Dự phòng hệ thống giảm nguy cơ gián đoạn như thế nào?

Cơ chế cốt lõi thường gồm ba bước: có thành phần thay thế → phát hiện thành phần lỗi → chuyển tải sang thành phần còn hoạt động. Hiệu quả của mô hình phụ thuộc vào mức độ độc lập giữa các thành phần, khả năng chuyển đổi và mức độ đồng bộ của dữ liệu.

Dự phòng hệ thống là gì và khác gì với việc sao lưu?

Dự phòng hệ thống tập trung vào khả năng tiếp tục vận hành khi một thành phần đang hoạt động bị lỗi. Sao lưu lại tập trung chủ yếu vào khả năng khôi phục dữ liệu hoặc hệ thống sau sự cố.

Ví dụ, một ứng dụng chỉ chạy trên một máy chủ có thể bị gián đoạn khi máy chủ đó hỏng. Nếu ứng dụng được triển khai trên nhiều máy chủ và có cơ chế phân phối tải, lưu lượng có thể được chuyển sang máy chủ còn hoạt động.

Trong khi đó, một bản sao lưu cơ sở dữ liệu không nhất thiết giúp ứng dụng tiếp tục phục vụ ngay tại thời điểm máy chủ chính gặp lỗi. Nó chủ yếu cung cấp điểm dữ liệu để khôi phục sau đó.

Vì vậy, hai cơ chế có thể bổ sung cho nhau:

·         Dự phòng: giảm thời gian dịch vụ bị gián đoạn khi thành phần lỗi

·         Sao lưu: hỗ trợ khôi phục dữ liệu hoặc hệ thống khi sự cố nghiêm trọng xảy ra

·         Khôi phục thảm họa: xử lý những sự cố có phạm vi lớn hơn, chẳng hạn mất toàn bộ khu vực triển khai

Cơ chế dự phòng giúp hệ thống tiếp tục hoạt động khi có lỗi như thế nào?

Điểm quan trọng nhất của dự phòng là loại bỏ điểm lỗi đơn. Nếu một chức năng quan trọng chỉ phụ thuộc vào một thành phần duy nhất, thành phần đó trở thành điểm mà khi hỏng có thể kéo theo toàn bộ dịch vụ.

Một kiến trúc dự phòng thường vận hành theo chuỗi:

Thành phần chính → phát hiện lỗi → xác định tài nguyên khỏe → chuyển tải → tiếp tục phục vụ

Có thể triển khai bằng nhiều cách. Một hệ thống có thể chạy nhiều máy chủ ứng dụng, nhiều nút cơ sở dữ liệu, nhiều đường mạng hoặc nhiều khu vực triển khai. Khi một thành phần mất khả năng phục vụ, bộ cân bằng tải, cơ chế định tuyến hoặc hệ thống điều phối có thể chuyển yêu cầu sang thành phần khác.

Điều này tạo ra khác biệt quan trọng giữa có bản sao và có dự phòng thực sự. Hai máy chủ cùng nằm trên một nguồn điện hoặc cùng phụ thuộc vào một thiết bị mạng duy nhất vẫn có thể cùng thất bại. Vì vậy, dự phòng hiệu quả cần xem xét cả phụ thuộc chung chứ không chỉ số lượng bản sao.

Những mô hình dự phòng phổ biến và mức bảo vệ của chúng

Không phải mọi dạng dự phòng đều bảo vệ hệ thống trước cùng một loại sự cố.

Dự phòng nhiều phiên bản hoặc nhiều nút

Nhiều phiên bản của cùng một thành phần cùng tham gia phục vụ tải. Khi một nút lỗi, các nút còn lại tiếp tục xử lý yêu cầu.

Mô hình này phù hợp với lỗi máy chủ, tiến trình hoặc một instance riêng lẻ. Tuy nhiên, nếu toàn bộ các nút vẫn phụ thuộc vào một điểm chung, sự cố ở điểm đó vẫn có thể gây gián đoạn.

Dự phòng theo vùng lỗi

Các thành phần được phân bố trên những vùng hạ tầng có mức độc lập cao hơn, chẳng hạn các availability zone hoặc fault domain khác nhau.

Lợi ích nằm ở việc giảm khả năng một sự cố cục bộ đồng thời làm mất toàn bộ bản sao. Nếu một vùng gặp sự cố, tải có thể được chuyển sang vùng còn hoạt động.

Dự phòng đa khu vực

Các bản sao hoặc workload được triển khai ở nhiều khu vực địa lý. Mô hình này nhằm xử lý những sự cố có phạm vi lớn hơn một vùng hạ tầng đơn lẻ.

Đổi lại, việc đồng bộ dữ liệu, định tuyến, chuyển đổi và vận hành phức tạp hơn. Không nên xem đa khu vực là mặc định cần thiết cho mọi hệ thống.

Dự phòng nóng và dự phòng lạnh

Dự phòng nóng duy trì tài nguyên thay thế ở trạng thái sẵn sàng hoặc đang phục vụ một phần tải, nên thời gian chuyển đổi thường ngắn hơn.

Dự phòng lạnh giữ tài nguyên thay thế ở trạng thái chưa hoạt động đầy đủ và chỉ khởi động khi cần. Chi phí thường thấp hơn nhưng thời gian khôi phục có thể dài hơn.

Do đó, lựa chọn mô hình dự phòng phải gắn với yêu cầu về thời gian gián đoạn chấp nhận được, mức độ quan trọng của dịch vụ và chi phí vận hành.

Dự phòng không tự động loại bỏ mọi nguy cơ gián đoạn

Có dự phòng không đồng nghĩa hệ thống chắc chắn không gián đoạn. Vẫn tồn tại những điểm lỗi chung có thể làm nhiều thành phần dự phòng hỏng cùng lúc.

Một số rủi ro cần kiểm tra gồm:

·         Cùng phụ thuộc vào một nguồn điện hoặc thiết bị mạng

·         Cùng sử dụng một cụm lưu trữ

·         Cùng phụ thuộc vào một dịch vụ bên ngoài

·         Cơ chế phát hiện lỗi không hoạt động

·         Failover được cấu hình nhưng không chuyển tải đúng

·         Dữ liệu giữa các bản sao không nhất quán

·         Thành phần dự phòng hết công suất khi phải tiếp nhận toàn bộ tải

·         Sự cố cấu hình hoặc phần mềm được triển khai đồng thời lên tất cả bản sao

Đây là lý do cần phân biệt redundancy với resilience. Dự phòng cung cấp tài nguyên thay thế; khả năng chống chịu còn đòi hỏi hệ thống phải phát hiện lỗi, chuyển đổi đúng, duy trì dữ liệu phù hợp và phục hồi theo mục tiêu đã xác định.

Đánh giá hiệu quả dự phòng bằng những tiêu chí nào?

Không nên đánh giá một kiến trúc dự phòng chỉ bằng số lượng máy chủ hoặc số bản sao. Cần xem dự phòng đó thực sự cải thiện khả năng duy trì dịch vụ đến mức nào.

Availability

Availability phản ánh tỷ lệ thời gian dịch vụ có thể sử dụng. Đây là chỉ số quan trọng để đánh giá tác động thực tế của các sự cố và thời gian gián đoạn.

RTO

Recovery Time Objective là khoảng thời gian gián đoạn tối đa có thể chấp nhận trước khi dịch vụ phải được khôi phục.

RTO càng thấp thì cơ chế phát hiện lỗi, chuyển đổi và khôi phục càng phải nhanh và đáng tin cậy.

RPO

Recovery Point Objective xác định mức mất dữ liệu có thể chấp nhận, được biểu thị bằng khoảng thời gian tính từ điểm khôi phục dữ liệu gần nhất đến thời điểm xảy ra sự cố.

RTO và RPO giải quyết hai vấn đề khác nhau: một bên tập trung vào mất dịch vụ trong bao lâu, bên kia tập trung vào có thể mất dữ liệu đến mức nào.

Failure Domain

Cần xác định phạm vi sự cố mà kiến trúc có thể chịu được. Một hệ thống có thể chống lỗi một máy chủ nhưng không chống được lỗi cả vùng triển khai.

Failover Capacity

Tài nguyên còn lại phải đủ khả năng tiếp nhận tải sau khi một thành phần bị mất. Nếu một máy chủ hỏng khiến các máy chủ còn lại quá tải, dự phòng vẫn có thể dẫn đến gián đoạn.

Khi nào nên đầu tư vào dự phòng hệ thống?

Dự phòng có giá trị cao khi chi phí của một lần gián đoạn lớn hơn đáng kể chi phí duy trì kiến trúc thay thế.

Có thể ưu tiên dự phòng cho:

·         Dịch vụ cần hoạt động liên tục

·         Thành phần có ảnh hưởng trực tiếp đến nhiều chức năng khác

·         Hệ thống mà thời gian ngừng hoạt động gây thiệt hại lớn

·         Thành phần khó khôi phục nhanh bằng phương pháp thủ công

·         Workload có yêu cầu RTO hoặc RPO nghiêm ngặt

Ngược lại, không phải mọi thành phần đều cần cùng một mức dự phòng. Một chức năng ít quan trọng có thể chấp nhận thời gian khôi phục dài hơn, trong khi thành phần cốt lõi cần khả năng chuyển đổi nhanh.

Cách tiếp cận hợp lý là bắt đầu từ failure mode và mục tiêu khôi phục, sau đó mới quyết định cần bao nhiêu bản sao, đặt chúng ở đâu và cơ chế failover nào phù hợp.

Dự phòng hệ thống giảm nguy cơ gián đoạn bằng cách biến lỗi của một thành phần thành một sự kiện có phạm vi kiểm soát, thay vì để lỗi đó trở thành điểm dừng của toàn bộ dịch vụ. Hiệu quả thực sự chỉ xuất hiện khi tài nguyên thay thế đủ độc lập, có khả năng nhận tải, có dữ liệu phù hợp và được kiểm thử chuyển đổi định kỳ.