HBase可以支持百TB数据规模、数百万QPS压力下的毫秒响应，适用于大数据背景下的风控和推荐等在线场景。阿里云HBase服务了多家金融、广告、媒体类业务中的风控和推荐，持续的在高可用、低延迟、低成本方向上进行优化。目前单集群承诺可用性99.9%，SSD机型上可以做到请求毛刺99.5% < 50ms，以及新上线的表内冷热分离可以加速热数据访问性能、减少冷数据存储成本并且在API上对用户透明。为了进一步满足客户在可用性以及低延迟上的诉求，阿里云HBase将提供以主备架构为平台，以冗余、并发、隔离、降级等全方位服务为支撑的高可用解决方案，目标提供99.99%可用性、99.9%请求小于50ms。目前高可用项目一期已经完成，本文将介绍主备架构以及一键切换能力。

HBase单集群可用性

一个HBase系统包含了Zookeeper、HDFS、HBase三个组件。其中Zookeeper在数据和计算上都进行了冗余，且是一个可自愈系统，单节点故障可在秒级恢复。HBase对Zookeeper是轻依赖，一般不会出现大问题。HDFS是一个Master-Slave模式的分布式文件系统，存在中心节点Namenode，Namenode支持以HA方式部署，单Namenode故障可秒级恢复，在两个NN都宕机的情况下依然可以重启自愈，但恢复时间取决于回放日志大小，在分钟级别。数据多副本冗余，Datanode单节点宕机不中断服务。HBase也是一个Master-Slave模式的分布式系统，其中HMaster不参与读写路径，因此HMaster宕机不中断服务，但长期宕机会影响负载均衡、Failover等能力，HMaster支持HA方式部署。HBase还有一个单点是Meta服务，它随机选择一个RegionServer节点作为宿主，如果meta服务不可用则所有请求路由会失效，导致整体不可用。由于客户端有路由缓存，meta服务停机不会立即造成不可用。HBase数据分片使用Range Partition的方式，每一个Region由一个RegionServer服务，即HBase的计算服务是0冗余，因此当RegionServer故障时多个分片不可服务。HBase Failover机制可以自愈，单RegionServer宕机恢复时间在分钟级，多个RegionServer宕机恢复时间在10分钟~1小时时间不等。

单集群HBase高可用部署

组件	角色	高可用机制	故障影响
Zookeeper		数据、计算冗余	单点宕机秒级服务
HDFS	Namenode	双节点HA部署	单点宕机秒级恢复，双节点宕机恢复时间在分钟级
	Datanode	数据、计算冗余	单点宕机不中断服务
HBase	HMaster	双节点HA部署	不影响数据读写
	Meta服务	单点，可自愈	影响全局不可用
	Region	单点，可自愈	局部不可用，单点分钟级恢复，多点恢复时间可达小时级别

内核或运行环境Bug造成HBase自愈不可控

case1 某金融公司自建HBase因ECS重启导致WAL数据破坏，HBase Failover无法进行，集群不可用无法自愈
case2 某视频公司自建HBase集群Meta数据陷入不一致无法恢复，造成分区无法上线，部分表不可用无法自愈
case3 某媒体公司IO压力较大经常触发空间泄漏Bug，导致空间不足集群宕机无法自愈 
以上是真实的案例，Bug是不可避免的，未知Bug处理考验内核团队的技术实力，需要具备外科手术的能力，但其处理时间是不可预期的。

云HBase主备高可用方案

故障恢复时间可预知的高可用系统，故障发生时可以在分钟级别恢复读写能力。实现方案选择经典的主备模式，也支持主主模式。备集群部署在同城的不同机房内，在资源层面完全隔离，软件可部署不同的版本，最大程度保持两个集群的独立性。从经验数据出发，单机房故障恢复时间的上限为1个小时，在这1个小时内另一个机房也发生故障的概率非常低，有两种情况除外：第一种是城市级灾难，这个需要异地容灾方案；第二种是故障源于业务流量增长，系统过载，此时的解决方案是限流或者扩容。这两种情况不在本文设计考虑之内。系统提供一键切换能力，不需要客户端重启，每一个客户端在收到切换信号时会自动完成连接的切换，客户端的切换是并发进行的，所有客户端可以在10秒内完成切换。

高可用方案可以独立提供给自建使用，支持自建和云HBase混合主备。如果你已经拥有一个HBase集群，可以方便的弹出一个冗余备集群，备集群的建表和数据复制都是自动完成。当故障发生时，可以在控制台切换流量到备库，待主集群恢复后再把流量切回。云HBase高可用服务是一个独立的服务，可以看做是基于HBase之上的一个中间件，支持混合云是我们的设计原则，云上同VPC下的自建HBase、EMR HBase、云HBase可以方便的进行主备混合使用，对于IDC自建HBase或者它云上的HBase则需要用户自行解决网络联通。

简单易用，HBase客户端从普通模式转化为高可用模式不需要修改代码。云HBase会提供一个插件集成到HBase客户端，并且为高可用提供一个新的Endpoint。这个Endpoint就是简单的 ip+port，用来替换单集群模式下的Zookeeper地址。用户可以选择核心表进行高可用建设，非核心表依然保持单集群来降低成本。对于高可用的表，可以通过高可用客户端进行创建、修改和删除，控制台会保证主备集群元数据的一致性。目前我们支持0.96、0.98、1.x、2.x、云HBase增强版等多个版本。

	0.96	1.x	2.x	云增强版
0.96	YES	NO	NO	YES
1.x	NO	YES	YES	YES
2.x	NO	YES	YES	YES
云增强版	YES	YES	YES	YES

版本主备兼容性列表

控制台提供一键切换不需要重启客户端，提供AliHBaseConnector作为原生HBase客户端的一个插件，插件内部会封装主备切换逻辑。客户端启动时会从BDS获取主备地址信息同时建立一个高可用的命令通道，控制台发出的切换命令通过该通道到达客户端，客户端自动的断开旧链接，打开备库链接并重试请求。

综上所述，云HBase主备高可用架构如下图：

• 数据同步

云HBase并没有采用开源的Replication方案，主要的原因包括：
HBase Replication抗热点能力差，每台机器只能处理自己的日志
HBase Replication Failover的设计存在缺陷，导致一旦RS宕机就会出现长时间同步延迟
HBase Replication与内核争抢资源，无法独立扩容
HBase Replication的管理依赖表属性配置，配置项很多，在混合云模式下很难维护

BDS Replication是一个独立的数据复制服务，提供延迟百毫秒级别的双向数据同步能力。BDS Replication可以独立的扩容缩容，它不需要磁盘，可以更好的管理成本。

• 主备一致性

云HBase主备采用的是异步复制，提供基于版本的最终一致性。写入主库的一行数据在同步到备库时，会保持和主库一致的版本号。云HBase高可用目前仅支持最终一致性切换，在切换时主备可能存在秒级的不一致。对于风控、推荐、画像类的应用，最终一致性是满足需求的。如果您使用了CheckAndPut、CheckAndDelete这样的接口则会出现一致性问题，此种情况请联系云HBase提供技术咨询。

• 配置服务

配置服务有两个作用，存储主备集群的地址信息和通知切换命令。高可用客户端在启动时会访问该服务加载主备集群地址信息。通过控制台执行的切换命令也会由配置服务通知所有的客户端。配置服务本身采用了冗余来保障存储和消息的高可用。

• 监控

高可用服务可以实时显示主备集群的状态。主、备角色在初始配置时确定不能更改，但状态"active/standby"是可变化的，处于"active"状态的集群是目前客户端访问的集群。提供主备集群双向同步链路的实时延迟展示，同时提供客户端链接数量监控，使得用户可以准确的判断切换进度。

云HBase高可用使用方式

如果您已经使用了云HBase并且希望增加一个备库，只需如下步骤
1 购买一个BDS集群用于管理主备
2 购买一个空的云HBase集群作为备库
3 输入主备两个集群的实例ID创建高可用访问地址
4 开始您的高可用之旅

如果您使用的是ECS自建集群或者EMR HBase，希望增加一个备库，只需如下步骤

1 购买一个BDS集群用于管理主备
2 购买一个空的云HBase集群作为备库
3 配置域名映射和安全组（会提供相关的服务一键解决）
4 输入主备两个集群的地址信息创建高可用访问地址
5 开始您的高可用之旅

具体的操作流程请参考手册：https://help.aliyun.com/document_detail/140940.html?spm=a2c4g.11186623.6.719.30954117Tg56BR