容灾方案设计参考：AWS灾难恢复白皮书
最近在做一个容灾方案，了解到AWS有一个容灾的白皮书。
于是，今天粗略把 AWS 的容灾白皮书读了一遍，白皮书中介绍了基于 AWS 的几种容灾方案。这些方案不仅仅适用于基于 AWS 的系统，也适用于通用系统。现将其关键点摘要下来，感兴趣的同学可以读一遍原文。
容灾两个术语
白皮书中提到了两个关于容灾的术语( industry terms)
- Recovery Time Objective
- Recovery Point Objective
恕我孤陋寡闻，之前也参与过容灾的设计，但是关于这两个术语还是第一次知道。这两个术语在维基百科有定义，不确定是 AWS 开发者添加的词条还是很早就存在。话说我司每个产品也都有容灾方案，但是还没有人能总结出这么精准的 industry terms。所以说亚马逊作为这个领域的leader还是有道理的。
1. RTO 恢复耗时
主站点故障后，备站点恢复到达到OLA(operational level agreement )所耗费的时间。
用另外一句话就是主站点故障后，备站点恢复到正常提供服务状态所需要的时间。
站在用户视角，RTO是系统服务中断时间。
举个例子，如果主站点在12:00 故障了，系统容灾的RTO时8小时，那么系统必须在20:00前恢复并正常提供服务。
2. RPO 恢复时间点
主站点故障后，备站点能够恢复到过去哪个时间点的数据。
换句话说，备站点恢复后，与主站点相比，有多少数据丢失。
站在用户视角，RPO时数据丢失的量。
举个例子，如果主站点在12:00故障了，系统容灾的RPO是1小时，那么系统恢复后，其数据必须是到11:00的。也就是说允许丢失12:00～11:00 之间的数据。
所以以后在评判或设计一个容灾方案时候，先问这两个问题：
- RTO 值是多少
- RPO 值是多少
如果回答不上来，那么这个方案肯定是没想明白的。
容灾方案
白皮书中将容灾方案按照RTO以及成本排序，称为容灾方案图谱。
Backup and Restore
备份恢复是最常见的一种容灾手段，将主站点数据备份到与主站点隔离的存储设备。当生产环境故障后，能够在备站点将数据恢复。
AWS提供了一系列的高可靠存储服务：
- Amazon S3，简单对象存储，11个9可靠性
- Amazon Glacier，如果觉得S3太贵的话
- Amazon VTS，虚拟磁带存储，如果要保存巨大且时间长的数据的话
使用Amazon的这些存储服务，加上备份恢复工具，就可以实现一个容灾系统。
备份示意图
恢复示意图
Pilot Light
Pilot Light 是一个装置，这个是一个类似点火器的装置，如煤气灶的点火器，通过点火器可以把煤气灶点燃，然后就可以做饭了：)
Pilot Light用到容灾系统中，要表达的意思是，在备站点部署一个服务，通过这个服务可以将整个系统运行起来。
准备
备站点安装数据库服务，并建立与主站点之间的数据复制关系
主站点的操作系统或文件做成 AMI ，在备站点恢复时候直接加载为EC2
定期测试备站点的恢复[5]
恢复
- 使用 AMI 创建 EC2
- 根据情况加大数据服务器的配置
- 增加额外的数据服务器(如果有需要)
- 配置系统(一些配置不是通过 AMI 导入就可以生效的)
- 将 DNS 映射为备站点IP地址
Warm Standby
Warm Standby 是在备站点复制了主站点，但是它们还是有差别的：
- 备站点服务运行但是不对外提供服务
- 备站点的服务器配置是最小配置(These servers can be running on a minimum-sized fleet of Amazon EC2 instances on the smallest sizes possible) ( fleet of Amazon EC2 好霸气～～)
准备
- 备站点安装数据库服务并同步数据
- 备站点申请最小配置的EC2安装并app
- 定时执行app的升级和补丁，保持与主站点一致
恢复
- 增加EC2数量(横向扩展)(扩成与主站点一致)
- 增加EC2配置(纵向扩展)(扩成与主站点一致)
- 增加数据库实例数(扩成与主站点一致)
切换 DNS 映射到备站点
Multi Site
Multi Site 指的是 active-active 的容灾方案。主备站点同时对外提供服务，由DNS根据负载决定将请求转发到哪个站点。
准备
- 将主站点系统复制到备站点，服务器和配置都相同
- 在DNS上配置路由策略
恢复
- 手动切换(DNS上切换)
- 或者配置DNS failover
Fail Back
当主站点故障修复后，我们还需要将服务切换到主站点，这个过程称为 fail back 。
不同的容灾方案，fail back的方法不一样。