1、评过程要素。4、 企业目标和组织表现。5、 风险证实和评估。6、 控制理论和应用。充电区物流中心的某区域，内有电瓶充电器和备用电池，以供电动物料搬运设备充电用。例如电动堆高机。 成本控制经常比较实际发生的成本和预算或标准成本的差异，了解差异的原因，并采取矫正行动以减少差异，以控制所有的支出。促进流通者制造商经过中间人把产品卖到消费者的手中，而这中间人没有做促销也没有名义上拥有产品的所有权。例如货运公司或独立仓库等。差距分析公司的策略分析第一步就是建立公司的愿景，并且是一些可量化的目标。等实际结果出来后，比较目标和实际结果通常都会有差距。差距分析就是要了解差距为何会产生，并要如何减少或消除差距。
2、差异分析也应用在客户对期望服务与所得服务的差异。如果客户获得比其预期好的服务，成为正差距，相反，如果客户获得比其预期差的服务，称为负差距。有几个原因会产生差异：1、 供应者认知与消费者期望差异：供应者未能了解消费者期望的服务。对物流业而言，未能了解客户的需求。2、 供应者认知与欲提供服务差异：供应者知道消费者期望的服务，但无法提供消费者希望的服务。对物流业而言，例如车辆不够。3、 供应者认知与实际提供服务差异：供应者知道消费者期望的服务，但所提供服务品质并不能令消费者满意，例如消费者所接触的供应者人员素质不一。对物流业而言，每一司机的服务态度与品质不同。 4、 供应者提供服务与信息差异：供应者
3、误导消费者，承诺提供超出其能力的服务。对物流业而言，承诺客户货物今天可送到，货物却明天才送到。成长合占有率分析明星（现金流量+/-） 问号（现金流量=）金牛（现金流量+/-） 狗（现金流量+/-）20%行 业10% 成长0%率 10X 1X 0.1X由一家著名的波士顿管理顾问群提出。垂直轴为市场成长率，越往上表示市场成长率越高，代表策略事业单位的年成长率，假设高于10%的成长率算是高的，在10%处画一横线。水平轴为相对市场占有率，在线左边代表高占有率，在线右边代表低占有率，即策略事业单位相对于最大竞争者的市场占有率，相对市场占有率如为0.1，表示销售量只有领导者的10%，相对市场占有率如为10
4、，表示策略事业单位是领导者且销售量为第二强者的10倍。在相对市场占有率为1.0的地方画一垂直线，两线相交得到4个方块：1、 右上角区为问号，表示高成长区但相对低的市场占有率，需要相当多的资金。问号代表公司需要认真考虑是否要继续投注资源在此事业上，但希望将来成为明星。2、 左上角区为明星，表示高成长市场中为领导者，并不一定表示对公司生产净现金流入，公司需要花费相当多的资金以获得高成长率并和竞争者竞争。明星通常有利润，将来极可能成为公司的金牛。3、 左下角区为金牛，表示市场成长率低于10%，但有最大的相对市场占有率，金牛生产许多现金给公司。由于成长率已降低，公司不需要再大量扩充设备。由于是市场领导
5、者，享有经济规模和较高利润，公司可用金牛事业去支持其他事业。4、 右下角区为狗，表示在低成长市场占有率，通常有盈或亏。通常狗占用比其价值较多的管理时间，可考虑把部门裁撤掉。成长和占有率矩阵可运用在物流业的不同业种，例如零担、快递、仓储、常温、低温等。 持有仓库长期性储存或几乎永久性储存货品的仓库，货品的流通性小，不是物流中心。产业时钟美国人在Clockspeed一书中提出生产时钟的观念。以前认为企业只要拥有别人没有的核心优势就可以生存，现在认为在产生时钟不断加速，即产业的变化越来越快，企业必需不断革新核心优势，掌握知识的竞争力，在知识经济时代才具有竞争力。存货储存某一数量的货品，以备未来的需求
6、。如定义较严格则为检验合格，存于仓库指定储位的物品，称为库存品。存货控制卖方或仓储业者在最小成本下，使用技术、管理、会计方法等，保持最佳存货的储存位置的存货水准，以提供客户所需的服务。存货管理手段可从最简单的手工计算到复杂的电脑应用软件。如果存货多过则需较多储存空间与存货持有成本，如果存货过少则丧失销售的机会，无法满足客户的需求，所以对于存货必需加以管理和控制。 存货管理一公司在不同的阶段追踪原料、组件、成品的移动。存货管理有两个主要目标：一为提高客户服务水准，例如存货数量够、供货时间快等；另一为降低存货成本。如何使两目标达成均衡，必需注意有关管理存货的计划、数量、品质、储放位置、制造日期等，
7、以确保最佳的存货水准。许多公司会失败的原因是没有做好存货管理。 存货投资在原料、制品、成品的投资称为存货投资。一家公司根据一些因素以决定在存货投资：1、预测未来的需求。2、原料的延迟到达。3、生产的延迟。4、缓冲存货。存货投资的成本有订货成本、配送成本、过期成本、利息成本等。公司希望建立经济订购量，以获得最佳的存货水准。存货周转率在一段时间内，通常以一年计算，存货的销售成本除以平均库存。存货周转率越高，表示存货流动愈快，企业管理存货越有效率。不同行业的存货周转率有行业特性的差异，所以比较一公司的存货周转率最好与同业比较。在货周转率的计算方法如下，例如期初存货为1000元，末期存货为900元，存
8、货的销售成本为7000元，存货周转率为7000/（1000+900）/2）=7000/950=7.37。存货流通速度在特定周期中，例如货物从进货月台至出货月台的速度，越库式作业可加快存货流通速度。另一意思为存货周转率，在一段时间内，存货流经一设施的速度，其计算方式为每年销货成本除以平均存货成本。诸位核对在物流中心中，检查物品储放位置和电脑上的储位记录是否相同，以确保物品实际存放位置是否正确。储位核对亦称储位审计。诸位转移对一物流中心内而言，把货物从储位移至另一储位。如货物从一物流中心移至另一物流中心，则为移仓。 诸位档案记录物品的储存位置档案当为随机储存时，需要此档案。初次配送从工厂到批发商或
9、其他中间人的配送。处理中心生鲜食品加工处理的中心，处理后的生鲜再配送至各零售店。采购公司以合理的价格从供货商获得适当物品或服务的有关行动，包括选择供应厂商、价格、条件、下订单、收货和验收等。亦称供应管理。比单纯的购买所包括的范围大。采购前置时间采购人员从下订单到收货人收到货的时间。产品多样化为一种市场的策略，发展新产品以加强产品线和巩固现有市场。 产品生命周期任何产品的销售，就好象生物一样有生命周期，不同产品有不同的产品生命周期。事实上，许多产品的生存期间未超过导入期。产品生命周期的观念为产品组合策略管理基础。产品生命周期有下列周期：1、 发展期：生产产品概念，生产产品雏形与营销策略。2、 导
10、入期：产品进入市场，购买者对产品不熟悉，销售量低，如果购买者对产品满意，产品声誉会增加。3、 成长期：产品广泛为人所知，销售量增加，竞争者产品出现。4、 成熟期：市场无法永远成长，销售量稳定而不再增加，强调生产成本的降低以获取最大利润，很少有新品牌进入市场，此阶段的时间最长。 5、 衰退期：产品销售量衰退，在适当的时间，产品退出市场。产品组合物流中心提供的服务之一，把两种或两种以上的产品组合成一新产品。产品回复处理使用过和被丢弃的产品、元件等，例如修理、弄干净、再制造、拆为同类产品零件等，以获得经济价值减少浪费。有些法律要求制造商对其产品的最后处理负有责任。产品回收销售者向购买者要求收回已卖出
11、的货品，其原因可能为产品发现瑕疵、产品过期等，是逆向物流一种。产品回收可通过各种方式让购买者知道，例如报纸广告、邮件等。纯粹配运 货车只配送货不集货。出库理货成本物流中心中，货物出库作业的成本。物流中心根据出库作业的成本向客户收取出库理货费。重新储存把仓库内的物品重新安排储存位置，并依照新的储位放置。车辆侦测车辆经过时用感应器侦测，通过历史数据，例如欠税或罚单未缴，决定是否让车辆继续进行。储存寿命产品的制造日期和失败日期之间的时间。物流中心拣货时，要先拣接近失效日的产品，且要对将近失效日期的产品采取适当措施。储存寿命监视仓库管理系统对即将过期的产品发出警告信息，提醒管理人员采取适当的措施。查货
12、号码查 货物去向时，所输入电脑独一无二的号码。出货单对物流中心而言为出货的明细。出货区货物堆积在此处，等候装载上车。侧装堆高机处理长管、木材的堆高机。侧装堆高机在货车旁边把长物放进货车车台上。拆箱拣取物流中心拣货作业中，由于待拣取的包装单位小于整箱，须把完整的箱子拆开，拣取里面的东西放在容器上，包装后再出货。拆箱把完整的箱子拆开。电子商务兴起后，消费者少量多样的订单增多，在物流中心的作业中，拆箱后单品出货已越来越普遍。拆托盘把堆叠在托盘上的货卸下来。存取系统使用在自动仓库中，用以存取货物的系统。 存货组合由不同供货商供应产品，送至物流中心，以组成产品线，再由物流中心出货。存货转移存货变换储存的
13、位置。例如由于调整储位，把存货由储位A换至储位B。储存区物流中心中，东西入库后储放的区域。储位地址由一些英文字母和数字组成，用以标记存货的位置。例如1-4-11-12-3代表第1分仓第4层楼第11列第12货架第3层。储存模块储存的单位，例如箱子、托盘、集装箱等。超级市场超级市场指规模小于hypermarket与superstore，面积约在2千平方6.1. 硬件健康检测 . 24 6.2. CPU 可靠性 . 24 6.3. 内存可靠性 . 24 6.4. 硬盘可靠性 . 25 6.5. 网卡可靠性 . 25 6.6. RAID 卡可靠性 . 26 6.7. 电源可靠性 . 26 6.8. 告
14、警机制 . 26 7. 解决方案层的可靠性设计 . 27 7.1. 虚拟机快速备份 . 27 7.2. 虚拟机持续数据保护 . 28 7.3. 异地容灾方案 . 30 7.4. 延伸集群方案 . 31 5 1.1. 超融合平台架构 超融合平台架构 深信服超融合 aCloud 基于“软件定义数据中心”的思想，以虚拟化技术为核心，利用 计算虚拟化 aSV、存储虚拟化 aSAN、网络虚拟化 aNET 等组件，形成一个统一的资源池，减 少数据中心的硬件设备，有效节省投资成本，缩短应用上线时间；提供图形化界面和自助运 维能力， 降低运维复杂度， 帮助用户解放生产力； 并在产品品质上持续打磨， 致力打造极
15、简， 稳定可靠，高性能的超融合解决方案。 深信服超融合 aCloud 作为软件产品，要保证产品本身可靠性，产品架构是最根本的保 证，包含平台管理层、计算、存储、网络、硬件层和解决方案层面的可靠性。 6 2.2. aCloud 平台管理层可靠性 aCloud 平台管理层可靠性 2.1.2.1. 分布式架构 分布式架构 深信服超融合 aCloud 采用全分布式架构，保障平台可靠性。 1）超融合集群采用无中心化的设计，每个节点都是独立对等的工作节点，不存在单节 点故障风险；并采用主控模式作为接入点管理集群，平台通过算法自动选举主控节点，如果 主控节点所在主机发生故障， 平台会自动重新选举新的主控节点
16、， 保证集群的稳定性和可接 入，主控节点切换过程中，虚拟机正常运行不受影响。 2）超融合集群配置信息，通过集群文件系统以多副本的方式分布在集群的各节点中， 任意单节点出现故障，都不会丢失集群配置数据。 超融合 aCloud 总体架构图 Controller：为整个集群提供管理和控制服务，例如用户管理与认证、资源告警、备份 管理等；每个节点上都会存在 Controller，但同一时刻只有一个主控 Controller 是活 动的，其他节点 Controller 的状态是 Standby。 Worker：主要负责执行计算、配置、数据传输交换等具体工作；每个节点都会有一个 Worker 进行活动。
17、2.2.2.2. 网络链路全冗余 网络链路全冗余 超融合解决方案有四个网络平面，每个网络平面独立部署，分别是：管理网、业务网、 数据通信网（VXLAN） 、存储网。 管理网： 管理员接入管理网对超融合集群进行管理； 管理网通过双交换机聚合实现链路 7 冗余，单个交换机和单条链路故障不影响超融合管理平台的稳定性。 业务网：用于进行正常的业务访问和发布；业务网可通过双交换机聚合实现链路冗余， 可为业务出口设置网口静态绑定， 可设置多个业务出口供虚拟网络中虚拟机选择， 保障业务 网冗余高可靠。 数据通信网（VXLAN） ：虚拟机之间的东西向流量，可实现业务之间的通信，组建私网保 障数据安全；采用物理
18、交换机，可通过聚合实现链路冗余；采用超融合平台分布式虚拟交换 机，集群所有主机上都存在一个虚拟交换机实例，当其中某台主机离线，原本经过这台主机 上虚拟交换机实例的流量，由于虚拟路由和虚拟机 HA 到其他主机上，流量也会被其他主机 所接管。 存储网：执行需要经过网络的 IO 动作，实现数据存储功能；组建私网保障数据安全， 无需静态绑定和交换机上链路聚合，超融合平台从软件层面实现了链路聚合功能，aSAN 私 网链路聚合按照 TCP 连接进行负载均衡，两台主机间的不同 TCP 连接可使用不同物理链路。 四个网络平面故障隔离，任何一个网络平面的故障都不会影响其他网络平面。 2.3.2.3. 系统资源自
19、保障 系统资源自保障 由于超融合平台自身会占用一定的计算资源，为了保证平台承载业务时的稳定和性能， 超融合平台提供系统资源自保障机制： 在系统启动阶段， 会强制保留平台运行所需的最基本 计算和内存资源，避免虚拟机资源过多挤占系统资源，导致整个 aCloud 系统出现异常；根 据用户开通的超融合平台组件情况，自适应地调整强制保留的系统资源。 2.4.2.4. 资源预留保障 资源预留保障 为了保障主机故障时， 有足够资源执行主机 HA 机制， 进而恢复故障主机上运行的业务， 超融合平台提供资源预留机制： 在物理主机上预留一定资源， 这部分资源在正常情况下不被 分配，只有当某些主机发生故障，HA 机
20、制生效时，这部分资源才允许被分配使用。 8 资源预留机制， 可以预防资源被过度利用之后， 整个 aCloud 平台的 HA 机制失效； HA 机 制请见3.2 章节 虚拟机高可用 HA 。 2.5.2.5. 监控告警中心 监控告警中心 超融合平台提供监控告警中心，可以为平台上运行的业务提供全面的监控和告警服务， 可视化应用内部数据流，提供锁、Session、事件等待、解析、重做日志等细粒度性能指标 状况，帮助用户通过数据流图形化+详细数据的方式，全面分析 Oracle 数据库及 Weblogic 中间件实时性能及历史趋势， 并可自定义关键指标进行智能监控及快速告警， 让业务人员更 快识别应用瓶
21、颈，所有动态全局掌握。 监控虚拟机 CPU、内存、IO、内部进程状态等关键信息，并形成历史趋势报表； 对关键业务进行轮询探测，如 HTTP、FTP、TCP 端口；用户可以编辑探测包内容，根据 探测反馈包来判断业务状态； 核心数据库和中间件的全面监控和告警，包括：Oracle 、Sql Server、weblogic； 提供 syslog、 snmp trap、 邮件、 短信等多种告警方式， 用户可及时收到关键告警信息。 2.6.2.6. 进程看门狗 进程看门狗 系统进程可能发生未知错误导致的崩溃、死锁等情况，导致进程不对外提供服务，此时 超融合平台提供的进程看门狗机制可及时恢复进程。 在 aC
22、loud 后台运行一个独立的守护进程，该进程具有最高的优先级，负责监控所有 aCloud 系统进程，一旦某个系统进程出现崩溃、死锁等状况，Watchdog 会强行介入重启该 进程，恢复业务的运行，并记录下当时进程的状态信息到黑匣子中，以供事后分析。 2.7.2.7. 黑匣子技术 黑匣子技术 在系统出现崩溃、 进程死锁或异常复位故障时， 为了保障业务的连续性和故障定位与处 理，超融合平台优先恢复业务并提供黑匣子技术，将“临死信息”备份到本地目录，用于后 续故障分析与处理。 黑匣子主要用于管理节点和计算节点上收集并存储操作系统异常退出前的内核日志、 诊 断工具的诊断信息等数据， 以便操作系统出现死
23、机后， 系统维护人员能将黑匣子功能保存的 数据导出分析。 9 2.8.2.8. 系统文件备份恢复 系统文件备份恢复 超融合平台提供系统文件（平台配置数据）一键备份能力，当平台出现整体性故障，导 致系统配置文件丢失时，用户可以从备份文件快速恢复系统相关配置。 3.3. aSV 计算层可靠性设计 aSV 计算层可靠性设计 3.1.3.1. 虚拟机异常重启 虚拟机异常重启 当虚拟机 Guest 系统出现应用层不调度（蓝屏、黑屏）时，超融合平台提供虚拟机异常 重启机制，进行异常检测与强制复位，以及时恢复业务，保障业务连续性。 aCloud 平台会时刻侦测应用层可用性，通过在虚拟机中安装深信服的性能优化
24、工具， 该工具每隔几秒向虚拟机运行所在主机发送心跳，主机根据虚拟机发出的心跳、磁盘 IO、 网络流量状态， 判断是否虚拟机的 Guest 系统应用层不调度， 应用层不调度状态持续数分钟 后，可认为该虚拟机发生了黑屏或者蓝屏，将该虚拟机执行 HA 操作，关机并重启。 虚拟机异常的原因有多种，由硬盘故障、驱动错误、CPU 超频过度、BIOS 设置、软件中 毒等原因引起系统蓝屏，硬件驱动、盗版软件、软件病毒等问题，业务操作系统导致系统黑 屏等，此时超融合平台能够提供相关自动重启方案，帮助管理员进行自动化运维。 3.2.3.2. 虚拟机高可用 HA 虚拟机高可用 HA 当外部环境故障（比如主机网线断了
25、，所在存储不能访问等）导致业务中断时，超融合 平台提供了成熟的 HA 机制，将故障主机的业务在资源充足的健康主机上自动重启，从而实 现业务的不中断或短暂中断。 10 在 aCloud 集群中， 对启用了 HA 功能的虚拟机所在节点进行集群心跳检测， 通过轮询的 机制，每隔 5s 检测一次虚拟机状态是否异常，当发现异常并持续时长达到用户设置的故障 检测敏感度时 （最短时间 10s） ， 切换 HA 虚拟机到其他主机运行， 保障业务系统的高可用性， 极大缩短了由于各种主机物理或者链路故障引起的业务中断时间。 注：HA 机制，需要整个集群中有预留的资源（主要是内存资源）供发生异常的虚拟机拉 起，即2
26、.3 资源预留保障技术，如果资源不足，HA 功能拉起虚拟机会失败。 3.3.3.3. 虚拟机快照 虚拟机快照 当虚拟机发生非逻辑故障导致业务异常时，比如虚拟机变更失败（虚拟机打补丁、安装 新软件等） ，超融合平台提供虚拟机快照技术，可以快速回滚到快照时刻的健康业务状态。 虚拟机快照是指对虚拟机某个时刻的状态做一次状态保存， 以便后续需要的时候， 可以 把虚拟机恢复到该时刻的状态。 3.4.3.4. 虚拟机热迁移 虚拟机热迁移 当管理员要对主机做硬件维护、 主机变更等操作时， 超融合平台提供虚拟机热迁移机制， 在不影响业务运行的情况下，将虚拟机迁移到其他主机上，保证业务持续提供服务。 热迁移虚拟
27、机时，进行源端和目标端的信息同步，包括内存、vCPU、磁盘和外设寄存器 状态；同步完成后，暂停源端虚拟机并释放源主机上占用的计算资源，开启目标端虚拟机。 迁移过程中会检查物理主机的资源是否足够（如果资源不够，则迁移失败）和目标端虚 拟网络是否和源端一致 （如果不一致则告警， 用户决定是否继续迁移） 保障迁移顺利地进行。 11 aCloud 热迁移支持如下三种场景： 1) 集群内热迁移：因为集群内的分布式共享存储，虚拟机可只迁移运行位置，存储位 置不改变， 因此只需要进行运行数据同步 （内存、 vCPU、 磁盘和外设寄存器状态） ； 2) 集群内跨存储热迁移： 当需要迁移存储位置时， 迁移服务会
28、先将虚拟机虚拟磁盘镜 像文件进行迁移，然后进行运行数据同步； 3) 跨集群热迁移：需要同步虚拟磁盘镜像文件和运行数据。 注：aCloud 支持异构服务器组建集群，默认情况下，aCloud 新建的虚拟机采用相同类 型 vCPU，使得虚拟机不依赖于物理 CPU 型号（指令集） ，可以支持虚拟机在不同代别 CPU 的 物理主机之间进行热迁移。 3.5.3.5. 主机维护模式 主机维护模式 当管理员要对主机做硬件维护、主机变更等操作时，超融合平台提供主机维护功能，可 以达到自动进行虚拟机热迁移的效果， 系统会先将启动维护模式主机上运行的业务迁移到其 它主机上或者关机， 确保替换过程中不对业务造成影响，
29、 通过维护模式可以达到自运维的效 果；进入单主机维护模式的主机如同冰冻状态，不能读写数据。 没有主机维护功能时， 管理员需手动迁移虚拟机并且可能存在数据单点故障； 主机维护 模式会进行虚拟存储副本检查， 保障该主机上的数据副本在其他主机上存有一份， 该主机进 行下电操作不会影响业务。 3.6.3.6. 动态资源调度 动态资源调度 当虚拟机业务压力激增， 导致其运行的物理主机可提供的性能不足以承载虚拟机业务的 正常运行时，超融合平台提供动态资源调度 DRS（Dynamic Resource Scheduler ）功能， 通过监控集群中资源池的使用情况， 对整个集群的资源情况进行动态的运算， 将资
30、源过载服 务器上的虚拟机热迁移到资源充足的服务器上运行， 保障集群中业务的健康运行状态， 均衡 集群中的主机负载情况。 主机资源过载的基准线由用户自定义，包括 CPU 过载、内存过载和过载持续时间，避免 造成因 DRS 导致的业务来回切换震荡，并且用户可选择手动和自动进行资源调度。 12 3.7.3.7. 动态资源扩展 动态资源扩展 当虚拟机业务压力激增， 导致用户创建业务时分配的计算资源不足以承载业务当前的稳 定运行时，超融合平台提供动态资源扩展 DRX（Dynamic Resource eXtension）功能，实时 监控业务虚拟机的内存、CPU 资源的使用情况，当虚拟机分配的计算资源使用
31、即将达到瓶颈 时，并且运行的物理主机的计算资源资源足够时，自动或手动给业务虚拟机增加计算资源 （CPU 和内存） ，以保证业务的正常运行；当检测到运行的物理主机的资源过载时，不会进 行计算资源热添加操作， 避免挤压其他虚拟机的资源空间， 此时将根据集群的负载情况进行 动态资源调度。 业务虚拟机资源使用瓶颈由用户自定义， 包括 CPU 使用率、 内存使用率和计算资源达到 使用瓶颈的持续时间，保证资源分配给有需要的应用使用。 13 3.8.3.8. 虚拟机优先级 虚拟机优先级 当集群可用资源有限时（系统资源紧张、主机宕机、虚拟机 HA 等） ，需要优先保障重要 业务的运行，超融合平台提供虚拟机优先
32、级分类标记，优先保障重要虚拟机的资源供给，以 保证重要虚拟机的业务得到更高级别的保障。 3.9.3.9. 资源回收站 资源回收站 当管理员手误删除虚拟机等资源， 需要找回删除的设备时， 超融合平台提供资源回收站 机制， 管理员可以到回收站一键找回未彻底删除的虚拟机和虚拟网络设备， 给用户提供一个 “误删除操作缓冲区”的保护机制和一次“反悔”的机会，尽可能保障用户操作的可逆性和 正确性。 用户删除的虚拟设备会在回收站暂放一段时间， 此时被删除设备占用的磁盘空间并没有 释放，数据并没有删除，这种状态下的设备可被找回；被删除设备在回收站的时间超过 30 天之后会自动彻底删除或者用户手动点击彻底删除，
33、此时才释放设备占用的磁盘空间。 3.10.3.10. 虚拟机互斥保护 虚拟机互斥保护 当多个虚拟机是主备或者负载均衡关系时，比如 Oracle RAC 数据库的多个 RAC 节点虚 拟机，如果将这些虚拟机放置在一台主机上，如同将所有鸡蛋放在一个篮子里，面临全军覆 没风险； 超融合平台提供虚拟机安全互斥机制， 保证具有互斥关系的虚拟机一定不会运行在 同一台主机上，当一台主机宕机时，运行在集群其他主机上的互斥虚拟机可以继续运行，保 证业务的连续性。互斥虚拟机在 DRS 动态资源调度、HA 拉起时，仍然遵循安全互斥原则， 禁止这些虚拟机在同一个主机上运行。 4.4. aSAN 存储层可靠性设计 aS
34、AN 存储层可靠性设计 4.1.4.1. aSAN 分布式存储架构 aSAN 分布式存储架构 aSAN 存储层采用自主开发的分布式存储系统， 利用虚拟化技术 “池化” 集群存储卷内通 用 X86 服务器中的本地硬盘，实现服务器存储资源的统一整合、管理及调度，最终向上层提 供 NFS/iSCSI 存储接口，供虚拟机根据自身的存储需求自由分配使用资源池中的存储空间。 14 4.2.4.2. 数据多副本保护 数据多副本保护 当硬件层面发生故障时（硬盘损坏，存储交换机/存储网卡故障等） ，导致该故障主机上 的数据丢失或者不能被访问，影响业务运行；超融合平台提供数据多副本保护机制，确保业 务数据在存储池
35、中存有多份，并且互斥地分布在不同的物理主机的不同磁盘上；因此，此时 用户数据在其他主机上依然有完好的副本， 可以保证数据不会发生丢失， 业务可以正常运行。 注：多副本机制仅仅解决硬件层面的故障，不解决逻辑层面的故障，如“上层应用被勒 索病毒加密” ，底层无论采用多少个副本，都会全部被加密。 15 4.3.4.3. 数据仲裁保护 数据仲裁保护 当因网络等原因导致多副本写入数据不一致， 并且多个副本均认为自己是有效数据， 此 时业务并不清楚哪个副本数据是正确的时候，就发生了数据脑裂，影响业务的正常运行。超 融合平台提供多副本仲裁保护机制，每个业务存在多个数据副本+仲裁副本；通过仲裁副本 来判断哪份
36、数据副本是正确的， 并告知业务使用正确的数据副本， 保证业务的安全稳定运行。 仲裁副本是一种特殊的副本，它只有少量的校验数据，占用的实际存储空间很小；仲裁 副本同样要求与数据副本必须满足主机互斥的原则， 因此至少三台主机组成的存储卷才具有 仲裁副本。仲裁机制的工作核心原理是“少数服从多数” ，即：当虚拟机运行所在的主机上 可访问到的数据副本数小于总副本数（数据副本+仲裁副本）的一半时，则禁止虚拟机在该 主机上运行。反之，虚拟机可以在该主机上运行。 4.4.4.4. 数据热备盘保护 数据热备盘保护 当集群内出现某块 HDD 硬盘损坏导致 IO 读写失败，进而影响业务时，超融合平台提供 数据热备盘
37、保护， 系统热备盘可以立即自动取代损坏的 HDD 硬盘开始工作， 无需用户手动干 预；在主机集群较大、硬盘数量较多的场景下，硬盘故障的情况会时有发生，aCloud 平台让 16 用户不用担心硬盘损坏而没有及时更换，从而造成数据丢失。 4.5.4.5. IO QOS 保护 IO QOS 保护 为了给用户业务提供更高的集群 IO 能力和最优化分配 IO，超融合平台提供 IO QOS 保 护机制，用户可通过配置虚拟机优先级保证重要业务的 IO 供给，包括 IO 队列优先级、SSD 分层的缓存空间等资源优先使用。 业务优先级策略为：重要虚拟机业务 IO普通虚拟机业务 IO其他 IO（备份，数据重建 等
38、） ；平台会自动检查每个物理磁盘的 IO 吞吐负载、物理空间占用的情况，提供业务不同的 调度策略，给用户提供集群最大化 IO。 4.6.4.6. 硬盘亚健康检测 硬盘亚健康检测 当硬盘寿命到期、硬盘坏道数量过多时，硬盘实际上是处于亚健康状态，虽然硬盘可 以被识别到进行数据读写操作，但此时硬盘存在读写不成功和数据丢失风险；超融合平台 提供硬盘亚健康检测机制，提前检测并规避硬盘故障对业务带来的影响。 硬盘亚健康检测调用 smartcrtl、iostat 指令获取硬盘的状态信息，通过与硬盘异常 阈值对比来判断硬盘是否出现亚健康现象（例如慢盘，卡顿，PCIE ssd 寿命检测等） ，并 且通过内核日志
39、，过滤出 IO 调用、RAID 卡错误日志，获知硬盘的错误信息。 其基本原理如下图： 亚健康硬盘会在 aCloud 平台上显示“慢盘”告警，帮助用户发现亚健康硬盘并及时更 换为健康硬盘，保证集群中硬盘均为健康状态；亚健康硬盘将被限制新增分片，已有分片全 部做静默处理无法写入新数据，并将亚健康硬盘上的数据重建到健康硬盘上。 17 4.7.4.7. 硬盘维护模式 硬盘维护模式 当硬盘处于亚健康状态并进行告警后， 运维人员需要执行硬盘替换操作； 如果有数据同 步任务需要从即将替换的硬盘上读取数据， 此时操作拔插硬盘可能导致发生双点故障进而影 响业务，此时可以先使用硬盘维护/硬盘隔离功能，系统隔离硬盘
40、之前，会对数据进行全面 的巡检， 保证该硬盘上的数据在其他硬盘上存有一份健康副本， 隔离之后的硬盘将不允许数 据的读写，确保硬盘隔离时业务不受影响。 4.8.4.8. 静默错误检测 静默错误检测 硬盘使用过程中会出现一种无法预警的错误， 即静默错误， 直到用户需要使用这些数据 时，才会发现这些数据已经发生了错误和损坏，最终造成无可挽回的损失，因为静默错误没 有任何的征兆，可能错误已经发生了很长时间，导致非常严重的问题。NetApp 针对超过 150 万台硬盘驱动器进行了 41 个月的观察，发现了超过 400,000 个静默数据损坏，其中，硬件 RAID 控制器未检测到的错误超过 30,000
41、个。 为防止因静默错误而返回给用户错误数据， 超融合平台提供 aSAN 数据端到端校验功能， 通过 Checksum 引擎、Verify 引擎和 Checksum 管理模块，选用具有业界领先水平的校验和 （Checksum）算法，配合校验和存储性能优化关键技术，在用户数据一进入系统开始就生成 一个校验和，作为该数据的“指纹” ，并进行存储。之后就会一直用该校验和来对数据进行 校验，保障用户远离静默故障； 其原理图如下： 18 端到端技术，存在如下两个关键点： “校验和生成算法”与“校验和生成时的存储性能 优化”，aSAN 在这两点上具有业界领先的技术方案。 关键技术 1：业界前沿水平的校验和算
42、法 校验和算法有两个主要的评价标准：一是生成校验的速度；二是冲突率和均匀性。冲突 率是指两个数据不一样，但生成相同校验和的概率。 深信服超融合 aSAN 数据端到端校验方案使用 XXhash64 算法，相比目前业界普遍使用 的 CRC-32 和 Adler-32 算法，具有速度更快、冲突率更低的特点。 关键技术 2：校验和生成时的存储性能优化 校验和在内存中生成，并可以跟随数据一起传输、存储。当数据存储到磁盘、SSD 等非 易丢性存储中，校验和也需要进行存储。这样会带来额外的写开销，影响系统性能。 深信服超融合基于无元数据中心架构， 在 aSAN 端到端校验方案中， 通过使用异步回刷、 关键
43、I/O 路径 Bypass、I/O 竞争隔离等多项手段，优化校验和存储带来的性能问题。此外， 通过自校验、冲突检测、时序检测来保证正确性和一致性。 4.9.4.9. 数据快速重建 数据快速重建 当多副本数据写入不一致，或者主机/硬盘故障进行硬件替换后，为了保证底层副本数 据的一致性， 超融合平台提供数据快速重建机制， 定期会检查硬盘的工作情况和副本的健康 状况，以健康数据为源进行副本重建，保障集群数据安全状态。 其工作原理如下： 当进行数据盘和缓存盘拔盘操作时， 将导致物理层面的数据盘和缓存盘离线； 当数据盘 上业务 IO 连续故障时认为数据盘故障，或缓存盘上业务 IO 出现一次故障时认为缓存
44、盘故 障时，将触发数据重建流程。 19 数据重建过程采用如下技术方案，以加快重建的速度： 1) 全局参与，多并发重建：数据重建的 I/0 是多并发式的，即从多个源端硬盘读取， 往多个目的端硬盘写入的，实现了数据的快速重建； 2) 智能重建： 数据在重建过程中会占用一部分的存储网络带宽和硬盘性能， 那么重建 程序可以感知到上层业务的 I/0 的情况并以此智能地调整重建所占用的 I/0，在保 障业务正常运行的前提下快速重建数据； 3) 分级重建： 数据重建优先级依赖虚拟机优先级， 在存储卷可用于重建数据的空间资 源紧缺时，通过分级重建可以优先保障用户重要的数据。 4.10.4.10. 存储故障域隔
45、离 存储故障域隔离 超融合平台提供存储故障域隔离功能， 对存储划分不同的磁盘卷， 用户可以根据需求把 aSAN 划分成不同的磁盘卷，每个磁盘卷都是一个独立的故障域；在同一个故障域内，aSAN 的副本机制、重建机制都将隔离在故障域内执行，不会重建到其他故障域；同一故障域的故 障也不会蔓延到其他故障域，可以有效隔离故障蔓延；通过机架进行故障域划分时，某个机 架发生故障，仅影响运行在该机架上的磁盘卷。 4.11.4.11. 数据延时删除 数据延时删除 3.9 资源回收站机制章节中介绍到，虚拟设备被彻底删除后，业务占用的磁盘空间 将被释放， 无法找回设备； 超融合平台为了进一步保障用户操作的可逆性和正确性， aSAN 虚 拟存储层提供数据延时删除机制，可找回 aSAN 未彻底删除的虚拟设备数据。 当上层业务向 aSAN 数据存储层发出删除数据的指令时（如彻底删除虚拟机镜像指令） ， 此时 aSAN 会检查剩余磁盘空间， 如果剩余磁盘空间足够， 则 aSAN 并不会立即把这部分删除 的空间全部清零、回收，而会把这部分数据放到“待删除队列” ，并会向上层应用反馈删除 成功的结果，然后继续把这些数据保留一段时间（默认 10 天） ，超过这段时间之后则删除这 部分数据。 20 如果 aSAN 可用剩余空间不足 70%，而后台存在有需要延时删除的数据，则 aSAN 会按
