Dokumen ini menjelaskan sifat, potensi risiko, dan tindakan pencegahan terkait fitur latihan pemulihan bencana. Bacalah seluruh ketentuan dengan cermat sebelum memulai latihan. Anda hanya dapat melanjutkan setelah mencentang kotak konfirmasi.
-
Lingkup: Ruang kerja dengan ketersediaan tinggi dalam satu kota (penerapan cross-zone) yang diaktifkan.
-
Skenario: Bacalah dokumen ini sebelum memulai latihan pemulihan bencana.
Mekanisme latihan
Latihan pemulihan bencana mensimulasikan kegagalan pada zona ketersediaan (AZ) tertentu untuk memverifikasi kemampuan migrasi otomatis dan pemulihan Pekerjaan Flink. Selama latihan, sistem melakukan operasi berikut secara berurutan:
-
Tetapkan blacklist zona: AZ target yang dipilih ditandai sebagai "gagal" untuk mensimulasikan ketidaktersediaannya.
-
Pemicu deteksi kegagalan: Setelah mendeteksi bahwa sebuah node tidak tersedia, sistem secara otomatis memulai penyeimbangan ulang sumber daya.
-
Evakuasi dan rekonstruksi Pod: Node komputasi (Pod) dari pekerjaan yang terdampak dievakuasi dari AZ yang gagal dan dijadwalkan ulang ke AZ yang sehat.
-
Pemulihan status pekerjaan: Pekerjaan dilanjutkan dari checkpoint terakhir yang berhasil.
-
Hapus blacklist dan hasilkan laporan: Setelah latihan selesai, status normal AZ dipulihkan, dan laporan hasil latihan secara otomatis dihasilkan.
Ketentuan pengungkapan risiko
Dengan memulai latihan, Anda mengakui dan menyetujui hal-hal berikut:
Ketentuan 1: Gangguan singkat pada pekerjaan
Pekerjaan yang terdampak akan mengalami gangguan singkat selama latihan. Durasi gangguan bergantung pada ukuran status pekerjaan, interval checkpoint, dan kecepatan penjadwalan resource, biasanya berkisar antara puluhan detik hingga beberapa menit. Selama periode ini, aliran data hulu dan hilir (seperti konsumsi Kafka dan penulisan database) mungkin mengalami keterlambatan data atau backlog singkat.
Ketentuan 2: Ketersediaan tinggi sistem hulu dan hilir harus dipastikan secara independen
Latihan pemulihan bencana hanya memverifikasi kemampuan migrasi otomatis dan pemulihan Pekerjaan Flink dalam skenario kegagalan AZ. Kelangsungan bisnis end-to-end bergantung pada sistem hulu dan hilir (seperti Kafka, ApsaraDB RDS, Hologres, Paimon, dan OSS) yang juga memiliki kemampuan ketersediaan tinggi lintas zona. Jika sumber data hulu atau target penulisan hilir tidak memiliki penerapan cross-zone atau mekanisme pemulihan bencana yang diaktifkan, pekerjaan yang dimigrasikan mungkin mengalami timeout koneksi, kegagalan penulisan, atau backlog data. Platform Flink tidak bertanggung jawab atas gangguan bisnis yang disebabkan oleh penerapan single-zone pada sistem hulu atau hilir.
Ketentuan 3: Pemulihan best-effort dalam mode penagihan hybrid
Jika ruang kerja menggunakan penagihan hybrid (langganan + pay-as-you-go), pekerjaan pada resource elastis beroperasi dalam mode pemulihan best-effort selama latihan. Jika resource elastis di AZ yang sehat tidak mencukupi, pekerjaan pada resource elastis mungkin tidak dapat segera dipulihkan dan harus menunggu resource dilepas atau diskalakan.
Ketentuan 4: Interval dan frekuensi latihan
-
Hanya satu latihan pemulihan bencana yang dapat berlangsung dalam satu waktu di ruang kerja.
-
Interval antara dua latihan harus minimal 24 jam.
-
Setiap latihan memiliki jendela migrasi pekerjaan selama 15 menit. Pekerjaan yang gagal dimigrasikan dalam jendela ini akan dilewati, dan laju pemulihan pekerjaan mungkin turun di bawah 100%. Setelah latihan selesai, Anda harus mengklik End Drill secara manual untuk memulihkan AZ target.
Prasyarat
Pastikan semua kondisi berikut terpenuhi sebelum memulai latihan:
|
Item |
Requirement |
|
Periode bisnis |
Waktu saat ini bukan merupakan jam sibuk bisnis. |
|
Status pekerjaan |
Semua pekerjaan yang terdampak berada dalam status RUNNING. |
|
Konektivitas jaringan |
Blok CIDR vSwitch dari semua AZ yang terlibat dalam latihan (termasuk AZ kegagalan simulasi dan AZ yang sehat) telah ditambahkan ke daftar putih akses sistem hulu dan hilir. |
|
Izin |
Izin |
|
Status checkpoint |
Checkpoint diaktifkan untuk semua pekerjaan yang terdampak, dan terdapat catatan checkpoint berhasil terbaru. Jika checkpoint tidak diaktifkan atau tidak ada catatan berhasil, pekerjaan tidak dapat memulihkan status setelah latihan, yang dapat menyebabkan pemrosesan data duplikat atau kehilangan data. |
Pernyataan penafian
-
Latihan pemulihan bencana adalah operasi simulasi yang dirancang untuk memverifikasi kemampuan ketersediaan tinggi. Alibaba Cloud telah menerapkan langkah-langkah teknis yang memadai untuk memastikan keamanan dan kendali proses latihan, tetapi tidak bertanggung jawab atas kewajiban tambahan di luar Perjanjian Tingkat Layanan (SLA) terkait gangguan bisnis singkat, pemrosesan data duplikat, atau keterlambatan yang disebabkan oleh latihan.
-
Kerugian bisnis akibat memulai latihan selama jam sibuk bisnis, gagal memastikan prasyarat, atau gagal menilai dampak latensi lintas zona menjadi tanggung jawab pengguna.
-
Hasil latihan dipengaruhi oleh berbagai faktor (seperti ukuran status pekerjaan, konfigurasi checkpoint, dan beban resource). Hasil latihan sebelumnya tidak menjamin kinerja latihan di masa depan.