Este documento descreve a natureza, os riscos potenciais e as precauções do recurso de simulado de recuperação de desastres. Leia todos os termos com atenção antes de iniciar um simulado. Só prossiga após marcar a caixa de seleção de confirmação.
Escopo: Workspaces com alta disponibilidade na mesma cidade (implantação entre zonas) ativada.
Cenário: Leia este documento antes de iniciar um simulado de recuperação de desastres.
Mecanismo do simulado
Um simulado de recuperação de desastres simula uma falha em uma zona de disponibilidade (AZ) específica para verificar as capacidades de migração e recuperação automática de jobs do Flink. Durante o simulado, o sistema executa as seguintes operações em sequência:
Definir lista de bloqueios de zona: O sistema marca a AZ de destino selecionada como "com falha" para simular sua indisponibilidade.
Acionar detecção de falha: Ao detectar a indisponibilidade de um nó, o sistema inicia automaticamente o rebalanceamento de recursos.
Evicção e reconstrução de Pods: O sistema remove os nós de computação (Pods) dos jobs afetados da AZ com falha e os reagenda em AZs íntegras.
Recuperação de estado do job: Os jobs são retomados a partir do checkpoint bem-sucedido mais recente.
Remover lista de bloqueios e gerar relatório: Após a conclusão do simulado, o sistema restaura o status normal da AZ e gera automaticamente um relatório de resultados.
Termos de divulgação de riscos
Ao iniciar um simulado, você reconhece e confirme o seguinte:
Termo 1: Interrupção breve dos jobs
Os jobs afetados sofrerão uma breve interrupção durante o simulado. A duração depende do tamanho do estado do job, do intervalo de checkpoint e da velocidade de agendamento de recursos. Geralmente, varia de dezenas de segundos a vários minutos. Nesse período, os links de dados upstream e downstream (como consumo do Kafka e gravações em banco de dados) podem apresentar atrasos ou acúmulos momentâneos de dados.
Termo 2: Garantia independente da alta disponibilidade dos sistemas upstream e downstream
O simulado de recuperação de desastres verifica apenas as capacidades de migração e recuperação automática de jobs do Flink em cenários de falha de AZ. A continuidade dos negócios de ponta a ponta depende de os sistemas upstream e downstream (como Kafka, ApsaraDB RDS, Hologres, Paimon e OSS) também possuírem capacidades de alta disponibilidade entre zonas. Se as fontes de dados upstream ou os destinos de gravação downstream não tiverem implantação entre zonas ou mecanismos de recuperação de desastres ativados, os jobs migrados poderão enfrentar timeouts de conexão, falhas de gravação ou acúmulo de dados. A plataforma Flink não se responsabiliza por interrupções nos negócios causadas por implantações em zona única de sistemas upstream ou downstream.
Termo 3: Recuperação com melhor esforço no modo de faturamento híbrido
Se um workspace utilizar faturamento híbrido (assinatura + pagamento conforme o uso), os jobs em recursos elásticos operarão em modo de recuperação com melhor esforço durante o simulado. Caso os recursos elásticos nas AZs íntegras sejam insuficientes, os jobs nesses recursos poderão não se recuperar imediatamente. Nesse caso, será necessário aguardar a liberação ou o dimensionamento de novos recursos.
Termo 4: Intervalo e frequência dos simulados
Apenas um simulado de recuperação de desastres pode estar em andamento por vez em um workspace.
Cada simulado possui uma janela de migração de jobs de 15 minutos. O sistema ignora jobs que não forem migrados dentro dessa janela, e a taxa de recuperação pode ficar abaixo de 100%. Após a conclusão do simulado, clique em End Drill para restaurar a AZ de destino.
Pré-requisitos
Confirme se todas as condições a seguir foram atendidas antes de iniciar um simulado:
|
Item |
Requisito |
|
Período de negócios |
O horário atual não corresponde ao pico de operações. |
|
Status do job |
Todos os jobs afetados estão no estado RUNNING. |
|
Conectividade de rede |
Os blocos CIDR dos vSwitches de todas as AZs envolvidas no simulado (incluindo a AZ com falha simulada e as AZs íntegras) foram adicionados às listas de permissões de acesso dos sistemas upstream e downstream. |
|
Permissões |
As permissões |
|
Status do checkpoint |
O checkpointing está ativado para todos os jobs afetados e existem registros recentes de checkpoints bem-sucedidos. Se o checkpointing não estiver ativado ou não houver registros bem-sucedidos, os jobs não poderão restaurar o estado após o simulado. Isso pode causar processamento duplicado de dados ou perda de dados. |
Aviso legal
O simulado de recuperação de desastres é uma operação simulada projetada para verificar capacidades de alta disponibilidade. A Alibaba Cloud implementou medidas técnicas suficientes para garantir a segurança e a controlabilidade do processo de simulado. No entanto, não assume responsabilidade adicional além do Acordo de Nível de Service (SLA) por breves interrupções nos negócios, processamento duplicado de dados ou atrasos causados pelo simulado.
Perdas nos negócios resultantes do início de um simulado durante o horário de pico, da falha na confirmação dos pré-requisitos ou da falta de avaliação do impacto da latência entre zonas são de responsabilidade do usuário.
Múltiplos fatores afetam os resultados dos simulados (como tamanho do estado do job, configuração de checkpoint e carga de recursos). Resultados históricos não garantem o desempenho em simulados futuros.