru rozwiązania wysokiej dostępności należy uwzględnić takie czynniki, jak: skrócenie okna składowania, planowane wyłączenia, nieplanowane wyłączenia lub klęski żywiołowe. Replikacja przegląd Równoważenie obciążenia Rozwiązania wysokiej dostępności systemu IBM i mogą służyć do równoważenia obciążenia. W najpopularniejszych technologiach do równoważenia obciążenia stosowane jest przenoszenie pracy i jej przypisywanie do dostępnych Przegląd wysokiej dostępności 5

12 zasobów. Z kolei w popularnych technikach zarządzania wydajnością stosowane jest przenoszenie zasobów i ich przypisywanie do pracy, która nie jest realizowana z oczekiwaną wydajnością. Przykładowe technologie równoważenia obciążenia (wraz z ich wpływem na wysoką dostępność): Routery frontowe Te routery obsługują wszystkie przychodzące żądania i używają algorytmu do rozdzielenia prac w zrównoważony sposób na dostępne serwery. Algorytmy mogą być proste, jak algorytm karuzelowy, lub złożone, oparte na faktycznie zmierzonej wydajności. Wiele serwerów aplikacji Użytkownik rozdziela pracę na wiele serwerów aplikacji, zgodnie z predefiniowaną konfiguracją lub strategią. Zazwyczaj powiązanie między requesterem i serwerem jest dość statyczne, ale requestery są rozdzielone na wiele serwerów w jak najbardziej zrównoważony sposób. Rozproszona aplikacja wieloczęściowa Te aplikacje działają w odpowiedzi na żądania użytkowników, które przechodzą z jednego serwera na inny. Sposób rozproszenia pracy jest niewidoczny dla użytkownika. Każda część aplikacji realizuje predefiniowane zadanie, a następnie przekazuje pracę do następnego w kolejności serwera. Najbardziej typowym przykładem tego mechanizmu równoważenia obciążenia są aplikacje trójwarstwowe z serwerem bazy danych na zapleczu. Kontrolowane przełączanie aplikacji Praca jest początkowo rozdzielona na wiele serwerów, w pewien predefiniowany sposób. Serwer może udostępniać wiele aplikacji i/lub wiele instancji tej samej aplikacji. Jeśli dany serwer staje się przeciążony, a inne serwery mają dostępną moc obliczeniową, pracownicy operacyjni przenoszą aplikacje lub instancje aplikacji wraz z danymi z serwera przeciążonego na serwer niedociążony. Przenoszenie pracy może być ręczne lub automatyczne, w zależności od predefiniowanej strategii. Routing TCP/IP i równoważenie obciążenia Tworzenie grup zasobów klastra węzła sieci Kryteria wysokiej dostępności Wysoka dostępność w systemie IBM i to kilka różnych technologii zapewniających możliwość pracy przy częściowej awarii na poziomie danych oraz gwarantujących dostępność aplikacji. Każda z tych technologii ma inne cechy. Wyboru należy dokonać na podstawie tych cech oraz ich dopasowania do konkretnych wymagań poszczególnych aplikacji biznesowych. Podczas podejmowania decyzji o wyborze technologii zapewniania zdolności do pracy przy częściowej awarii na poziomie danych należy rozumieć i uwzględnić następujące parametry. Budżet Każde rozwiązanie wysokiej dostępności wiąże się z określonymi kosztami. Koszt całego rozwiązania musi być porównany z korzyściami, jakie niesie ono dla firmy. Większość klientów zapytanych o potrzeby w zakresie rozwiązania wysokiej dostępności odpowiada, że potrzebują stałej dostępności, tak aby system nie był wyłączony nawet na chwilę. Wprawdzie jest to technicznie możliwe do realizacji, jednak koszty ochrony oferowanej przez takie rozwiązanie mogą się okazać zbyt wysokie. Podstawowe pytanie, jakie należy sobie zadać przy podejmowaniu decyzji o wyborze rozwiązania wysokiej dostępności, brzmi "Jakie są koszty wyłączenia systemu?". Ośrodki zapasowe, systemy zapasowe i kopie zapasowe danych aplikacji wiążą się z kosztami oraz z określonymi korzyściami, jakie płyną z poniesienia tych kosztów. Do czasu uzyskania wiedzy na temat kosztów związanych z wyłączeniem nie można przypisać realnej wartości korzyściom, jakie oferuje klientowi rozwiązanie wysokiej dostępności. Koszt rozwiązania to całkowite koszty użytkowania, które obejmują wstępny koszt zakupu i wdrożenia rozwiązania, bieżące koszty korzystania z rozwiązania, a także koszty związane z wpływem tego rozwiązania na wydajność. Koszty są zazwyczaj przewidywane na podstawie dokładnej analizy skutków biznesowych. Mogą wystąpić następujące sytuacje: 6 IBM i: Przegląd wysokiej dostępności

13 v Koszt nie stanowi decydującego czynnika. v Koszt ma niewielki wpływ na decyzję. v Koszt rozwiązania musi się mieścić w pewnym budżecie, określonym na podstawie analizy skutków wyłączeń. v Koszt ma istotny wpływ na decyzję. v Klient nie chce lub nie jest w stanie wydać pieniędzy na rozwiązanie gwarantujące dostępność. Wymagania w zakresie czasu dostępności Wymagania w zakresie czasu dostępności określają łączny czas, przez jaki system musi być dostępny dla użytkowników. Parametr ten jest określany jako wyrażona w procentach część łącznej liczby planowanych godzin pracy. Poniżej przedstawiono procentowy czas dostępności i odpowiadający mu czas wyłączeń dla klientów, których systemy muszą być dostępne w trybie ciągłym (24 godziny na dobę, 365 dni w roku). v Poniżej 90% wyłączenia mogą trwać 876 lub więcej godzin (36 dni) na rok v 90 do 95% wyłączenia mogą trwać od 438 do 876 godzin na rok v 95 do 99% wyłączenia mogą trwać od 88 do 438 godzin na rok v 99,1 do 99,9% wyłączenia mogą trwać od 8,8 do 88 godzin na rok v 99,99% wyłączenia mogą trwać około 50 minut na rok v 99,999% wyłączenia mogą trwać około 5 minut na rok Zazwyczaj jako czynnik określający wymagania w zakresie czasu dostępności przyjmowane są koszty, jakie powoduje jedna godzina wyłączenia. W przypadku wyłączeń nieplanowanych wymagania w zakresie czasu dostępności muszą być oparte wyłącznie na godzinach niezaliczanych do czasu wolnego. Oznacza to, że koszt wyłączenia powinien być obliczany na podstawie możliwie najmniej korzystnego czasu jego wystąpienia. Ochrona przed wyłączeniami Przed jakiego rodzaju wyłączeniami ma być chroniona firma? Podczas wyboru rozwiązania wysokiej dostępności należy uwzględnić takie czynniki, jak: skrócenie okna składowania, planowane wyłączenia, nieplanowane wyłączenia lub klęski żywiołowe. Konieczne jest rozważenie, przed jakiego rodzaju wyłączeniami firma chce się chronić za pomocą nowego rozwiązania. Skrócenie okna składowania W środowiskach z jednym systemem składowanie systemu jest najczęstszym powodem planowanych wyłączeń. Wraz ze zwiększeniem potrzeb w zakresie czasu dostępności aplikacji, skraca się czas, w jakim może być wykonane składowanie. Rozwiązanie wysokiej dostępności może umożliwić składowanie w trybie bez połączenia. Składowanie w trybie bez połączenia oznacza składowanie danych aplikacji z kopii zapasowej. Każda technologia umożliwiająca pracę przy częściowej awarii na poziomie danych oferuje różne korzyści w zakresie składowania w trybie bez połączenia. Planowane prace konserwacyjne Planowane prace konserwacyjne to okres, w którym system musi być wyłączony w celu wprowadzenia aktualizacji aplikacji i oprogramowania oraz modernizacji sprzętu. Jeśli nie jest już możliwe zaplanowanie prac konserwacyjnych w godzinach pracy, można zastosować rozwiązanie wysokiej dostępności, które pozwoli prowadzić prace konserwacyjne w trybie bez połączenia. Przy prowadzeniu prac konserwacyjnych w trybie bez połączenia jako pierwsze są aktualizowane i modernizowane systemy zapasowe. Po przełączeniu środowiska produkcyjnego na system zaktualizowany wykonywana jest aktualizacja i modernizacja starego systemu produkcyjnego. Wyłączenia nieplanowane Wyłączenie nieplanowane to wyłączenie występujące w godzinach pracy, które może wynikać z błędu Przegląd wysokiej dostępności 7

14 człowieka, awarii aplikacji/oprogramowania, awarii sprzętu lub awarii środowiska i powoduje wyłączenie środowiska aplikacji. Rozwiązanie wysokiej dostępności umożliwia w takiej sytuacji przełączenie środowiska produkcyjnego na system zapasowy. Awarie całego ośrodka Awarie całego ośrodka wynikają zazwyczaj z klęsk żywiołowych. Ze względu na niebezpieczeństwo wystąpienia klęski żywiołowej może być konieczne rozproszenie geograficzne systemu wysokiej dostępności. Oprócz naturalnych klęsk żywiołowych do kategorii tej zaliczają się też inne wydarzenia, np. wycieki środków chemicznych, ataki terrorystyczne oraz wyłączenia dopływu energii elektrycznej. Czynniki te mogą mieć długotrwały wpływ na działanie ośrodka biznesowego. Poszczególne rozwiązania wysokiej dostępności charakteryzują się różnym czasem odzyskiwania oraz parametrami w zakresie rozproszenia systemów. Podczas podejmowania decyzji należy uwzględnić docelowe czasy odzyskiwania, a także zastanowić się, czy w ośrodku zdalnym muszą być prowadzone normalne prace, czy też wystarczy realizacja części procesów biznesowych. Należy uwzględnić, jaki stopień opóźnienia w pracy jest tolerowany przez użytkowników. Wpływ opóźnień na korzystanie z aplikacji można podzielić na następujące kategorie: v Opóźnienia nie stanowią problemu. Dostępność aplikacji jest najważniejsza. Rozwiązanie wysokiej dostępności może mieć wpływ na wydajność, o ile zapewnia możliwość pracy. v Ograniczenie wydajności jest akceptowalne, ale tylko do pewnego stopnia. v Możliwe jest niewielkie zmniejszenie wydajności. v Rozwiązanie nie może wpływać na wydajność. Pojęcia pokrewne: Wyłączenia planowane na stronie 2 Rozwiązania wysokiej dostępności systemu IBM i pozwalają zmniejszyć skutki odczuwane przez klientów i użytkowników w sytuacjach, kiedy konieczne jest odłączenie systemów lub danych w celu wykonania niezbędnych czynności konserwacyjnych, takich jak nocne składowanie lub instalacja nowego sprzętu i oprogramowania. Wyłączenia nieplanowane na stronie 3 Rozwiązania wysokiej dostępności w systemie IBM i umożliwiają ochronę przed wyłączeniami nieplanowanymi, spowodowanymi przez błędy człowieka, problemy z oprogramowaniem, awarie sprzętowe oraz warunki środowiskowe. Docelowy czas odzyskiwania Docelowy czas odzyskiwania to ilość czasu niezbędna do usunięcia skutków wyłączenia (planowanego, nieplanowanego lub spowodowanego klęską żywiołową) i przywrócenia normalnego działania aplikacji lub zbioru aplikacji. Docelowy czas odzyskiwania może się różnić w przypadku wyłączeń planowanych, nieplanowanych i spowodowanych klęską żywiołową. Poszczególne technologie zapewniające zdolność do pracy przy częściowej awarii na poziomie danych charakteryzują się różnymi docelowymi czasami odzyskiwania. Przykładowe wartości docelowego czasu odzyskiwania: v Dopuszczalny czas odzyskiwania dłuższy niż 4 dni v Od 1 do 4 dni v Mniej niż 24 godziny v Mniej niż 4 godziny v Mniej niż godzina v Prawie zero (odzyskiwanie prawie natychmiastowe) Docelowy stan systemu Docelowy stan systemu określa moment względem awarii, dla którego mają być zachowane dane. Zmiany danych, które nastąpiły do tego momentu przed wystąpieniem awarii, zostaną odtworzone po odzyskaniu systemu. Wartość zerowa jest poprawna i oznacza, że żadne dane nie mogą zostać utracone w razie wystąpienia awarii. 8 IBM i: Przegląd wysokiej dostępności

15 Wartości określające docelowy stan systemu: v Ostatnie składowanie (cotygodniowe, codzienne itp.) v Początek ostatniej zmiany (8 godzin) v Ostatnia dłuższa przerwa (4 godziny) v Ostatnia partia pracy (od 1 godziny do kilkudziesięciu minut) v Ostatnia transakcja (od kilku sekund do kilku minut) v Możliwa utrata danych podczas przesyłania (spójność w przypadku utraty zasilania) v Brak utraty danych Wymagania w zakresie zdolności do pracy przy częściowej awarii Firma musi określić, jakie elementy wymagają ochrony w przypadku wyłączenia systemu udostępniającego aplikacje. Wymagania w zakresie zdolności do pracy przy częściowej awarii określają zbiór aplikacji, danych i środowisk systemowych, jakie muszą działać w razie wyłączenia systemu produkcyjnego. Obiekty te pozostają dostępne po przełączeniu awaryjnym, nawet jeśli system, który je udostępnia, zostanie wyłączony. Przykładowe opcje: v Brak elementów, które muszą być dostępne w warunkach częściowej awarii v Dane aplikacji v Dane aplikacji i dane systemowe v Aplikacje v Stan aplikacji v Środowisko aplikacji v Wszystkie sesje komunikacyjne i połączenia klientów Pojęcia pokrewne: Zdolność do pracy przy częściowej awarii na poziomie aplikacji na stronie 12 Zdolność do pracy przy częściowej awarii na poziomie aplikacji może być klasyfikowana w zależności od skutków, jakie odczuwają użytkownicy. W infrastrukturze klastrów IBM i zdolność do pracy przy częściowej awarii na poziomie aplikacji jest kontrolowana za pomocą obiektu grupy zasobów klastra (CRG). Taki obiekt CRG udostępnia za pośrednictwem programu obsługi wyjścia mechanizm pozwalający kontrolować uruchamianie, zatrzymywanie, restartowanie i przełączanie aplikacji na systemy zapasowe. Kompletne środowisko aplikacji, obejmujące replikację danych i urządzenia przełączalne, może być kontrolowane za pośrednictwem infrastruktury klastrów i traktowane jak jeden obiekt. Zdolność do pracy przy częściowej awarii na poziomie danych na stronie 13 Zdolność do pracy przy częściowej awarii na poziomie danych oznacza dostępność danych wymaganych w środowisku produkcyjnym. Istnieje kilka technologii, które można zastosować w celu zapewnienia zdolności do pracy przy częściowej awarii na poziomie danych. Wymagania w tym zakresie zostały opisane w sekcji Zalety wysokiej dostępności. W systemie IBM i technologie te można podzielić na dwie główne kategorie replikacja logiczna, czyli programowa, oraz replikacja sprzętowa, czyli dyskowa. Zdolność do pracy przy częściowej awarii spowodowanej warunkami środowiskowymi na stronie 16 Zdolność do pracy przy częściowej awarii spowodowanej warunkami środowiskowymi można podzielić na dwa rodzaje, w zależności od środowiska: fizycznego i logicznego. Środowisko fizyczne, które ma gwarantować dostępność pojedynczego systemu, obejmuje m.in. nadmiarowy sprzęt, topologię sieci, infrastrukturę zasilania i możliwości w zakresie chłodzenia. Środowisko logiczne to środowisko, w którym są zainstalowane i uruchamiane aplikacje. Obejmuje takie elementy, jak ustawienia systemowe, profile użytkowników i atrybuty systemu, co pozwala użytkownikom na uruchamianie aplikacji na wielu serwerach. Automatyczne przełączanie i przełączanie awaryjne Firma musi określić, jak duży zakres automatyzacji jest wykorzystywany w sytuacjach nieplanowanych wyłączeń. Rozwiązania wysokiej dostępności IBM i charakteryzują się konfigurowalnym poziomem interakcji biznesowej w Przegląd wysokiej dostępności 9

16 sytuacjach przełączania awaryjnego. Jeśli wystąpi awaria, aplikacja może automatycznie wykonać przełączenie awaryjne na system zapasowy, co obejmuje wszystkie początkowe dane środowiska aplikacji. Niektórzy klienci chcą mieć kontrolę nad przełączeniem awaryjnym. W takich sytuacjach system będzie wymagał reakcji człowieka, aby nastąpiło przełączenie awaryjne. W rozwiązaniu, które do wykonania przełączenia awaryjnego wymaga interakcji z użytkownikiem, czas reakcji użytkownika (lub czas niezbędny do podjęcia decyzji o przełączeniu awaryjnym) ma bezpośredni wpływ na docelowe czasy odtwarzania. Firma musi zdecydować, jak bardzo zautomatyzowane będzie działanie systemu podczas przełączenia awaryjnego. Decyzja o przełączeniu awaryjnym nie powinna zabierać więcej czasu, niż zajmuje realizacja tego przełączenia. Pojęcia pokrewne: Przełączanie Przełączanie awaryjne Wymagania w zakresie odległości Utrzymywanie systemów w pewnej odległości od siebie (inaczej: rozproszenie geograficzne) ma pewne korzyści. Istnieją jednak fizyczne i praktyczne ograniczenia dotyczące odległości. W przypadku rozwiązań do usuwania skutków awarii zawsze korzystne jest rozmieszczenie systemów w pewnej odległości od siebie. Zazwyczaj im większa jest odległość między systemami, tym lepsza ich ochrona przed klęskami żywiołowymi. Odległość ta ma jednak wpływ na środowisko aplikacji. Jeśli rozwiązanie do replikacji danych jest rozproszone geograficznie, pojawiają się opóźnienia. Opóźnienia oznaczają dodatkowy czas, jaki jest niezbędny, aby dane dotarły do systemu docelowego. Im dalej od siebie znajdują się systemy, tym większe opóźnienia występują w transmisji danych. Istnieją dwa rodzaje transmisji: synchroniczna i asynchroniczna. Synchroniczna komunikacja w rozwiązaniu zapewniającym zdolność do pracy przy częściowej awarii na poziomie danych wymaga uzyskania od systemu docelowego potwierdzenia, że dane zostały otrzymane. Dopiero wtedy system może kontynuować pracę. Ten proces gwarantuje, że w razie awarii żadne dane nie zostaną utracone podczas transmisji z systemu źródłowego do docelowego. Jednakże opóźnienia wynikające z oczekiwania na potwierdzenie mogą mieć wpływ na wydajność aplikacji. Asynchroniczna komunikacja w rozwiązaniu zapewniającym zdolność do pracy przy częściowej awarii nie wymaga uzyskania od systemu docelowego potwierdzenia przyjęcia danych. Dane mogą być przesyłane dalej, bez tego potwierdzenia. Ponieważ ten mechanizm nie uwzględnia oczekiwania na uzgodnienie, dane przesłane tuż przed wystąpieniem awarii mogą zostać utracone. Jest to określane terminem utraty danych podczas transmisji. Mechanizm transportu wymagany przez rozwiązanie wysokiej dostępności zależy od rodzaju aplikacji, ilości przesyłanych danych oraz rozproszenia geograficznego systemów. Określanie konfiguracji ośrodka Liczba systemów zapasowych Poszczególne technologie zapewniające zdolność do pracy przy częściowej awarii na poziomie danych charakteryzują się różną liczbą stosowanych systemów zapasowych oraz różną liczbą kopii danych aplikacji. W środowisku z dwoma systemami (z pojedynczą kopią zapasową) planowane prace konserwacyjne narażą firmę na ryzyko. Jeśli w tym czasie wystąpi awaria, nie będzie możliwości przełączenia awaryjnego. W takiej sytuacji ciągłość biznesową można utrzymać poprzez dodanie jeszcze jednego systemu zapasowego. Liczba systemów zapasowych i liczba niezbędnych zestawów danych pomoże określić, jaka technologia zapewniająca zdolność do pracy przy częściowej awarii na poziomie danych jest niezbędna dla firmy. 10 IBM i: Przegląd wysokiej dostępności

17 Dostęp do dodatkowej kopii danych Poszczególne technologie zapewniające zdolność do pracy przy częściowej awarii na poziomie danych charakteryzują się różnymi ograniczeniami dotyczącymi zapasowego zestawu danych. Wymagania dotyczące dostępu do danych zapasowych określają, jaki poziom dostępu do dodatkowych kopii danych jest niezbędny w celu kontynuowania pracy po odłączeniu od kopii głównych, np. czy jest niezbędne składowanie oraz zapytania/raporty. Należy rozważyć częstotliwość, czas trwania i typ dostępu do kopii zapasowej danych, niezbędne w danym środowisku. Ewentualne wymagania: v Brak v W okresach nieprodukcyjnych v Nieczęsto, ale w okresach produkcyjnych przez krótki czas (kilka sekund do kilku minut) v Nieczęsto, ale w okresach produkcyjnych przez dłuższy czas v Często, w okresach produkcyjnych przez krótki czas v Często, w okresach produkcyjnych przez dłuższy czas v Praktycznie cały czas (bez przerw) Składowanie z drugiej kopii Wydajność systemu Wdrożenie rozwiązania wysokiej dostępności może mieć wpływ na wydajność. Od wymagań firmy w tym zakresie może zależeć wybór technologii zapewniającej zdolność do pracy przy częściowej awarii na poziomie danych. Wdrożenie rozwiązania wysokiej dostępności może mieć różny wpływ na wydajność. Kronikowanie przy replikacji logicznej i przetwarzanie w geograficznym zapisie lustrzanym wymagają wykorzystania zasobów systemu podczas jego normalnego działania. Dodatkowo: synchroniczne kronikowanie zdalne, geograficzny zapis lustrzany w synchronicznym trybie dostarczania oraz technologie zapisu lustrzanego MAN korzystają z synchronicznego trybu komunikacji. Synchroniczny tryb komunikacji wprowadza opóźnienia zależne od odległości i topologii sieci, mające wpływ na środowisko aplikacji. Aby określić, które rozwiązanie nadaje się do zastosowania przez klienta, należy przeanalizować wymagania biznesowe oraz przeprowadzić testy. Geograficzny zapis lustrzany obsługuje również asynchroniczny tryb dostarczania, który może wymagać dodatkowych zasobów, np. procesora i pamięci głównej. Przełączanie i przełączanie awaryjne również nie są realizowane natychmiast i wiążą się z opóźnieniami. Poszczególne technologie mają różne cechy związane z przywracaniem zestawu danych lub całego środowiska aplikacji do stanu umożliwiającego pracę. Zarządzanie wydajnością systemu Wartości systemowe: przegląd wydajności Komponenty wysokiej dostępności Wysoka dostępność pozwala korzystać z newralgicznych aplikacji i danych biznesowych w sytuacji, kiedy nastąpi przerwa w świadczeniu usług. Rozwiązania wysokiej dostępności w systemie IBM i minimalizują, a czasem całkowicie eliminują niekorzystny wpływ planowanych i nieplanowanych wyłączeń oraz katastrof na działalność firmy. Podstawą rozwiązań wysokiej dostępności w systemie IBM i jest technologia klastrów. Klaster to co najmniej dwa systemy (lub obrazy systemu operacyjnego), które współużytkują zasoby oraz moc przetwarzania, a także zapewniają kopie zapasowe w przypadku wyłączenia. Dzięki technologii klastrów wysoka dostępność nie jest postrzegana jako grupa identycznych kopii zasobów w kilku systemach, lecz raczej jako zbiór współużytkowanych zasobów, które w nieprzerwany sposób udostępniają najważniejsze usługi użytkownikom i aplikacjom. Przegląd wysokiej dostępności 11

18 Technologia klastrów sama w sobie nie stanowi kompletnego rozwiązania wysokiej dostępności, ale jest podstawą, na której są oparte wszystkie rozwiązania wysokiej dostępności w systemie IBM i. Infrastruktura klastrów, nazywana usługami zasobów klastra, stanowi podstawowy zbiór mechanizmów do tworzenia wielu systemów i ich zasobów oraz do zarządzania nimi jak jednym, ujednoliconym obiektem komputerowym. Technologia klastrów pozwala również monitorować systemy i zasoby zdefiniowane w środowisku wysokiej dostępności pod kątem wystąpienia awarii i zapewnia odpowiednie reagowanie, w zależności od typu wyłączenia. Technologia klastrów łączy sprzęt i oprogramowanie, aby zmniejszyć koszty i skutki wyłączeń planowanych i nieplanowanych, poprzez szybkie przywracanie usług po wystąpieniu takich wyłączeń. Mimo że odzyskiwanie nie następuje natychmiastowo, jest realizowane bardzo szybko. W poniższych sekcjach opisano kluczowe komponenty rozwiązania wysokiej dostępności. Pojęcia pokrewne: Przegląd systemu IBM PowerHA SystemMirror for i na stronie 17 Po określeniu celów i wymagań biznesowych należy wybrać odpowiednie rozwiązanie wysokiej dostępności w systemie IBM i, które pasuje do działalności firmy. IBM PowerHA SystemMirror for i to produkt IBM stanowiący kompletne rozwiązanie wysokiej dostępności w środowiskach produkcyjnych systemu IBM i. Zapewnia zdolność do pracy przy częściowej awarii na poziomie danych, aplikacji i środowiska. Udostępnia również interfejs zarządzania, który umożliwia bezproblemową konfigurację i eksploatację rozwiązania. Zdolność do pracy przy częściowej awarii na poziomie aplikacji Zdolność do pracy przy częściowej awarii na poziomie aplikacji może być klasyfikowana w zależności od skutków, jakie odczuwają użytkownicy. W infrastrukturze klastrów IBM i zdolność do pracy przy częściowej awarii na poziomie aplikacji jest kontrolowana za pomocą obiektu grupy zasobów klastra (CRG). Taki obiekt CRG udostępnia za pośrednictwem programu obsługi wyjścia mechanizm pozwalający kontrolować uruchamianie, zatrzymywanie, restartowanie i przełączanie aplikacji na systemy zapasowe. Kompletne środowisko aplikacji, obejmujące replikację danych i urządzenia przełączalne, może być kontrolowane za pośrednictwem infrastruktury klastrów i traktowane jak jeden obiekt. Zdolność do pracy przy częściowej awarii na poziomie aplikacji jest klasyfikowana w następujących kategoriach. Brak odzyskiwania aplikacji Po wyłączeniu użytkownicy muszą ręcznie restartować aplikacje. Użytkownicy sami określają, na jakim etapie kontynuować przetwarzanie w aplikacji, w zależności od stanu danych. Automatyczne restartowanie aplikacji i ręczne znajdowanie miejsca w aplikacji Aplikacje, które były aktywne w momencie wyłączenia, są automatycznie restartowane za pośrednictwem programu obsługi wyjścia CRG. Użytkownik musi sam określić, na jakim etapie kontynuować pracę w aplikacji, w zależności od stanu danych. Automatyczne restartowanie aplikacji i półautomatyczne odzyskiwanie Oprócz automatycznego restartowania aplikacji użytkownicy są przenoszeni do wcześniej określonego "punktu restartu" w aplikacji. Punktem restartu może być na przykład główne menu aplikacji. Jest to zazwyczaj zgodne ze stanem danych aplikacji elastycznej, ale użytkownik może być zmuszony do wcześniejszego dostosowania danych w aplikacji. Niezbędne jest wprowadzenie zmian w aplikacji w celu zapisania danych na temat stanu użytkownika. Podczas wpisywania się aplikacja wykrywa stan każdego użytkownika i określa, czy w jego przypadku niezbędne jest odzyskanie aplikacji na podstawie ostatnio zapisanego stanu. Automatyczne restartowanie aplikacji i automatyczne odzyskiwanie na podstawie ostatniej granicy transakcji Użytkownik jest przenoszony w aplikacji do punktu przetwarzania, który jest spójny z ostatnią zatwierdzoną transakcją. Dane aplikacji i punkt restartu aplikacji są w pełni zgodne. Ta kategoria wymaga zmian kodu w aplikacji, aby stany użytkowników były zapisywane na końcu każdego cyklu zatwierdzania. Dzięki temu w razie awarii aplikacja "wie", na jakim etapie pracy z aplikacją są poszczególni użytkownicy. Pełna zdolność do pracy przy częściowej awarii na poziomie aplikacji z automatycznym restartowaniem i przezroczystym przełączaniem awaryjnym Oprócz przywrócenia do miejsca zakończenia ostatniej zatwierdzonej transakcji, użytkownik nadal widzi to 12 IBM i: Przegląd wysokiej dostępności

19 samo okno i te same dane, które były widoczne przed wyłączeniem. Żadne dane nie są utracone, nie jest wymagane wpisywanie się, nie ma też żadnego wrażenia utraty zasobów serwera. Użytkownik zauważa jedynie dłuższy czas odpowiedzi. Ta kategoria jest możliwa do realizacji tylko w przypadku aplikacji działających w modelu klient/serwer. Pojęcia pokrewne: Wymagania w zakresie zdolności do pracy przy częściowej awarii na stronie 9 Firma musi określić, jakie elementy wymagają ochrony w przypadku wyłączenia systemu udostępniającego aplikacje. Wymagania w zakresie zdolności do pracy przy częściowej awarii określają zbiór aplikacji, danych i środowisk systemowych, jakie muszą działać w razie wyłączenia systemu produkcyjnego. Obiekty te pozostają dostępne po przełączeniu awaryjnym, nawet jeśli system, który je udostępnia, zostanie wyłączony. Poziomy elastyczności aplikacji Elastyczność aplikacji (umożliwiająca jej pracę przy częściowej awarii) może być dostosowana do poziomu elastyczności wymaganego przez firmę. Służą do tego opcje środowiska klastrów IBM i. Tworzenie aplikacji elastycznej Aplikacje klastrowe Poziomy elastyczności aplikacji Elastyczność aplikacji (umożliwiająca jej pracę przy częściowej awarii) może być dostosowana do poziomu elastyczności wymaganego przez firmę. Służą do tego opcje środowiska klastrów IBM i. Określony przez firmę docelowy czas odzyskiwania ma bezpośredni wpływ na wymagany poziom elastyczności aplikacji. Tak jak zdefiniowano w temacie poświęconym komponentom wysokiej dostępności, istnieją różne poziomy elastyczności aplikacji. Najniższym poziomem jest brak odtwarzania aplikacji (operator musi uruchamiać aplikacje ręcznie), a najwyższym nieprzerwane świadczenie usług (użytkownik nie wie nawet, że miało miejsce wyłączenie). Wymagania biznesowe dotyczące tego, na ile aplikacja powinna być dostępna dla użytkowników po awarii, wpływają na stopień automatyzacji odtwarzania aplikacji elastycznej po awarii systemu. Środowisko klastrów IBM i umożliwia automatyzację odtwarzania aplikacji po awariach różnego typu. Poziom możliwej automatyzacji zależy od ilości kodu niezbędnego do obsługi automatyzacji procedur ręcznych oraz od typu używanych przez firmę aplikacji. Aby uzyskać maksymalną elastyczność aplikacji, wszystkie czynności przełączania ręcznego i przełączania awaryjnego muszą być zautomatyzowane przy użyciu programów obsługi wyjścia, a aplikacja musi być aplikacją klient/serwer, w której rozdzielona jest dostępność samej aplikacji od dostępności danych aplikacji. Zdolność do pracy przy częściowej awarii na poziomie danych Zdolność do pracy przy częściowej awarii na poziomie danych oznacza dostępność danych wymaganych w środowisku produkcyjnym. Istnieje kilka technologii, które można zastosować w celu zapewnienia zdolności do pracy przy częściowej awarii na poziomie danych. Wymagania w tym zakresie zostały opisane w sekcji Zalety wysokiej dostępności. W systemie IBM i technologie te można podzielić na dwie główne kategorie replikacja logiczna, czyli programowa, oraz replikacja sprzętowa, czyli dyskowa. Replikacja logiczna Replikacja logiczna to często stosowana w rozwiązaniach wysokiej dostępności, wielosystemowa technologia zapewniająca zdolność do pracy przy częściowej awarii na poziomie danych, udostępniana przez system IBM i. Zazwyczaj jest wdrażana w postaci produktu oferowanego przez niezależnego producenta oprogramowania do obsługi wysokiej dostępności. Replikacja jest realizowana na poziomie obiektów (przy użyciu metod programistycznych). Zmiany obiektów (np. zbiorów, podzbiorów, obszarów danych lub programów) są replikowane do kopii zapasowej. Replikacja wszystkich obiektów kronikowanych jest realizowana w czasie rzeczywistym lub w czasie zbliżonym do rzeczywistego (synchroniczne kronikowanie zdalne). Jeśli obiekt (na przykład zbiór) jest kronikowany, to replikacja jest zwykle wykonywana na poziomie rekordu. W przypadku takich obiektów, jak niepodlegające kronikowaniu przestrzenie użytkowników, replikacja jest zazwyczaj realizowana na poziomie obiektu. Replikowany jest wtedy cały obiekt po zakończeniu wprowadzania zmian tego obiektu. Przegląd wysokiej dostępności 13

20 Większość rozwiązań do replikacji logicznej udostępnia dodatkowe funkcje, wykraczające poza możliwości replikacji na poziomie obiektów. Można na przykład uzyskać dodatkowe możliwości kontroli, obserwować status replikacji w czasie rzeczywistym, automatycznie dodawać do obiektów replikowanych obiekty nowo utworzone, a także replikować tylko pewien podzbiór obiektów w danej bibliotece lub danym katalogu. Aby stworzyć wydajne i niezawodne, wielosystemowe rozwiązanie wysokiej dostępności z wykorzystaniem replikacji logicznej, najlepiej jako mechanizm transportu zastosować kronikowanie zdalne. Dzięki kronikowaniu zdalnemu system IBM i stale przenosi dane przychodzące dziennika oryginalnego do dziennika na serwerze zapasowym. Na tym etapie rozwiązanie programowe "odtwarza" te aktualizacje dziennika, wprowadzając te same zmiany w obiektach na serwerze zapasowym. Po stworzeniu takiego środowiska istnieją dwa oddzielne, ale identyczne obiekty: jeden na serwerze głównym i jeden na serwerze zapasowym. Dzięki takiemu rozwiązaniu można szybko aktywować środowisko produkcyjne na serwerze zapasowym, zamieniając serwery rolami. Główną zaletą tej kategorii rozwiązań jest fakt, że plik zapasowej bazy danych jest wykorzystywany "na żywo". Oznacza to, że możliwy jest dostęp do niego w czasie rzeczywistym, zarówno na potrzeby składowania, jak i w trybie tylko do odczytu, np. w celu tworzenia raportów. Oznacza to również, że w przypadku konieczności przejścia na kopię zapasową odzyskiwanie wymaga minimalnej liczby operacji. Problemem związanym z tą kategorią rozwiązań jest złożoność konfigurowania i utrzymania środowiska. Jednym z największych problemów jest brak rygorystycznej strategii kontrolowania modyfikacji kopii obiektów na serwerze zapasowym. Niewprowadzenie właściwych środków dyscyplinowania takich działań może prowadzić do sytuacji, w której użytkownicy i programiści wprowadzają zmiany w kopii, przez co przestaje ona być zgodna z kopią produkcyjną. W takim przypadków wersje plików (główna i zapasowa) nie są już identyczne. Innym związanym z tym podejściem problemem jest fakt, że obiekty, które nie podlegają kronikowaniu, muszą przejść przez punkt kontrolny, zostać zapisane, a następnie oddzielnie wysłane do serwera zapasowego. Dlatego też granulacja czasu rzeczywistego w tym procesie może być ograniczona przez granulację największego obiektu, który jest replikowany w ramach danej operacji. Załóżmy na przykład, że program aktualizuje rekord znajdujący się w zbiorze kronikowanym. W trakcie tej samej operacji aktualizuje również obiekt, taki jak przestrzeń użytkownika, który nie jest kronikowany. Kopia zapasowa będzie całkowicie spójna dopiero w momencie, gdy przestrzeń użytkownika zostanie w pełni zreplikowana w systemie zapasowym. Z praktycznego punktu widzenia, jeśli system podstawowy ulegnie awarii, a obiekt przestrzeni użytkownika nie będzie jeszcze w pełni zreplikowany, należy przeprowadzić ręczne odzyskanie danych, aby dostosować stan niekronikowanej przestrzeni użytkownika do ostatniej poprawnej operacji, której dane zostały całkowicie zreplikowane. Rozwiązania do replikacji logicznej na ogół obsługują wszystkie rodzaje wyłączeń, w zależności od implementacji. Jeśli odległość między systemami pozwala wykonać synchroniczne kronikowanie zdalne i wszystkie replikowane obiekty podlegają kronikowaniu, możliwe jest osiągnięcie docelowego stanu systemu z ostatniego momentu przed awarią. Korzystanie z asynchronicznego kronikowania zdalnego i konieczność replikowania pewnych obiektów na podstawie kroniki kontroli powoduje zwiększenie opóźnienia określającego docelowy stan systemu. Innym możliwym problemem związanym z tym podejściem są opóźnienia procesu replikacji. Dotyczy to opóźnienia między momentem wprowadzenia zmian do systemu źródłowego a momentem, w którym zmiany te będą dostępne w systemie zapasowym. Zjawisko to można w znacznym stopniu zminimalizować za pomocą synchronicznego kronikowania zdalnego. Bez względu na użyty mechanizm transmisji należy w odpowiedni sposób przewidzieć wielkość transmisji i właściwie zaplanować ilość i szybkości linii komunikacyjnych. Środowisko musi bowiem być w stanie zarządzać replikacją, gdy jej wolumen jest największy. W środowisku o dużym obciążeniu replikacją opóźnienia i niemożność dokończenia transakcji mogą być spowodowane przez system docelowy, nawet jeśli infrastruktura transmisji została prawidłowo zaplanowana pod względem wielkości. 14 IBM i: Przegląd wysokiej dostępności

21 Replikacja sprzętowa Replikacja sprzętowa jest wykonywana na poziomie systemu operacyjnego lub dysku, a nie na poziomie obiektów. Zaletą takich technologii w porównaniu z replikacją logiczną jest wykonywanie replikacji na niższym poziomie, a kiedy odbywa się to synchronicznie, mamy gwarancję, że obie kopie danych są identyczne. Wadą rozwiązania jest dostępność danych tylko z jednej kopii, gdyż druga kopia nie może być używana w trakcie aktywnej replikacji. W ramach replikacji sprzętowej również można wyodrębnić dwie kategorie, czyli replikację opartą na niezależnej puli pamięci dyskowej (IASP) oraz pełną replikację systemu. Rozwiązanie IBM PowerHA SystemMirror for i zawiera kilka technologii replikacji sprzętowej opartych na niezależnych pulach pamięci dyskowej. Niezależna ASP stanowi zbiór jednostek dyskowych, które można skonfigurować niezależnie od konkretnego systemu hosta i niezależnie udostępniać oraz odłączać. Pula IASP jest używana do oddzielenia danych aplikacji od systemu operacyjnego. Dlatego dane aplikacji można replikować z wykorzystaniem replikacji sprzętowej, nie replikując przy tym systemu operacyjnego. Implementacja niezależnych pul dyskowych w systemie IBM i obsługuje zarówno obiekty katalogów (takie jak zintegrowany system plików IFS), jak i obiekty bibliotek (takie jak pliki bazy danych). Migrowanie danych aplikacji na pulę IASP to odrębny krok konfigurowania środowiska, jednak z replikacją jedynie danych, a nie systemu operacyjnego, wiąże się kilka korzyści. Planowanie i nieplanowane przełączenia na system zapasowy przebiegają szybciej niż wówczas, gdy replikowany jest cały system. System zapasowy zawiera odrębną kopię systemu operacyjnego i nie tylko stanowi środowisko zapasowe dla systemu produkcyjnego, ale może zostać wykorzystany do innych zadań. Technologie tego rodzaju mogą zostać wykorzystane podczas planowanych aktualizacji systemu operacyjnego, ponieważ utrzymywane są dwie kopie systemu operacyjnego. Jeśli migracja danych aplikacji na pulę IASP nie jest wykonalna, można również użyć replikacji sprzętowej na poziomie systemu, nazywanej zwykle pełną replikacją systemu. Geograficzny zapis lustrzany, będący technologią replikacji w systemie IBM i, może zostać użyty w udostępnianym środowisku IBM i do replikacji systemu produkcyjnego. Do replikacji całego systemu można wykorzystać także technologie replikacji udostępniane przez systemy pamięci masowej IBM. Chociaż pełna replikacja systemu jest łatwiejsza do początkowego skonfigurowania, wymaga większej przepustowości niż replikacja oparta na pulach IASP. Pełna replikacja systemu uważana jest raczej za technologię zapewniającą usuwanie skutków awarii, a nie wysoką dostępność, ponieważ istnieje tylko jedno środowisko produkcyjne, dla którego należy wykonać IPL na innym systemie fizycznym w przypadku planowanego lub nieplanowanego wyłączenia. Dział IBM Lab Services oferuje odpowiednie narzędzia i umowy o świadczenie usług, które ułatwiają automatyzację i dostosowanie środowiska pełnej replikacji systemu, jeśli klient ma takie potrzeby. Pojęcia pokrewne: Porównanie technologii PowerHA zapewniających zdolność do pracy przy częściowej awarii na poziomie danych na stronie 17 Zdolność do pracy przy częściowej awarii na poziomie danych oznacza, że dane pozostają dostępne dla aplikacji i użytkowników, mimo awarii systemu, który je pierwotnie udostępniał. Wybranie odpowiedniego zestawu technologii umożliwiających pracę przy częściowej awarii na poziomie danych w kontekście ogólnej strategii ciągłości biznesowej może być złożone i niełatwe. Ważne jest, aby rozumieć działanie poszczególnych rozwiązań, które mogą zostać użyte w celu zwiększenia dostępności środowisk zawierających wiele systemów. Do zaspokojenia potrzeb można wybrać pojedyncze rozwiązanie lub ich kombinację. W poniższych tematach porównano poszczególne technologie zapewniające zdolność do pracy przy częściowej awarii na poziomie danych dostępne w produkcie PowerHA. Przegląd systemu IBM PowerHA SystemMirror for i na stronie 17 Po określeniu celów i wymagań biznesowych należy wybrać odpowiednie rozwiązanie wysokiej dostępności w systemie IBM i, które pasuje do działalności firmy. IBM PowerHA SystemMirror for i to produkt IBM stanowiący kompletne rozwiązanie wysokiej dostępności w środowiskach produkcyjnych systemu IBM i. Zapewnia zdolność do pracy przy częściowej awarii na poziomie danych, aplikacji i środowiska. Udostępnia również interfejs zarządzania, który umożliwia bezproblemową konfigurację i eksploatację rozwiązania. Wymagania w zakresie zdolności do pracy przy częściowej awarii na stronie 9 Firma musi określić, jakie elementy wymagają ochrony w przypadku wyłączenia systemu udostępniającego aplikacje. Wymagania w zakresie zdolności do pracy przy częściowej awarii określają zbiór aplikacji, danych i środowisk systemowych, jakie muszą działać w razie wyłączenia systemu produkcyjnego. Obiekty te pozostają dostępne po przełączeniu awaryjnym, nawet jeśli system, który je udostępnia, zostanie wyłączony. Przegląd wysokiej dostępności 15

22 Planowanie zdolności do pracy przy częściowej awarii na poziomie danych Serwery pamięci masowej obsługiwane przez produkt PowerHA Domena administracyjna klastra Technologie replikacji danych PowerHA Zdolność do pracy przy częściowej awarii spowodowanej warunkami środowiskowymi Zdolność do pracy przy częściowej awarii spowodowanej warunkami środowiskowymi można podzielić na dwa rodzaje, w zależności od środowiska: fizycznego i logicznego. Środowisko fizyczne, które ma gwarantować dostępność pojedynczego systemu, obejmuje m.in. nadmiarowy sprzęt, topologię sieci, infrastrukturę zasilania i możliwości w zakresie chłodzenia. Środowisko logiczne to środowisko, w którym są zainstalowane i uruchamiane aplikacje. Obejmuje takie elementy, jak ustawienia systemowe, profile użytkowników i atrybuty systemu, co pozwala użytkownikom na uruchamianie aplikacji na wielu serwerach. Środowisko fizyczne Środowisko fizyczne obejmuje opcje gwarantujące dostępność pojedynczego systemu oraz infrastrukturę wymaganą do odpowiedniego utrzymania komputerowego środowiska operacyjnego. Te opcje dostępności pojedynczego systemu mają kluczowe znaczenie dla utrzymania środowiska wysokiej dostępności. Istnieje wiele opcji, które pozwalają ochronić system przed awariami sprzętowymi. Najważniejszym komponentem, który należy chronić, jest podsystem dyskowy. Mechanizmami ochrony dysków są macierze RAID 5, RAID 6, RAID 10 oraz zapis lustrzany dysków. Praktycznie każda firma potrzebuje jednego z tych mechanizmów ochrony. Innym komponentem, który wymaga ochrony, jest sieć. Ochrona obejmuje tu zarówno stosowanie nadmiarowych adapterów sieciowych w systemach, jak i wielu ścieżek sieciowych realizowanych za pośrednictwem nadmiarowego sprzętu sieciowego, które mogą być używane przez użytkowników i systemy do komunikacji. Środowisko fizyczne obejmuje również infrastrukturę niezbędną do funkcjonowania serwerowni. Systemy mają możliwość korzystania z podwójnych kabli zasilających. Oznacza to, że każda wieża i każdy stelaż są wyposażone w dwa kable zasilające, podłączane do dwóch różnych gniazd zasilających. Pozwala to korzystać z dwóch oddzielnych paneli bezpieczników, chroniących poszczególne stelaże i wieże. Ze względu na sposób funkcjonowania publicznej sieci elektrycznej należy poważnie rozważyć ochronę serwerowni przy użyciu zasilacza awaryjnego lub generatora zasilania. Należy również uwzględnić pozostałe elementy serwerowni, takie jak ogrzewanie, chłodzenie oraz kontrolę wilgotności i czystości powietrza. Środowisko logiczne Środowisko logiczne to środowisko, w którym są uruchamiane aplikacje. Na środowisko to składają się takie elementy, jak atrybuty systemowe, wartości systemowe, atrybuty konfiguracji sieci, atrybuty zarządzania pracą oraz profile użytkowników. Te elementy muszą być takie same, aby środowisko aplikacji w systemie zapasowym działało tak samo, jak w głównym systemie produkcyjnym. Utrzymanie spójności tych wartości środowiska logicznego w wielu systemach jest możliwe za pośrednictwem domeny administracyjnej klastra, replikacji logicznej lub precyzyjnie określonego procesu ręcznego. Pojęcia pokrewne: Wymagania w zakresie zdolności do pracy przy częściowej awarii na stronie 9 Firma musi określić, jakie elementy wymagają ochrony w przypadku wyłączenia systemu udostępniającego aplikacje. Wymagania w zakresie zdolności do pracy przy częściowej awarii określają zbiór aplikacji, danych i środowisk systemowych, jakie muszą działać w razie wyłączenia systemu produkcyjnego. Obiekty te pozostają dostępne po przełączeniu awaryjnym, nawet jeśli system, który je udostępnia, zostanie wyłączony. Planowanie elastyczności środowiska Domena administracyjna klastra 16 IBM i: Przegląd wysokiej dostępności

23 Prostota Wysoka dostępność w systemie IBM i charakteryzuje się prostotą działania w zakresie dostosowywania, kontroli i automatyzacji. Dostosowywanie Każdy klient stosuje unikalne środowisko o specyficznych wymaganiach. Architektura wysokiej dostępności w systemie IBM i udostępnia platformę, którą każdy klient może wykorzystać do zaprojektowania własnego rozwiązania, dostosowanego do danego środowiska aplikacji i zaspokajającego konkretne potrzeby. Kontrola Architektura IBM PowerHA SystemMirror for i umożliwia prostą kontrolę środowiska wysokiej dostępności. Po odpowiednim dostosowaniu można korzystać z łatwego w użyciu interfejsu klastrów w celu kontrolowania procesów, takich jak aktywacja, zamykanie, przełączanie i przełączanie awaryjne całego środowiska aplikacji. Operator systemu staje się w ten sposób operatorem klastra. Automatyzacja Wysoka dostępność środowiska produkcyjnego klienta wymaga ostrożnych, skoordynowanych działań we wszystkich aspektach związanych z aplikacjami. Jest to niezbędne do zachowania możliwości pracy w warunkach częściowej awarii oraz do szybkiego przenoszenia pracy z jednego serwera na inny, jeśli główny serwer zostanie wyłączony. Automatyzacja środowiska pozwala maksymalnie skrócić przerwy w pracy. Wielką zaletą funkcji automatyzacji w produkcie IBM PowerHA SystemMirror for i jest zmniejszenie liczby błędów użytkowników podczas realizacji scenariuszy awaryjnych. Ograniczenie możliwości popełnienia błędów przez użytkowników usprawnia proces podejmowania decyzji w razie wystąpienia awarii. Przegląd systemu IBM PowerHA SystemMirror for i Po określeniu celów i wymagań biznesowych należy wybrać odpowiednie rozwiązanie wysokiej dostępności w systemie IBM i, które pasuje do działalności firmy. IBM PowerHA SystemMirror for i to produkt IBM stanowiący kompletne rozwiązanie wysokiej dostępności w środowiskach produkcyjnych systemu IBM i. Zapewnia zdolność do pracy przy częściowej awarii na poziomie danych, aplikacji i środowiska. Udostępnia również interfejs zarządzania, który umożliwia bezproblemową konfigurację i eksploatację rozwiązania. W tej sekcji przedstawiono porównanie technologii dostępnych w produkcie IBM PowerHA SystemMirror for i. Pojęcia pokrewne: Zdolność do pracy przy częściowej awarii na poziomie danych na stronie 13 Zdolność do pracy przy częściowej awarii na poziomie danych oznacza dostępność danych wymaganych w środowisku produkcyjnym. Istnieje kilka technologii, które można zastosować w celu zapewnienia zdolności do pracy przy częściowej awarii na poziomie danych. Wymagania w tym zakresie zostały opisane w sekcji Zalety wysokiej dostępności. W systemie IBM i technologie te można podzielić na dwie główne kategorie replikacja logiczna, czyli programowa, oraz replikacja sprzętowa, czyli dyskowa. Komponenty wysokiej dostępności na stronie 11 Wysoka dostępność pozwala korzystać z newralgicznych aplikacji i danych biznesowych w sytuacji, kiedy nastąpi przerwa w świadczeniu usług. Rozwiązania wysokiej dostępności w systemie IBM i minimalizują, a czasem całkowicie eliminują niekorzystny wpływ planowanych i nieplanowanych wyłączeń oraz katastrof na działalność firmy. Podstawą rozwiązań wysokiej dostępności w systemie IBM i jest technologia klastrów. Zarządzanie produktem PowerHA Technologie replikacji danych PowerHA Porównanie technologii PowerHA zapewniających zdolność do pracy przy częściowej awarii na poziomie danych Zdolność do pracy przy częściowej awarii na poziomie danych oznacza, że dane pozostają dostępne dla aplikacji i użytkowników, mimo awarii systemu, który je pierwotnie udostępniał. Wybranie odpowiedniego zestawu technologii Przegląd wysokiej dostępności 17

24 umożliwiających pracę przy częściowej awarii na poziomie danych w kontekście ogólnej strategii ciągłości biznesowej może być złożone i niełatwe. Ważne jest, aby rozumieć działanie poszczególnych rozwiązań, które mogą zostać użyte w celu zwiększenia dostępności środowisk zawierających wiele systemów. Do zaspokojenia potrzeb można wybrać pojedyncze rozwiązanie lub ich kombinację. W poniższych tematach porównano poszczególne technologie zapewniające zdolność do pracy przy częściowej awarii na poziomie danych dostępne w produkcie PowerHA. Pojęcia pokrewne: Zdolność do pracy przy częściowej awarii na poziomie danych na stronie 13 Zdolność do pracy przy częściowej awarii na poziomie danych oznacza dostępność danych wymaganych w środowisku produkcyjnym. Istnieje kilka technologii, które można zastosować w celu zapewnienia zdolności do pracy przy częściowej awarii na poziomie danych. Wymagania w tym zakresie zostały opisane w sekcji Zalety wysokiej dostępności. W systemie IBM i technologie te można podzielić na dwie główne kategorie replikacja logiczna, czyli programowa, oraz replikacja sprzętowa, czyli dyskowa. Technologie replikacji danych PowerHA Planowanie zdolności do pracy przy częściowej awarii na poziomie danych Przełączalna jednostka logiczna Przełączalne jednostki logiczne (LUN) umożliwiają przełączanie danych przechowywanych w niezależnej puli dyskowej z jednostek logicznych utworzonych w środowisku IBM DS8000, SAN Volume Controller lub Storwize między systemami zapewniającymi wysoką dostępność. Przełączalna jednostka logiczna jest niezależną pulą dyskową, która jest kontrolowana z poziomu grupy zasobów klastra urządzeń i może być przełączana między węzłami w klastrze. Połączenie przełączanych jednostek logicznych z technologią klastrów IBM i pozwala utworzyć proste i ekonomiczne rozwiązanie wysokiej dostępności, sprawdzające się w przypadku planowanych wyłączeń oraz niektórych wyłączeń nieplanowanych. Grupa systemów w klastrze może wykorzystać funkcję przełączania, aby przenosić dostęp do przełączalnej puli jednostek dyskowych z systemu do systemu. Przełączalna jednostka logiczna musi znajdować się w środowisku IBM System Storage połączonym za pomocą sieci SAN. Podczas przełączenia niezależnej puli dyskowej jednostki logiczne w jednostce pamięci masowej IBM są ponownie przypisywane do innego systemu. Korzyścią wynikającą z użycia przełączanych jednostek LUN w celu zapewnienia zdolności do pracy przy częściowej awarii na poziomie danych jest prostota działania. Pojedyncza kopia danych jest zawsze aktualna, co oznacza, że nie trzeba jej synchronizować z żadną inną. Nie może wystąpić żadna utrata danych podczas przesyłania, tak jak w przypadku danych przesyłanych asynchronicznie. Wpływ na wydajność też jest minimalny. Zamiana ról lub przełączanie to operacje dość proste, choć może być konieczne uwzględnienie czasu niezbędnego do udostępnienia niezależnej puli dyskowej. Inną ważną korzyścią wynikającą z użycia przełączalnych jednostek logicznych jest brak opóźnień transmisji, które mogą występować w każdym rozwiązaniu korzystającym z replikacji. Jednak rozwiązanie to wymaga dużej ilości pracy przy konfigurowaniu urządzeń DASD, danych oraz struktury aplikacji. Z rozwiązaniem opartym na przełączalnej jednostce LUN wiążą się też pewne ograniczenia. Po pierwsze, istnieje tylko jedna logiczna kopia danych w niezależnej puli dyskowej. Stanowi to potencjalnie pojedynczy punkt awarii, chociaż dane mogą być zabezpieczone przy użyciu macierzy RAID 5, RAID 6, RAID 10 lub zapisu lustrzanego. Nie jest możliwy jednoczesny dostęp do danych z poziomu obu hostów. Operacje odczytu lub składowania na taśmie nie mogą być realizowane z systemu zapasowego. W niezależnej puli dyskowej nie mogą być przechowywane niektóre typy obiektów, takie jak obiekty konfiguracyjne. Niezbędny jest inny mechanizm zapewniający odpowiednią obsługę tych obiektów, na przykład okresowe operacje składowania i odtwarzania, domena administracyjna klastra lub replikacja logiczna. Istnieją też ograniczenia związane ze sprzętem. Przykładem może być konieczność wyłączenia w przypadku niektórych modernizacji sprzętu. Niezależna pula dyskowa nie może działać w poprzedniej wersji systemu. Dlatego niezbędne jest wcześniejsze zaprojektowanie i przeanalizowanie środowiska systemowego. 18 IBM i: Przegląd wysokiej dostępności

25 Charakterystyka przełączalnych jednostek logicznych v Wszystkie dane utrzymywane w niezależnej puli dyskowej mogą zostać przełączone i udostępnione w systemie zapasowym. v Nie występują problemy z synchronizacją danych. v Pojedynczy zestaw danych minimalizuje koszty związane z zakupem dysków. v W przypadku danych w niezależnej puli dyskowej występuje pojedynczy punkt awarii. v Rozwiązanie jest przeznaczone dla pojedynczego ośrodka, zatem nie obsługuje usuwania skutków awarii. v Wymagane jest zastosowanie serwerów IBM System Storage. v Przełączenie i przełączenie awaryjne wymaga oczekiwania na udostępnienie. Dopiero po udostępnieniu pula dysków może być wykorzystywana do pracy. v Technikę tę można stosować w połączeniu z innymi technologiami. Więcej informacji o technologiach pamięci masowej udostępnianych przez IBM zawiera sekcja Serwery pamięci masowej obsługiwane przez produkt PowerHA. Przełączalne jednostki logiczne (LUN) Konfigurowanie przełączalnych jednostek logicznych (LUN) Zarządzanie przełączalnymi jednostkami logicznymi (LUN) Serwery pamięci masowej obsługiwane przez produkt PowerHA Geograficzny zapis lustrzany Geograficzny zapis lustrzany to funkcja systemu operacyjnego IBM i. Wszystkie dane umieszczane w kopii produkcyjnej niezależnej puli dyskowej (IASP) są kopiowane do kopii lustrzanej w drugiej niezależnej puli dyskowej, umieszczonej w innym (na przykład zdalnym) systemie. Replikacja jest wykonywana w ramach systemu operacyjnego, więc takie rozwiązania może zostać użyte w przypadku dowolnego typu pamięci masowej. Geograficzny zapis lustrzany dostępny jest w wersji synchronicznej i asynchronicznej. Synchroniczny geograficzny zapis lustrzany gwarantuje, że obie kopie danych są identyczne, ma jednak ograniczenia związane z odległością, ponieważ transakcja we/wy nie zostanie zakończona w systemie źródłowym, dopóki operacje we/wy nie zostaną wykonane także w systemie docelowym. Asynchroniczny geograficzny zapis lustrzany nie ma takich ograniczeń, jeśli jednak po stronie źródłowej nastąpi nieoczekiwana awaria, może pojawić się utrata danych obejmująca kilka sekund. Korzyści wynikające z tego rozwiązania są zasadniczo takie same, jak w przypadku rozwiązania korzystającego z przełączalnej jednostki LUN, przy czym dodatkową zaletą jest zapewnienie odzyskiwania danych aplikacji po awarii do drugiej kopii, znajdującej się w dużej odległości od oryginału. Największą korzyścią nadal jest prostota działania. Operacje przełączania są w zasadzie takie same, jak w przypadku rozwiązania z przełączalną jednostką LUN. Różnica polega na tym, że przełączenie następuje do lustrzanej kopii w puli IASP. Dzięki temu jest to proste we wdrożeniu i obsłudze rozwiązanie wysokiej dostępności. Podobnie jak w przypadku rozwiązania z przełączalną jednostką LUN, obiekty spoza puli IASP muszą zostać obsłużone przez inny mechanizm (np. domenę administracyjną), ponieważ pula IASP nie może działać ze starszym systemem. Geograficzny zapis lustrzany umożliwia również obsługę replikacji w czasie rzeczywistym, przydatną w zintegrowanych środowiskach serwerowych, takich jak Microsoft Windows i Linux. Nie jest to zazwyczaj możliwe przy stosowaniu replikacji logicznej opartej na kronikowaniu. Ponieważ geograficzny zapis lustrzany odbywa się w ramach systemu operacyjnego IBM i, potencjalnym ograniczeniem rozwiązania opartego na geograficznym zapisie lustrzanym jest zmniejszona wydajność w niektórych środowiskach. Jeśli w przypadku zapisu synchronicznego uruchamiane są zadania wsadowe intensywnie korzystające z operacji we/wy, to w systemie podstawowym może nastąpić spadek wydajności. Należy również mieć świadomość większego obciążenia jednostki centralnej wymaganego do obsługi geograficznego zapisu lustrzanego. Podczas synchronizacji danych nie jest możliwy dostęp do kopii zapasowej w niezależnej puli dyskowej. Jeśli na przykład dane pochodzące z geograficznej kopii lustrzanej mają być składowane na taśmach, to należy wyciszyć operacje zapisu lustrzanego w systemie źródłowym i odłączyć kopię lustrzaną. Następnie odłączoną kopię niezależnej puli dyskowej należy udostępnić w systemie zapasowym, przeprowadzić procedurę składowania, po czym odłączyć i ponownie podłączyć niezależną pulę dyskową do oryginalnego hosta produkcyjnego. Zostanie wtedy przeprowadzona Przegląd wysokiej dostępności 19

26 synchronizacja danych, które zostały zmienione w trakcie odłączenia niezależnej puli dyskowej. Podczas składowania i synchronizacji rozwiązanie wysokiej dostępności jest niezabezpieczone przed awariami, co oznacza że nie ma aktualnego, drugiego zbioru danych. Geograficzny zapis lustrzany używa śledzenia po stronie źródłowej i docelowej, aby ograniczyć to ryzyko. Charakterystyka geograficznego zapisu lustrzanego v Wszystkie dane utrzymywane w niezależnej puli dyskowej są replikowane do drugiej kopii danych, znajdującej się w innym systemie. v Replikacja to funkcja systemu operacyjnego IBM i, można zatem korzystać z dowolnego typu pamięci masowej. v Aplikacje mogą zostać przełączone na system zapasowy i działać z wykorzystaniem kopii niezależnej puli dyskowej. v Dwie kopie danych pozwalają wyeliminować pojedynczy punkt awarii. v Synchroniczny geograficzny zapis lustrzany gwarantuje, że obie kopie puli IASP są identyczne. Synchroniczny geograficzny zapis lustrzany przy dużych odległościach może wpłynąć na wydajność aplikacji ze względu na opóźnienia komunikacji. v W przypadku asynchronicznego geograficznego zapisu lustrzanego kopia danych może być umieszczona w innej lokalizacji geograficznej. Jeśli wystąpi nieplanowane wyłączenie w systemie źródłowym, możliwa jest utrata danych obejmująca kilka sekund. v Transmisja danych za pośrednictwem od 1 do 4 linii komunikacyjnych TCP/IP gwarantuje odpowiednią przepustowość i nadmiarowość. v Zaleca się również używanie oddzielnego łącza do przesyłania sygnałów pulsu klastrów, ponieważ współużytkowanie pulsu z portem danych może spowodować rywalizację i przekroczenia limitu czasu. v Możliwe jest składowanie w trybie bez połączenia oraz zapytania do kopii zapasowej danych w czasie odłączenia zapasowego zestawu danych. v Zdolność do pracy przy częściowej awarii na poziomie danych nie jest utrzymywana w sytuacji, kiedy zapasowy zestaw danych jest odłączony. Zdolność do pracy przy częściowej awarii na poziomie danych jest przywracana po zakończeniu częściowej lub pełnej resynchronizacji. v Technikę tę można stosować w połączeniu z technologią przełączalnych jednostek LUN systemu IBM i. v Z geograficznym zapisem lustrzanym wiąże się dodatkowe zmniejszenie wydajności systemu. v Zdecydowanie zaleca się skonfigurowanie oddzielnych pul pamięci głównej lub zadań użytkowników, które mają dostęp do niezależnych pul dyskowych. Pozwala to zapobiec sytuacji, w której zadania te konkurują z innymi zadaniami w systemie i używają więcej pamięci głównej, niż jest to pożądane. Konkretniej: zadania niezależnych pul dyskowych nie powinny używać puli maszynowej ani puli podstawowej. Jeśli zadania niezależnych pul dyskowych używają tej samej pamięci, co zadania, które nie mają dostępu do niezależnych pul dyskowych, to zadania niezależnych pul dyskowych mogą zmonopolizować pulę pamięci, blokując inne zadania, a w sytuacjach ekstremalnych nawet doprowadzić do blokady całego systemu. Ryzyko wystąpienia tej sytuacji jest większe, jeśli system korzysta z geograficznego zapisu lustrzanego. v Obiekty kronikowane w niezależnej puli dyskowej gwarantują aktualizację danych w systemie docelowym. v Możliwe jest proste monitorowanie procesu tworzenia kopii lustrzanych. v Konieczność stosowania drugiego zestawu dysków pociąga za sobą koszty. v Replikacja jest realizowana na poziomie strony pamięci i zarządzana przez system IBM i. Geograficzny zapis lustrzany Planowanie geograficznego zapisu lustrzanego Konfigurowanie geograficznego zapisu lustrzanego Zarządzanie geograficznym zapisem lustrzanym Komunikaty geograficznego zapisu lustrzanego Scenariusz: geograficzny zapis lustrzany 20 IBM i: Przegląd wysokiej dostępności

27 Zapis lustrzany MAN Zapis lustrzany MAN jest funkcją serwera IBM System Storage Server. Dane przechowywane w niezależnych pulach dyskowych (IASP) znajdują się na jednostkach dyskowych w serwerze System Storage Server. Takie rozwiązanie wykorzystuje replikację do drugiego serwera pamięci na poziomie sprzętowym, przy użyciu funkcji Copy Services serwera IBM System Storage. Każdy serwer pamięci masowej jest podłączony do innego systemu IBM i. Podstawową jednostką pamięci dla funkcji zdalnego kopiowania peer-to-peer (PPRC) serwera System Storage jest niezależna pula dyskowa (IASP). Funkcja PPRC umożliwia replikację niezależnej puli dyskowej do innego serwera System Storage Server. System IBM i udostępnia zbiór funkcji zapewniających kopiowanie PPRC, obsługę niezależnych pul dyskowych oraz usług zasobów klastra systemu IBM i w celu zapewnienia skoordynowanego przełączania i przełączania awaryjnego przy użyciu grup zasobów klastra (CRG) urządzeń. Rozwiązanie to można połączyć z innymi funkcjami usług kopiowania serwera System Storage, w tym przełączalnymi jednostkami LUN i funkcją FlashCopy, w celu zmniejszenia okna składowania. Replikacja w zapisie lustrzanym MAN jest wykonywana synchronicznie. Należy również pamiętać o ograniczeniach związanych z odległością oraz wymaganiach w zakresie przepustowości powiązanych z czasami transmisji, które występują we wszystkich rozwiązaniach wykorzystujących komunikację synchroniczną. Charakterystyka zapisu lustrzanego MAN v Rozwiązanie IBM System Storage Server jest zintegrowane z platformą PowerHA. v Kopia danych może być umieszczona w innej lokalizacji geograficznej, w małej lub średniej odległości od oryginału. v Wymagane są dwa serwery System Storage Server lub dwa zestawy danych na tym samym serwerze System Storage Server. v Konieczność stosowania drugiego zestawu dysków pociąga za sobą koszty. v Rozwiązanie umożliwia składowanie i realizację zapytań w trybie bez połączenia, w sytuacji zawieszenia replikacji, lub na podstawie kopii danych z określonego momentu. v Zdolność do pracy przy częściowej awarii na poziomie danych nie jest utrzymywana w sytuacji, kiedy zapasowy zestaw danych jest odłączony. Zdolność do pracy przy częściowej awarii na poziomie danych jest przywracana po zakończeniu resynchronizacji. v Transmisja danych jest procesem synchronicznym. Nie jest możliwa utrata danych podczas przesyłania. v Proces synchronicznej replikacji danych może wpłynąć na wydajność aplikacji, jeśli przepustowość komunikacji nie jest wystarczająco duża lub jeśli odległość między ośrodkami jest zbyt wielka. v Zapis lustrzany MAN nie zwiększa obciążenia systemu jest on realizowany przez serwer pamięci. v Kronikowanie obiektów w niezależnej puli dyskowej gwarantuje, że zmiany są szybko wprowadzane na dysk, gdzie podlegają replikacji do systemu docelowego. v Replikacja danych z niezależnej puli dyskowej jest realizowana na poziomie sektorów dysków, między dyskami w dwóch serwerach pamięci. Wszystkie obiekty w niezależnej puli dyskowej są synchronizowane. v Zastosowanie wielu światłowodowych linii komunikacyjnych gwarantuje nadmiarowość i większą przepustowość. Zapis lustrzany MAN Planowanie zapisu lustrzanego MAN Konfigurowanie zapisu lustrzanego MAN Zarządzanie zapisem lustrzanym MAN Scenariusz: zapis lustrzany MAN Globalny zapis lustrzany Globalny zapis lustrzany wykorzystuje te same podstawowe technologie, co zapis lustrzany MAN. Różnica polega na asynchronicznej transmisji danych. Globalny zapis lustrzany w systemie DS8000 i przy użyciu produktu SAN Volume Controller oraz systemowych woluminów zmian produktu Storwize wymaga zastosowania trzeciego zestawu dysków umożliwiającego zachowanie spójności danych. Przegląd wysokiej dostępności 21

28 Ponieważ transmisja danych jest asynchroniczna, w przypadku tego rozwiązania nie ma żadnych ograniczeń co do odległości, w jakiej mogą się znajdować poszczególne serwery System Storage Server. Charakterystyka globalnej kopii lustrzanej v Rozwiązanie IBM System Storage Server jest zintegrowane z platformą klastrów PowerHA. v Kopia danych może być umieszczona w innej lokalizacji geograficznej, znajdującej się potencjalnie w dużej odległości od oryginału. v Wymagane są dwa serwery System Storage Server. v Na docelowym serwerze System Storage Server muszą istnieć dwie kopie danych. Jest to niezbędne do zapewnienia spójności danych przy dużych odległościach. v Rozwiązanie umożliwia składowanie i zadawanie zapytań w trybie bez połączenia, na podstawie kopii z określonego momentu, co zapewnia zdolność do pracy przy częściowej awarii na poziomie danych. v Transmisja danych jest procesem asynchronicznym. Możliwa jest utrata danych podczas przesyłania. v Proces asynchronicznej replikacji danych nie wpływa na wydajność aplikacji. v Replikacja danych z niezależnej puli dyskowej jest realizowana na poziomie sektorów dysków, między dyskami w dwóch serwerach pamięci. Wszystkie obiekty w niezależnej puli dyskowej są synchronizowane. v Konieczność zakupu drugiego i trzeciego zestawu dysków pociąga za sobą koszty. v Globalny zapis lustrzany nie zwiększa obciążenia systemu jest on realizowany przez serwer pamięci masowej. v Kronikowanie obiektów w niezależnej puli dyskowej gwarantuje, że zmiany są szybko wprowadzane na dysk, gdzie podlegają replikacji do systemu docelowego. v Zastosowanie wielu światłowodowych linii komunikacyjnych gwarantuje nadmiarowość i większą przepustowość. Globalny zapis lustrzany Planowanie globalnego zapisu lustrzanego Konfigurowanie globalnego zapisu lustrzanego Zarządzanie globalnym zapisem lustrzanym Scenariusz: globalny zapis lustrzany Opcja HyperSwap dla całego systemu DS8000 Opcja HyperSwap dla całego systemu to rozwiązanie obejmujące cały system, które umożliwia przełączanie jednostek logicznych zabezpieczonych przez zapis lustrzany między dwiema jednostkami IBM System Storage DS8000. System IBM i może przełączyć dostęp z podstawowej jednostki DS8000 na dodatkową jednostkę DS8000 z zachowaniem minimalnego okresu wyłączenia, co zapewnia wysoką dostępność systemu i w minimalnym stopniu wpływa na jego działanie. Opcja HyperSwap dla całego systemu DS8000 to rozwiązanie działające w jednym systemie IBM i, które korzysta z dwóch serwerów IBM System Storage i nie wymaga klastra. W systemie IBM i możliwe jest przełączenie między serwerami DS8000 w przypadku planowanych i nieplanowanych wyłączeń po stronie pamięci masowej bez utraty dostępu do danych w czasie przełączenia. 22 IBM i: Przegląd wysokiej dostępności

29 Ponieważ opcja HyperSwap korzysta z funkcji zapisu lustrzanego MAN systemu DS8000, przesyłanie danych jest przeprowadzane synchronicznie. Należy również pamiętać o ograniczeniach związanych z odległością oraz wymaganiach w zakresie przepustowości powiązanych z czasami transmisji, które występują we wszystkich rozwiązaniach z użyciem komunikacji synchronicznej. Charakterystyka opcji HyperSwap dla całego systemu v Jednolite rozwiązanie systemowe. v Jedna partycja IBM i z dostępem do dwóch systemów IBM System Storage. v Dwa serwery IBM System Storage używające funkcji zapisu lustrzanego MAN mechanizmu PPRC usług IBM System Storage Copy Services. v Konieczność objęcia wszystkich jednostek dyskowych podłączonych do systemu IBM i relacją zapisu lustrzanego MAN, aby funkcja HyperSwap mogła działać. v Przesyłanie danych jest synchroniczne. v Niemal zerowy czas przestoju w przypadku planowanych wyłączeń pamięci masowej. v Minimalny czas przestoju w przypadku nieplanowanych wyłączeń pamięci masowej (od kilku sekund do kilku minut). v Definicja powinowactwa umożliwiająca automatyczne przełączanie serwerów pamięci masowej podczas przełączania z wykorzystaniem opcji PowerVM Live Partition Mobility (LPM). Opcja HyperSwap dla całego systemu DS8000 Planowanie opcji HyperSwap dla całego systemu DS8000 Konfigurowanie opcji HyperSwap dla całego systemu DS8000 Zarządzanie opcją HyperSwap dla całego systemu DS8000 Opcja HyperSwap systemu DS8000 korzystająca z niezależnych pul pamięci dyskowej (IASP) Rozwiązanie PowerHA Enterprise Edition obsługuje funkcję HyperSwap systemu DS8000 na poziomie pul IASP. Opcja HyperSwap działa niezależnie na puli SYSBAS i na pulach IASP. Relacje dla opcji HyperSwap można skonfigurować tylko dla jednostek logicznych SYSBAS, tylko dla jednostek logicznych IASP lub dla obu rodzajów jednostek jednocześnie. Charakterystyka opcji HyperSwap systemu DS8000 z korzystającej z pul IASP v Niemal zerowy czas przestoju w przypadku planowanych wyłączeń pamięci masowej. Przegląd wysokiej dostępności 23

30 v Minimalny czas przestoju w przypadku nieplanowanych wyłączeń pamięci masowej (od kilku sekund do kilku minut). v Planowane oraz nieplanowane wyłączenia serwera obsługiwane przez przełączalne jednostki LUN w celu zapewnienia minimalnego czasu przestoju. v Konieczność objęcia wszystkich jednostek dyskowych podłączonych do systemu IBM i relacją zapisu lustrzanego MAN, aby funkcja HyperSwap mogła działać. v Definicja powinowactwa umożliwiająca automatyczne przełączanie serwerów pamięci masowej podczas przełączania z wykorzystaniem opcji PowerVM Live Partition Mobility (LPM). v Funkcja przełączania PowerHA w przypadku planowanej aktualizacji systemu IBM i, oprogramowania wbudowanego lub serwera do nowej wersji oraz planowanego wyłączenia v Funkcja przełączania awaryjnego PowerHA w przypadku nieplanowanego wyłączenia systemu IBM i, oprogramowania wbudowanego lub serwera Opcja HyperSwap dla systemu DS8000 korzystająca z niezależnych pul pamięci dyskowej (IASP) Planowanie opcji HyperSwap dla systemu DS8000 korzystającej z niezależnych pul pamięci dyskowej (IASP) Konfigurowanie opcji HyperSwap dla systemu DS8000 korzystającej z niezależnych pul pamięci dyskowej (IASP) Zarządzanie opcją HyperSwap dla systemu DS8000 korzystającą z niezależnych pul pamięci dyskowej (IASP) Scenariusze przypadków użycia: Celem tej sekcji jest przedstawienie możliwych scenariuszy, które można zastosować w celu wdrożenia w przedsiębiorstwie funkcji wysokiej dostępności i usuwania skutków awarii. Czasami jeden obraz jest wart więcej niż tysiąc słów. Mamy nadzieję, że te ilustracje pomogą określić rozwiązanie najbardziej dopasowane do potrzeb przedsiębiorstwa. Środowisko z obsługą opcji HyperSwap i przełączania LUN: Większość klientów korzystających z opcji HyperSwap w środowisku IASP łączy opcję HyperSwap z technologią przełączania jednostek logicznych (LUN) rozwiązania PowerHA. Dzięki zastosowaniu tych technologii klienci uzyskują różne korzyści: v Niemal zerowy czas przestoju w przypadku planowanych wyłączeń serwerów pamięci masowej. v Minimalny czas przestoju w przypadku nieplanowanych wyłączeń serwerów pamięci masowej (od kilku sekund do kilku minut). v Funkcja przełączania PowerHA w przypadku planowanej aktualizacji systemu IBM i, oprogramowania wbudowanego lub serwera do nowej wersji oraz planowanego wyłączenia v Funkcja przełączania awaryjnego PowerHA w przypadku nieplanowanego wyłączenia systemu IBM i, oprogramowania wbudowanego lub serwera 24 IBM i: Przegląd wysokiej dostępności

31 Na powyższym diagramie przedstawiono środowisko łączące opcję HyperSwap i przełączanie LUN. Jeśli produkcyjny serwer DS8000 zostanie planowo wyłączony, może zostać zainicjowane przełączenie HyperSwap na docelowy serwer DS8000 z zachowaniem niemal zerowego czasu przestoju. Ten typ przełączenia nie obejmuje przełączenia dostępu do puli IASP z systemu IBM i A na system IBM i B, a także odłączenia i udostępnienia puli IASP. Na powyższym diagramie przedstawiono środowisko łączące opcję HyperSwap i przełączanie LUN. Jeśli produkcyjny serwer DS8000 zostanie nieplanowo wyłączony, automatycznie zainicjowane będzie przełączenie HyperSwap na docelowy serwer DS8000 z zachowaniem minimalnego czasu przestoju (od kilku sekund do kilku minut). Ten typ przełączenia nie obejmuje przełączenia dostępu do puli IASP z systemu IBM i A na system IBM i B, a także odłączenia i udostępnienia puli IASP. Przegląd wysokiej dostępności 25

32 Na powyższym diagramie przedstawiono środowisko łączące opcję HyperSwap i przełączanie LUN. Jeśli partycja produkcyjna (IBM i A) zostanie planowo wyłączona, może być zainicjowane przełączenie LUN na partycję docelową z zachowaniem niemal zerowego czasu przestoju. Jeśli zdefiniowano powinowactwo, zostanie również zainicjowane przełączenie HyperSwap, którego skutkiem będzie przełączenie dostępu do danych z produkcyjnego serwera DS8000 na docelowy serwer DS8000. Ten typ przełączenia obejmuje przełączenie dostępu do puli IASP z systemu IBM i A na system IBM i B, a także odłączenie i udostępnienie puli IASP. 26 IBM i: Przegląd wysokiej dostępności

33 Na powyższym diagramie przedstawiono środowisko łączące opcję HyperSwap i przełączanie LUN. Jeśli partycja produkcyjna (IBM i A) zostanie nieplanowo wyłączona, nastąpi automatyczne zainicjowanie przełączenia awaryjnego LUN na partycję docelową z zachowaniem minimalnego czasu przestoju. Jeśli zdefiniowano powinowactwo, zostanie również zainicjowane przełączenie HyperSwap, którego skutkiem będzie przełączenie dostępu do danych z produkcyjnego serwera DS8000 na docelowy serwer DS8000. Ten typ przełączenia obejmuje przełączenie dostępu do puli IASP z systemu IBM i A na system IBM i B, a także odłączenie i udostępnienie puli IASP. Ponieważ opcja HyperSwap i przełączanie LUN są technologiami stosowanymi lokalnie, nie stanowią one ochrony przed wyłączeniem całego ośrodka. Środowisko z obsługą opcji HyperSwap i powinowactwa: Powinowactwo można zdefiniować w przypadku korzystania ze środowiska przełączania LUN oraz w pozostałych środowiskach. Powinowactwo oznacza, że w przypadku przełączenia LPM lub przełączenia LUN operacje we/wy zostaną wykonane na serwerze pamięci masowej o największym stopniu powinowactwa z serwerem Power, na którym znajduje się partycja systemu IBM i. Przegląd wysokiej dostępności 27