随着计算机网络技术的高速发展，网络设备的安全可靠越来越受到人们的重视。路由器的高可用性成为网络运营商们关注的焦点。高可用性是指路由器的不间断运行能力，即持续操作能力。它要求路由器本身所采用的硬件和软件系统具有稳定可靠的性能，并且可以从软件设计入手，实现一个高可用性的软件产品。
　　本文以高性能T比特核心路由器为实例，探讨如何通过高可用性模块的设计保证网络的高可靠性，做到处理器故障不会影响网络的连通性，更不会导致整个网络的瘫痪，从根本上解决数据中心的风险问题。
1 高可用性技术
　　高可用性是指可持续的、具有一致性和完整性的数据访问。高可用性系统通过提高服务器可靠性、磁盘可靠性、应用程序" title="应用程序">应用程序可靠性达到高可用性的要求。可以通过共享磁盘阵列提高磁盘可靠性，使用冗余网络提高网络可靠性，使用合作的服务器提高服务器可靠性，通过应用程序的探测与有效恢复提高应用程序的可靠性。
　　路由器作为计算机网络的核心设备，其高可用性至关重要。在硬件方面，路由器要有一个很好的体系结构及各种冗余非常完善，关键部件如路由引擎和交换矩阵要有冗余。在软件方面，其自身要强壮，另外在遇到更换硬件、系统升级、增加板卡和改变链路等网络调整时，软件要有能力保证整个网络业务不受局部调整的影响，让整个网络体现出非常高的可用性，保证路由引擎进行不丢包的切换。主引擎发生故障，切换到副引擎时不丢包，平滑切换，否则硬件的冗余就没有意义，是假冗余。另外还要保证平稳重启" title="重启">重启。当路由重启时，由此产生的路由重新计算和网络范围的路由更新会消耗掉处理资源，并有可能出现黑洞或瞬时转发循环形式的非预期网络行为。而平稳重启会避免这种情况的发生。
　　根据以上要求，本文提出了一种适用于T比特路由器的主控软件容错系统设计方案。采用硬件冗余与软件容错相结合、热备与双工" title="双工">双工相结合的工作方式代替传统的容错热备份方案，并根据该方案设计实现了高可用性模块。测试结果表明，采用该设计方案的主控软件系统具有很好的容错性能和故障恢复能力，能够满足T比特路由器对主控软件系统的高可用性要求。
2 基于高性能T比特路由器的主控软件容错系统设计
2.1 主控软件容错系统设计中的基本问题
　　基于容错需求的考虑，当主控系统出现软硬件故障时路由器仍需要正常工作，故硬件配置采用1＋1冗余设计，配备主用(Active)和备用(Standby)两块主控板" title="主控板">主控板，构建双主控热备容错系统。当主用主控板发生故障，系统自动进行主备切换，由备用主控板接替主用板工作，保证业务的正常运行。当主用模块发生严重故障或主用复位时，将触发自动倒换方式，及时倒换到备用板。这种1＋1冗余设计可扩展到N＋1冗余设计。
　　整个切换过程对用户透明，需要考虑的重点和实现的难点在于主备系统间数据库一致性问题、平滑切换技术的实现和故障监测机制。
　　(1)数据库一致性问题
　　路由器主控板上记录了系统实时运行数据，因此正常工作中需要进行实时的系统数据备份，以保证主用和备用上的数据库一致，否则在主备切换时，备用不能正常接替主用。针对该问题，在高可用性模块的设计中，采用了一种双工与热备相结合的不完全热备设计。需要备份的数据主要是系统数据库中的路由表项和转发表表项。
　　双工与热备相结合的不完全设计是指：双主控板上都运行心跳探测程序用于故障探测，主用主控板上运行路由器正常工作所需要的所有应用程序，而备用主控板上运行部分重要应用程序。这些程序正常工作时与主用主控板上的程序有相同的输入数据，但处理结果并不输出。这样的设计保证了路由器出现故障进行切换时低耗时，减轻了需要备份的数据量，既不像完全双工工作方式那样浪费资源，又避免了热备工作方式的很多不足，性能明显优于纯粹的热备或者双工方式。
　　数据备份有冷备份和热备份两种。冷备份是在数据库已经正常关闭的情况下，进行完整数据库的备份，是最快和最安全的方法。冷备份的最大问题是必须在数据库关闭的情况下进行，当数据库处于打开状态时，执行数据库文件系统备份是无效的。
　　热备份是在数据库运行时，采用archivelog mode方式备份数据。有双机镜像和共享磁盘阵列两种方案。双机镜像方案可选择将主数据库服务器上的表、文件、数据库或全部内容通过专用连接通道镜像到备用服务器上，优点是简单、便宜，缺点是降低系统资源。共享磁盘阵列方案为两台主机共用一个磁盘阵列，优点是不降低系统性能，为目前较为流行的主流技术，但要求磁盘阵列具有较高的可靠性。
　　对于运行在骨干网中的路由器，冷备份显然不适用。因为路由器运行过程中不可能定时关闭数据库来备份数据，更不可能在路由器出现故障时再备份数据。因此采用热备份。鉴于要备份的数据量不大，不必采取双机镜像和共享磁盘阵列方式。在本设计中采用了一种新型的数据热备份方式：将需要备份的数据以日志文件的形式存储，通过TCP传输方法将文件转化为数据流由主用主控板备份到备用主控板上，实现实时备份。面向连接的TCP传输可靠且速度快，丢失文件的概率极小。
　　(2)切换延时问题
　　路由器主控系统出现故障时，要能够对用户透明地进行主备切换，就要实现系统间的无缝切换，减少切换过程中的时延并降低数据丢失率。无缝切换是一种完美的切换，包括快速切换和平滑切换两方面。快速切换意味着低延迟，平滑切换就是低的数据包丢失率，无缝切换是两者的结合，即低延迟和低丢失率。对于快速切换，要求在单板掉链之前完成切换过程，使备用主控板接替主用主控板的工作，保证路由器中的各个流程正常工作不受主控故障的影响，使网络正常运行。对于平滑切换，有两点要求：一是切换时，主备用主控板上的数据库是一致的；二是在主备用数据库一致的基础上，备用主控板启用后能在规定的时间内完成备份数据的导入。所谓规定的时间，也包含在切换的总时间内，切换时间＝发现故障时间＋启用切换时间＋故障接管时间。
　　(3)故障监测机制
　　系统中的两块主控板，经过主备协商后确定主备地位，一块为Master状态，控制整个系统；另一块为Slave状态，处于备份状态。两块主控板之间通过UDP传输心跳报文交互自身的状态数据，以识别主控的软/硬件故障。路由器正常运行时，主用和备用主控板之间定时发送keepalive报文进行心跳探测，报文内容中包含了自身的状态信息。备用主控板在定时器到期前未收到来自主用主控板的keepalive报文就认为主用主控板失效，进入主备切换，备用主控板成为新主用，自动接管原主用主控板的服务程序，继续提供服务。原主用主控板从故障中恢复或被更换后，会重新发送协商报文，与新主用主控板取得联系，成为新备用主控板，而不必再进行一次切换，节省了系统资源。
2.2 高可用性模块的设计及实现
　　在主控软件容错系统设计中，采用了两块主控板挂载八块单板。两块主控板之间通过面向无连接的UDP通信机制交互心跳数据，通过面向连接的TCP通信机制传输备份文件数据流；主控板与单板之间通过高速以太网连接。图1给出了该系统的总体结构图。