Планирование отказоустойчивости и доступности в Project Server 2007

Обновлено: Октябрь 2008 г.

Последнее изменение раздела: 2015-02-27

Термины "отказоустойчивость" и "доступность" относятся к способности многосерверной среды принимать подключения и нормально функционировать даже в случае неработоспособности одного или нескольких компонентов в ферме. Доступность подразумевает избыточность и может дополнительно включать механизм отработки отказа и некоторые другие характеристики.

Для оптимизации отказоустойчивости развертывания Microsoft Office Project Server 2007 можно использовать следующие стратегии:

• Кластеризация

• Избыточность оборудования

• RAID-конфигурации

• Избыточность серверных ролей

• Доставка журналов

• Резервные сервера

В данной статье приведены дополнительные сведения о каждой из вышеперечисленных стратегий. Эти стратегии можно применять по отдельности или в сочетании друг с другом. Поскольку для каждой стратегии характерны собственные затраты, важно внимательно изучить соотношение выгоды и затрат, прежде чем остановить свой выбор на конкретной стратегии.

Доступность

Требования к доступности необходимо учитывать как составляющую базового проекта решения Office Project Server 2007. Можно также обеспечить дополнительную доступность после развертывания решения. В оперативном отношении рекомендуется развернуть и настроить базовое решение в рамках фермы, а затем протестировать решения по обеспечению доступности.

Что такое доступность?

Доступность представляет собой степень восприятия пользователями системы (например, Office Project Server 2007) как доступной. Обеспечить доступность − значит обеспечить надежность системы; то есть инциденты, влияющие на работоспособность системы, происходят редко, и в случае возникновения таких инцидентов принимаются своевременные эффективные меры. Стратегии доступности направлены на то, чтобы запланированные и незапланированные перебои в работе происходили как можно более незаметно для пользователей.

Одной из наиболее распространенных характеристик доступности является процент времени работоспособности, выражаемого количеством девяток, − то есть процент времени, в течение которого система активна и работает. Например, про систему с процентом времени работоспособности 99,999 говорят, что ее доступность составляет пять девяток.

В следующей таблице приведено соответствие числа девяток и календарного времени.

Если возможно сделать обоснованное предположение об общем количестве часов вероятного простоя, можно рассчитать процент времени работоспособности за год, месяц или неделю с помощью следующих формул:

-
% Время работы в год = 100 — (8760 — общее количество часов простоя в год)/8760

-
% Время работы в месяц = 100 — ((24 * количество дней в месяце) — общее количество часов простоя в данном календарном месяце)/(24 * количество дней в месяце)

-
% Время работы в неделю = 100 — (168 — общее количество часов простоя за данную неделю)/168

Что не входит в понятие доступности

Доступность не подразумевает защиты или восстановления данных, либо аварийного восстановления. Необходимо выделить план защиты данных и аварийного восстановления в любую систему высокой надежности.

Кроме того, доступность не затрагивает управление непрерывностью бизнеса (BCM). BCM состоит из деловых решений, процессов и инструментов, заранее подготовленных на случай возможных кризисов. Кризис может быть вызван событием локального, регионального или национального масштаба или относиться исключительно к конкретному предприятию.

Затраты на доступность

Доступность относится к наиболее затратным требованиям системы. Чем выше уровень доступности и больше число защищаемых систем, тем более сложным и дорогостоящим, вероятно, окажется решение. При инвестициях в доступность затраты включают следующие элементы:

• дополнительное аппаратное и программное обеспечение, зачастую включающее сложные операции между ПО, таким как как пользовательские сценарии для сбоя и восстановления;

• дополнительная сложность эксплуатации.

При оценке затрат на достижение доступности необходимо исходить из потребностей бизнеса: скорее всего, не для всех решений в рамках организации будет требоваться одинаковый уровень доступности. Для разных сайтов и служб можно предложить различные уровни доступности, например, для поиска и бизнес-аналитики или для разных ферм.

Доступность − это ключевая область, в которой ИТ-отделы предлагают заключать соглашения об уровне обслуживания, определяющие ожидания групп пользователей. Многие ИТ-организации предлагают широкий спектр соглашений об уровне обслуживания, связанных с различными уровнями внутренних расчетов.

Сведения об избыточности

Избыточность является ключевой составляющей доступности. Избыточность включает использование нескольких серверов в среде с балансировкой нагрузки в целях оптимизации производительности фермы или распределения нагрузки в целях размещения дополнительных пользователей. Избыточность также подразумевает использование идентичных резервных компонентов, например поставщиков электроэнергии или сетевого оборудования, в целях обеспечения непрерывной работы в случае сбоя в работе первичных компонентов.

В данной статье описан процесс внедрения избыточных серверов в ферме Office Project Server 2007.

Службы Office Project Server 2007 поддерживают масштабируемые фермы серверов для обеспечения высокого уровня мощности, производительности и доступности. Как правило, критерий мощности является основным при определении начального числа серверов. После расчета требований к производительности доступность также играет роль как в выборе количества серверов, так и при определении размера и мощности серверов в ферме серверов.

Определение требований доступности

Чтобы определить допустимое в организации время простоя для сайта, службы или фермы, необходимо ответить на следующие вопросы.

• Будет ли недоступность Office Project Server 2007 препятствовать разумному выполнению сотрудниками организации возложенных на них обязанностей?

• Будут ли остановлены коммерческие сделки и операции с клиентами в случае сбоя в работе Office Project Server 2007 и приведет ли это к отрицательным последствиям для организации или потере клиентов?

В случае утвердительного ответа на любой из этих вопросов организации требуется решение по обеспечению доступности.

Хотя в данной статье в основном обсуждается доступность продуктов и технологий Office Project Server 2007, на время работоспособности системы влияют также другие компоненты. В частности, необходимо учесть следующее:

Необходимо обеспечить полную избыточность таких элементов инфраструктуры, как электропитание, система охлаждения, сеть, каталоги и SMTP.

Выберите механизм переключения для системы, соответствующий потребностям организации, DNS или балансировка нагрузки оборудования. Рекомендации по балансировке нагрузки веб-серверов см. в следующих статьях:

• Корпоративный дизайн для балансировки нагрузки (на английском языке) (https://go.microsoft.com/fwlink/?linkid=122194\&clcid=0x419) (на английском языке)

• Корпоративный дизайн для DNS (на английском языке) (https://go.microsoft.com/fwlink/?linkid=122196\&clcid=0x419) (на английском языке)

Кластеризация

Кластеризация способна защитить систему от сбоев в работе операционной системы или приложения. На кластеризованных компьютерах, не переводя их в режим автономной работы, можно также выполнять различные задачи, включая обновление приложений или операционной системы или установку пакетов обновлений.

Серверные кластеры разработаны для поддержания доступности приложений, а не для защиты данных. Чтобы защитить данные от вирусов, повреждений или иных рисков, потребуется надежная защита данных и план восстановления. Технология кластеров не способна обеспечить защиту от сбоев, возникших в результате воздействия вирусов, повреждений программного обеспечения или ошибок пользователей.

Отказоустойчивость кластеров SQL Server

Отказоусточивые кластеры разработаны для приложений с отслеживанием состояния. Для приложений с отслеживанием состояния характерно длительное состояние в памяти или большие, часто обновляемые состояния данных.

Отказоустойчивые кластеры обеспечивают высокую доступность путем разрешения отработки отказа. Отказоустойчивые кластеры также поддерживают подключения клиента к приложениям и службам.

В отказоустойчивых кластерах для узлов используется общий доступ к данным. Узлы могут быть активными или пассивными, и конфигурация каждого узла зависит от режима работы (активный или пассивный), а также от конфигурации системы отказоусточивости в кластере. Размер сервера, предназначенного для обработки отказоустойчивости, должен быть достаточным для обработки не только собственной рабочей нагрузки, но и рабочей нагрузки в сбойном узле.

В развертываниях Office Project Server 2007 можно использовать отказоустойчивость кластеров SQL Server.

Кластеры с балансировкой нагрузки

Кластеры с балансировкой нагрузки представляют собой группы идентичных, клонированных по типу компьютеров, используемых для оптимизации доступности веб-серверов, серверов Microsoft Internet Security and Acceleration (ISA) (для прокси-серверов и серверов межсетевого экрана) и других приложений, получающих трафик по протоколу ТСР (Transmission Control Protocol) и UDP (User Datagram Protocol). Поскольку узлы кластеров, как правило, представляют собой идентичные клоны друг друга, и могут, таким образом, функционировать независимо, все узлы в кластерах активны.

В Office Project Server 2007 поддерживается два метода балансировки нагрузки:

• Программный, например службы балансировки сетевой нагрузки (NLB) операционной системы Microsoft Windows Server 2003. Службы балансировки сетевой нагрузки выполняются на интерфейсных веб-серверах и используют протокол TCP/IP для маршрутизации запросов. Так как службы балансировки сетевой нагрузки (и другие программные решения балансировки нагрузки) выполняются на интерфейсных веб-серверах, используются ресурсы интерфейсных веб-серверов, что сокращает ресурсы, доступные для хранения веб-страниц. Однако на системные ресурсы оказывается незначительное воздействие, и одно программное решение может может обслуживать до 32 интерфейсных веб-серверов.

• Аппаратный, например маршрутизатор или коммутатор. Оборудование для балансировки нагрузки использует сеть для направления трафика веб-сайтов между интерфейсными веб-серверами. Оборудование для балансировки нагрузки является более дорогим решением, чем программные средства, но не использует ресурсы интерфейсных веб-серверов. Службы Office Project Server 2007 можно использовать с любым оборудованием для балансировки нагрузки.

Существует третий, хотя и не рекомендуемый, метод балансировки нагрузки − циклическая балансировка нагрузки со службой доменных имен (DNS). Циклическая балансировка нагрузки с DNS способна потреблять значительное количество ресурсов интерфейсных веб-серверов, она работает медленнее чем аппаратная и программная балансировка нагрузки, и ее не рекомендуется использовать со службами Office Project Server 2007. Кроме того, циклическая балансировка нагрузки с DNS не учитывает нагрузку сеанса при направлении пользователя на сервер, что может привести к перегрузке сервера.

Избыточность оборудования

Обеспечить отказоустойчивость для разрвертывания Office Project Server 2007 можно путем развертывания дополнительных конфигураций оборудования, которые дублируют конфигурацию оборудования предприятия. Таким образом, при сбое одного пути ввода-вывода данных или компонентов физического оборудования сервера (например, компьютер, сеть или сетевые компоненты области хранения), это не оказывает влияния на работу системы. Оборудование, используемое для минимизации отдельных сбоев, может быть различным в зависимости от того, какие компоненты планируется сделать избыточными. Поставщики оборудования, как правило, включают дубликаты оборудования как часть решения хранения.

RAID-конфигурации

С помощью массивов RAID можно повысить отказоустойчивость развертывания Office Project Server 2007. В массивах RAID хранятся идентичные сведения о нескольких дисках в целях избыточности, оптимизации производительности и увеличения среднего времения безотказной работы (MTBF). В RAID-конфигурации часть физического объема хранения содержит избыточные сведения о данных, хранящихся на жестких дисках. Избыточные сведения являются либо данными четности (как в случае с томом RAID-5), либо полной отдельной копией данных (в случае с зеркальным томом). Избыточные сведения позволяют восстановить данные в случае сбоя одного из дисков или пути доступа, либо если невозможно чтение какого-либо сектора на диске.

Чтобы обеспечить бесперебойную работу компьютеров с Office Project Server 2007 в случае сбоя в работе отдельного диска, можно использовать зеркальное отображение диска RAID или чередование дисков с контролем четности для жестких дисков в развертывании Office Project Server 2007. Зеркальное отображение дисков и чередование дисков с контролем четности служит для создания избыточных сведений для данных на жестких дисках.

Базы данных Office Project Server 2007 существенно нагружают ввод-вывод. По этой причине рекомендуется использовать RAID 10 для обеспечения оптималной производительности и избыточности дисков, содержащих базы данных Office Project Server 2007.

Использование RAID-конфигураций не предотвращает повреждение файлов или иные ошибки файлов. По этой причине не следует использовать RAID-конфигурации вместо хранения текущих резервных копий важных данных на серверах.

Поскольку файлы журнала транзакций и файлы базы данных имеют важное значение для работы компьютеров с Office Project Server 2007, можно хранить файлы журналов транзакций и файлы баз данных на отдельных физических дисках. Также можно использовать зеркальное отображение дисков RAID или чередование дисков с контролем четности, чтобы предотвратить утрату отдельных физических жестких дисков в базе данных Office Project Server 2007.

Если в среде содержится сеть хранения данных (SAN), возможно, необходимая избыточность диска для развертывания уже существует. В среде SAN не рекомендуется размещать развертывание Office Project Server 2007 и связанные компоненты развертывания на одном шпинделе диска вместе с нагружающими ввод-вывод приложениями, поскольку это может негативно отразиться на производительности. Данные Office Project Server 2007 оптимизируются для последовательного считывания, что идеально подходит для среды SAN.

Избыточность серверных ролей

Выбор базовой серверной топологии зависит от требований к избыточности ролей сервера приложений. В данном разделе представлены роли сервера приложений по отношению к их возможностям обеспечения избыточности.

Роли, которые могут быть избыточными

Такие роли сервера приложений могут быть развернуты на нескольких серверах. Код развертывания для каждого сервера идентичен и в ролях сервера приложений не сохраняются какие-либо данные; другими словами все экземпляры таких ролей одинаковы. При сбое в работе одного из серверных компьютеров потери сохраненных данных не происходит. Веб-серверы автоматически балансируют нагрузку по запросам на эти серверные роли между доступными компьютерами серверов приложений.

Развертывание служб приложений Project Office Project Server 2007 может выполняться избыточно. Таким образом обеспечиваются большая пропускная способность для запросов данных PWA и увеличение емкости развертывания. Тем не менее развертывание служб приложений Project на нескольких серверах не повышает доступность фермы. При сбое на одном из серверов ферма не обнаруживает сбой автоматически и продолжает отправлять запросы на сбойный сервер служб приложений Project до тех пор, пока он не будет вручную удален из фермы.

Роли, которые не могут быть избыточными

Некоторые роли сервера приложений, доступные в Office Project Server 2007, не могут быть избыточными (например, поиск Windows SharePoint Services 3,0). Развертывание данной роли сервера приложений может выполняться на нескольких серверах, однако эти несколько серверов не являются избыточными. Эта серверная роль настраивается для обхода контента и создания индексов контента. При развертывании этой роли на нескольких серверах на каждом из серверов выполняется обход различного содержимого.

Избыточность сервера баз данных

Роль сервера базы данных оказывает наибольшее влияние на доступность решения. В случае сбоя в работе веб-сервера или сервера приложений эти роли могут быть быстро восстановлены или развернуты повторно, а при отказе сервера базы данных работа решения может быть продолжена только после полного восстановления сервера базы данных. Этот процесс может включать в себя повторное создание сервера базы данных и последующее восстановление данных с помощью носителя резервной копии. При этом новые или измененные данные, которые были обновлены с момента последнего создания резервной копии, могут быть потеряны в зависимости от настройки SQL Server. Кроме того, решение будет совершенно недоступно на период восстановления роли сервера базы данных.

Независимо от типа системы рекомендуется работать с поставщиками оборудования в области закупок отказоустойчивого оборудования, соответствующего конкретной системе, включая массивы RAID.

При планировании отказоустойчивости компонентов примите во внимание следующие факторы:

• Полная избыточность каждого компонента сервера может быть невозможна или нецелесообразна. Используйте дополнительные серверы для дополнительной избыточности.

• Убедитесь, что серверы имеют несколько блоков питания, подключенных к разным источникам для максимальной избыточности.

Доставка журналов

Для Microsoft SQL Server можно использовать доставку журналов для непрерывной передачи журналов транзакций из одной базы данных в другую. Непрерывное резервное копирование журналов транзакций из исходной базы данных с последующим копированием и восстановлением журналов в конечную базу данных служит для поддержки синхронизации конечной и исходной баз данных. Доставка журналов предоставляет автоматизированный метод обслуживания резервного сервера.

Резервные сервера

Резервный сервер представляет собой второй сервер, который может подключаться к сети в случае сбоя основного рабочего сервера. На резервном сервере устанавливаются те же компоненты программного обеспечения, которые установлены на основном сервере. Использование резервных серверов позволяет пользователям продолжать работу с данными Office Project Server 2007 даже при отсутствии доступа к основному серверу.

Резервный сервер также можно использовать при отсутствии доступа к основному серверу ввиду плановых профилактических работ. Например, если необходимо отключить от сети основной сервер для установки обновлений оборудования или программного обеспечения, можно использовать резервный сервер до тех пор, пока основной сервер не будет снова подключен к сети.

При использовании резервных серверов необходимо учитывать следующий важный момент: обновления оборудования, программного обеспечения и микропрограмм на резервном сервере должны быть идентичны обновлениям на основном сервере, для замещения которого предназначен резервный сервер.

Если резервный сервер является сервером баз данных, он должен содержать копию баз данных основного сервера. Если выполняется отключение основного сервера от сети и подключение к сети резервного сервера, при повторном подключении основного сервера все изменения в копиях баз данных, выполненные на резервном сервере, должны быть скопированы на основном сервер. В противном случае эти изменения будут утеряны. Когда пользователи возобновляют использование основного сервера, необходимо выполнить резервное копирование баз данных на основном сервере и скопировать их на резервный сервер.

Доставку журналов рекомендуется использовать для проверки синхронизации резервного сервера с основным. При сбое в работе основного сервера или в случае сбоя отдельной базы данных базы данных на резервном сервере становятся доступными для пользовательских процессов. Любые пользовательские процессы, которые не имеют доступа к основному серверу, должны использовать резервный сервер.

При использовании отдельных интерфейсных веб-серверов как части развертывания можно установить службу приложений Project на интерфейсных веб-серверах и оставить их неподключенными. Затем в случае сбоя в работе одного из серверов Office Project Server 2007 можно активировать службу приложений Project на интерфейсном веб-сервере и легко подключить к сети резервный сервер.