1. 课程导入

在企业数据中心里，服务器硬件故障、固件异常、链路中断、操作系统崩溃乃至机房级断电，都不是“是否会发生”的问题，而是“何时发生”的问题。HPE ProLiant 服务器围绕这一现实，构建了一套从部件冗余、固件自愈、集群协同到跨站点容灾的完整业务连续性体系。本课程的目标，不是让学员记住一堆功能名称，而是建立一条清晰的判断链：什么故障会导致业务中断、系统在哪一层拦截它、拦截失败时如何切换、切换后如何验证业务真的恢复。

一、学习目标：从“知道功能”到“能判断切换是否成功”

完成本课程后，学员应能达成四个层次的能力。第一层是识别：能区分高可用（HA）、容灾（DR）、故障切换（Failover）、故障恢复（Failback）与业务连续性（BC）这几个常被混用的概念。第二层是定位：面对一次业务中断，能判断故障发生在电源、内存、存储链路、网卡、固件、操作系统还是集群仲裁层。第三层是操作：能配置并触发 HPE ProLiant 相关的冗余与切换机制，例如 iLO 联合、HPE Serviceguard、Microsoft 故障转移集群、HPE StoreVirtual/StoreOnce 复制等。第四层是验证：能通过日志、心跳、仲裁状态、RTO/RPO 实测值判断切换是否真正达成业务目标，而不是“看起来切过去了”。

二、核心概念：把“连续性”拆成可度量的指标

业务连续性讨论必须落到两个硬指标上：RTO（恢复时间目标）和RPO（恢复点目标）。RTO 回答“业务允许中断多久”，RPO 回答“允许丢失多少数据”。例如某交易系统要求 RTO ≤ 5 分钟、RPO = 0，那么同步复制加自动故障切换是必要条件；若某报表系统 RTO ≤ 4 小时、RPO ≤ 15 分钟，则异步复制加人工确认切换即可满足。脱离 RTO/RPO 谈“高可用”是没有工程意义的。

在此基础上，HPE ProLiant 的连续性能力可分为四个层次：部件级冗余（冗余电源、ECC 内存、RAID、多路径）、系统级自愈（iLO 看门狗、固件回滚、内存页隔离）、集群级切换（Serviceguard、Windows 故障转移集群、心跳与仲裁）、站点级容灾（存储复制、跨站点集群、DNS/负载均衡引流）。层次越低，切换越快、影响越小；层次越高，覆盖的故障范围越大，但切换决策越复杂。

三、整体框架：一条从故障到恢复的决策链

上图给出了本课程的整体框架。左侧是六类典型故障来源，中间是四层防护能力，右侧是切换结果的判断维度。需要特别强调的是，四层防护不是并列关系，而是递进关系：部件级冗余先拦截电源和磁盘故障；如果故障穿透到系统层，iLO 看门狗和固件回滚接手；如果系统层也无法自愈，集群层通过心跳检测和仲裁机制触发节点切换；如果整个站点不可用，才进入站点级容灾。理解这条递进链，才能在真实故障中快速判断“现在应该在哪一层介入”。

以一台运行数据库的 HPE ProLiant DL380 Gen10 为例。假设其配置为双电源、RAID 1+0、双口 10GbE 网卡、iLO 5 高级许可，并加入两节点 Windows 故障转移集群。当一路电源失效时，另一路电源继续供电，业务无感知，这属于部件级冗余。当某条内存出现可纠正错误时，系统通过 ECC 隔离该页，业务继续运行，这属于系统级自愈。当操作系统因驱动异常蓝屏时，集群心跳超时，仲裁磁盘判定主节点失联，备用节点在约 90 秒内接管共享存储和虚拟 IP，这属于集群级切换。若整个机房断电，则需依赖异地存储复制和跨站点集群，在分钟到小时级完成站点切换。

四、贯穿全课程的关键判断原则

在后续章节中，所有配置和操作都会围绕三条原则展开。第一，先定义 RTO/RPO，再选择技术。没有指标约束的高可用配置，往往在真实切换时才发现恢复时间远超预期。第二，切换必须可验证。每次配置完成后，都应通过模拟故障（如拔电源、断心跳、强制蓝屏）实测切换时间，并记录事件日志中的关键时间戳。第三，回切与切换同等重要。原节点修复后能否安全回切、回切过程中数据是否一致，是业务连续性闭环的最后一环，也是实际运维中最容易出问题的环节。

接下来的章节将依次展开：iLO 与固件层的自愈机制、RAID 与多路径的部件级冗余、集群心跳与仲裁的配置要点、存储复制与站点切换的实现方式，以及切换后的验证与回切流程。每一部分都会给出可操作的配置示例、关键参数和结果判断依据，帮助学员把“业务连续性”从概念转化为可执行、可验证的工程能力。