VMS Yüksek Erişilebilirlik: Failover Sunucu ve N+1 Tasarımı

Bir kayıt sunucusu düştüğünde o sunucuya bağlı bütün kameraların kaydı da durur. Operatör canlı izlemede siyah ekranı fark edene kadar geçen süre kayıp görüntüdür ve geri gelmez. Yüksek erişilebilirlik tasarımı bu riski tek kalemde değil; kayıt sunucusu failover’ı, yönetim sunucusu ve veritabanı, depolama ve ağ katmanlarında ayrı ayrı ele alır. Aşağıda hangi failover modelinin ne zaman seçileceğini, devralma sırasındaki kayıt boşluğunun nasıl hesaplanıp kapatılacağını ve tasarımın sahada nasıl test edileceğini anlatıyoruz. Platformun kendisinin seçimi VMS mi NVR mi yazısının konusu.

Tek arıza noktaları nerede

İşe bir envanterle başlanır. Kameradan izleme istemcisine kadar zincirdeki her bileşen için tek soru sorulur: bu giderse ne durur? Tipik bir kurumsal VMS’te tablo aşağı yukarı şöyle çıkar:

Bileşen	Arızanın etkisi	Yedeklilik yöntemi
Kayıt sunucusu	Bağlı kameraların kaydı durur	Failover sunucusu, çift kayıt
Yönetim sunucusu	Giriş, yapılandırma, bazı alarmlar	Küme veya üretici yedekliliği
Veritabanı (SQL)	Yönetim katmanı çalışmaz	Küme, Always On, düzenli yedek
Depolama dizisi/denetleyici	Tüm kayıtlar yazılamaz	Çift denetleyici, RAID, ikinci hedef
Kamera erişim switch’i	Bağlı kameralar görüntü vermez	Edge kayıt; switch yedekliliği sınırlı
Omurga/sunucu switch’i	Sunucu ile kameralar kopar	Stack/MLAG, çift uplink
Güç (UPS, PDU)	Kabinet tamamen durur	Çift PSU, A/B besleme

Tablonun en zayıf satırı genellikle kamera ile erişim switch’i arasıdır. Kamera tek porta bağlanır; bu katmanda fiziksel yedeklilik pratikte kurulmaz. Onun yerine kamera kendi SD kartına kayıt yapar ve bağlantı geri geldiğinde boşluk VMS’e doldurulur. Sahada en sık gördüğümüz eksik de budur: sunucu tarafı çift yapılmış, kamera tarafı hiç düşünülmemiş.

Kayıt sunucusu failover modelleri

Kurumsal VMS’ler kayıt sunucusu yedekliliğini farklı adlarla ama benzer mantıkla sunar. Milestone XProtect’in üst sürümlerinde soğuk ve sıcak yedek failover kayıt sunucusu, Genetec Security Center’da ise yedek arşivleyici listesi ve eş zamanlı yedekli arşivleme seçenekleri bulunur. Hangi seçeneğin hangi lisans düzeyinde açık olduğunu üreticinin güncel dokümantasyonundan doğrulayın; teklif aşamasında atlanan lisans kalemi sonradan tasarımı değiştirir.

Model	Çalışma biçimi	Kayıt boşluğu	Maliyet
Soğuk yedek (N+1)	Yedek sunucu arıza sonrası ilgili kameralara bağlanır	Algılama + devralma süresi	Düşük
Sıcak yedek (1+1)	Yedek, tek bir sunucunun yapılandırmasıyla hazır bekler	Daha kısa	Orta
Eş zamanlı çift kayıt	İki sunucu aynı kameraları sürekli kaydeder	Yok	Yüksek (2 kat depolama)
Sanallaştırma HA	Kayıt sunucusu VM’i başka hosta taşınır, yeniden başlar	VM açılış süresi	Altyapıya bağlı

Soğuk yedek ve N+1

N+1’de birden çok kayıt sunucusu tek bir yedeği paylaşır. Yedek normalde kayıt yapmaz; birincil sunucudan sağlık sinyali gelmediğinde onun kameralarına bağlanır ve kayda başlar. Birincil geri döndüğünde failback olur; bazı VMS’ler failover sırasında yedeğe yazılan kayıtları birincilin depolamasına taşıyıp tek bir zaman çizelgesi oluşturur, bazıları iki ayrı parça bırakır. Modelin sınırı nettir: aynı anda iki birincil düşerse yedek yalnız birini alır. Aynı kabinette güç kaybı tam olarak bu senaryodur. Bu yüzden yedek sunucu birincillerle aynı kabineti ve aynı UPS’i paylaşmamalı.

Yedek sunucu aynı kabinetteyse N+1 kâğıt üzerindedir.

Sıcak yedek

Sıcak yedekte yedek sunucu tek bir birincile atanır ve onun yapılandırmasını önceden yüklenmiş tutar. Kameralara bağlanma ve akış başlatma süresi kısalır, boşluk daralır. Giriş noktaları, kasa daireleri, üretim hattı gibi kayıt kesintisinin kabul edilmediği kameraları barındıran sunucular için doğru modeldir. Bedeli, her birincil için ayrı bir donanım ve lisanstır.

Eş zamanlı çift kayıt

İki bağımsız sunucu aynı kamerayı aynı anda kaydeder. Kamera ya iki ayrı unicast akış üretir ya da multicast kullanılır. İkinci unicast akış kameranın işlemcisine ve uplink’e ek yük bindirir; eski veya giriş seviyesi kameralarda bu yük kare düşmesi olarak geri döner. Depolama iki katına çıktığı için çift kayıt genellikle tüm sisteme değil, kritik kamera grubuna uygulanır. Ağ yükünü önceden hesaplamak için kamera ağı bant genişliği hesabı yazısındaki yöntemi kullanın.

Sanallaştırma katmanında HA

Kayıt sunucusu sanal makinede çalışıyorsa hipervizörün HA özelliği (Hyper-V Failover Cluster, vSphere HA, Proxmox HA) host arızasında VM’i başka bir hostta yeniden başlatır. Bu, VMS’in kendi failover’ının yerini tutmaz. VM açılırken ve kayıt servisi ayağa kalkarken kayıt yoktur. Hipervizör HA’sı varsayılan olarak yalnız host arızasına tepki verir; VM içinde kayıt servisinin kilitlenmesini, VM/uygulama izleme ayrıca yapılandırılmadıkça görmez. Konsolda her şey yeşilken kayıt dakikalarca durmuş olabilir. Ayrıca sürekli yüksek yazma yükü ve paylaşımlı depolama, küme tasarımına baştan girdi olmalıdır; sonradan eklenen kayıt VM’leri kümenin diğer iş yüklerini de etkiler. Küme planlamasının genel kuralları için Hyper-V Failover Cluster planlama yazısına bakın.

Yönetim sunucusu ve veritabanı yedekliliği

Yönetim sunucusu kullanıcı girişini, yetkilendirmeyi, kamera yapılandırmasını ve kural motorunu taşır. Kurumsal VMS’lerin çoğunda kayıt sunucuları yapılandırmayı yerel önbellekte tuttuğu için yönetim sunucusu durduğunda kayıt sürer. Ama operatörler yeni oturum açamayabilir, alarm iş akışları ve merkezi olay kuralları çalışmayabilir. Gece vardiyasında istemcisini yeniden başlatan operatör sisteme bir daha giremez. Bu davranış üreticiden üreticiye değişir; tasarım aşamasında kendi sisteminizde test edin ve sonucu yazın.

Yedeklilik seçenekleri üç gruba ayrılır:

• İşletim sistemi kümesi: Yönetim servisi Windows Server Failover Cluster üzerinde rol olarak çalıştırılır. Üreticinin bu yapıyı hangi sürüm ve lisansta desteklediğini doğrulayın.
• Üreticinin yerleşik yedekliliği: Bazı platformlar yönetim/dizin rolü için kendi failover listesini sunar, küme altyapısı istemez.
• Veritabanı yedekliliği: Yapılandırma ve olay veritabanı genellikle Microsoft SQL Server üzerindedir. Kritik kurulumlarda SQL Server Always On veya Failover Cluster Instance kullanılabilir; asgari şart düzenli tam yedek ve denenmiş geri yüklemedir. Always On Availability Groups yapısı için Microsoft dokümantasyonu başlangıç noktasıdır.

Veritabanının küçük olması onu önemsiz yapmaz. Kamera listesi, kullanıcı rolleri, kayıt kuralları ve saklama ayarları oradadır. Bu veritabanı giderse video dosyaları diskte dursa bile sistemi yeniden kurmak günler sürer. Sahada sık rastlanan durum: SQL Express ile kurulmuş, yedeği hiç alınmamış, disk dolunca servis duran bir yönetim sunucusu.

Failover sırasında kayıt boşluğu

Soğuk veya sıcak yedekte boşluk kaçınılmazdır; mesele boyutudur. Boşluk dört parçadan oluşur: sağlık kontrolü aralığı ve failover için gereken ardışık başarısızlık sayısı, yedek sunucunun yapılandırmayı yüklemesi, kameralarla RTSP oturumlarının kurulması ve ilk I-frame’in gelmesi. Sonuncusu çoğu hesapta unutulur. Kamera akışı I-frame gelmeden çözülemez; uzun GOP ayarı boşluğu birkaç saniye uzatır.

Örnek hesap: Sağlık kontrolü 10 saniyede bir yapılıyor ve üç ardışık başarısızlıkta failover tetikleniyorsa algılama 30 saniyeye kadar sürer. Yedek sunucunun 60 kameraya bağlanması 20 saniye, GOP uzunluğu 4 saniye ise toplam boşluk bir dakikaya yaklaşır. Sağlık kontrolünü sıklaştırmak süreyi kısaltır; ama çok agresif ayar kısa ağ dalgalanmalarında gereksiz failover tetikler ve her gereksiz devralma kendi boşluğunu üretir. Denge test edilerek bulunur.

Boşluğu kapatmanın iki yolu var:

1. Eş zamanlı çift kayıt: Boşluk hiç oluşmaz; bedeli depolama ve ağdadır.
2. Edge kayıt ile geri doldurma: Kamera SD karta sürekli ya da bağlantı kesildiğinde kayıt yapar; VMS bağlantı dönünce eksik aralığı kameradan çeker. Hem VMS’in hem kameranın bunu desteklemesi gerekir; ayrıntılar edge kayıt ve ANR yazısında.

Depolama ve ağ yedekliliği

Depolama tek noktaysa kayıt sunucusu failover’ı anlamını yitirir. Yedek sunucunun nereye yazacağı tasarımın merkezindedir. Soğuk yedek modelde yedek sunucu çoğunlukla kendi yerel depolamasına yazar; o zaman kapasitesi, devralacağı en büyük birincilin en uzun beklenen failover süresi boyunca üreteceği veriyi karşılamalıdır. Birinciller paylaşımlı bir SAN kullanıyorsa SAN çift denetleyicili olmalı ve sunuculara çoklu yol (multipath) ile bağlanmalıdır.

Ağ tarafında kayıt sunucuları kamera VLAN’ına ve depolama ağına en az iki fiziksel bağlantıyla, mümkünse iki ayrı switch’e bağlanır. Çekirdek switch’lerin stack veya MLAG yapısında olması tek switch arızasında sunucunun erişimini korur. İki NIC’i aynı switch’e takmak yalnız kablo arızasına karşı korur. Depolama bağlantı türleri ve çoklu yol tasarımı iSCSI, NAS ve DAS karşılaştırması yazısında ayrıntılı anlatılıyor.

Güçte de aynı mantık geçerli. Çift PSU’lu sunucunun her PSU’su ayrı PDU’ya, mümkünse ayrı UPS’e bağlanmalı. İki PSU aynı PDU’daysa yalnız PSU arızasına karşı korunursunuz. Besleme gidince ikisi birlikte gider.

Failover test prosedürü

Kurumsal kamera sistemlerinde yüksek erişilebilirlik test edilene kadar bir varsayımdır. Aşağıdaki sıra bakım penceresinde, kayıt yapan canlı bir sistemde uygulanabilir:

1. Başlangıç durumunu kaydedin: Hangi kameranın hangi sunucuda kaydedildiğini, sunucu saatlerinin NTP ile senkron olduğunu ve tüm kameraların kayıtta olduğunu belgeleyin.
2. Görünür bir zaman referansı koyun: Test kamerasının görüş alanına saniye gösteren bir ekran veya saat yerleştirin. Boşluğu görüntü üzerinden ölçmek, log zaman damgalarından daha güvenilirdir.
3. Arızayı gerçekçi oluşturun: Kayıt servisini durdurmak, sunucunun ağ kablosunu çekmek ve gücü kesmek farklı algılama yollarını tetikler. En az ikisini deneyin; yalnız servis durdurmak en kolay senaryoyu test eder.
4. Devralmayı ölçün: Failover’ın tetiklendiği anı, yedek sunucuda ilk karenin kaydedildiği anı ve canlı izlemenin geri geldiği anı not edin.
5. Failover sırasında işlevleri deneyin: Canlı izleme, oynatma, alarm ve dışa aktarmayı yedek sunucu üzerindeyken çalıştırın.
6. Failback’i test edin: Birincili geri getirin; kayıtların birleşip birleşmediğine, zaman çizelgesinde çakışma ya da ikinci bir boşluk olup olmadığına bakın. Failback boşluğu en sık atlanan kalemdir.
7. Geri doldurmayı doğrulayın: Edge kayıt kullanılıyorsa boşluğun kameradan doldurulduğunu oynatarak teyit edin.
8. Sonucu belgeleyin: Ölçülen boşluğu beklenen değerle karşılaştırın ve test tutanağına ekleyin.

Aynı adımlar proje kabulünde de kullanılabilir; kabul testinin genel çerçevesi kamera projesi kabul testi yazısında.

Tasarım kontrol listesi

• Her kamera grubu için kabul edilebilir kayıt boşluğu süresi yazılı olarak tanımlandı.
• Kritik kameralar için çift kayıt veya edge kayıt ile geri doldurma kararı verildi.
• N+1 yedek sunucu, birincillerle aynı kabineti ve UPS’i paylaşmıyor.
• Yedek sunucunun depolama kapasitesi en uzun beklenen failover süresine göre hesaplandı.
• Yönetim sunucusu kesintisinde kaydın sürdüğü test edildi, etkilenen işlevler belgelendi.
• VMS veritabanı için yedekleme ve geri yükleme prosedürü fiilen denendi.
• Depolama çift denetleyicili ve çoklu yol ile bağlı ya da yedek sunucu bağımsız depolamaya yazıyor.
• Sunucular iki switch’e ve iki ayrı güç beslemesine bağlı.
• Failover ve failback testi kabulde yapıldı, yıllık tekrar takvime alındı.
• Failover olayları izleme sistemine alarm olarak düşüyor; sessiz failover aylarca fark edilmeden sürmüyor.

Son madde küçük görünür ama değildir. Fark edilmeyen failover, ikinci arızada yedeksiz kalmak demektir. Kayıt ve yönetim katmanı yedekliliğinin tasarımı ve testi için NVR/VMS yedeklilik ve yüksek erişilebilirlik hizmet sayfasında kapsamı bulabilirsiniz.

Sık sorulan sorular

Failover kayıt sunucusu devreye girerken kayıt kaybı olur mu?

Soğuk ve sıcak yedek modellerde olur. Arızanın algılanması ile yedek sunucunun kameralara bağlanması arasında bir boşluk kalır; bu pencere birkaç saniyeden birkaç dakikaya uzayabilir. Boşluğu kapatmanın iki yolu var: eş zamanlı çift kayıt ya da kameranın SD kartındaki kaydın (edge kayıt) VMS’e geri doldurulması.

N+1 ile 1+1 failover arasındaki fark nedir?

1+1 modelinde her kayıt sunucusunun kendine ait bir yedeği vardır. N+1 modelinde birden çok kayıt sunucusu tek bir yedeği paylaşır. N+1 daha az donanım ister, ama aynı anda iki sunucu düşerse yalnız biri devralınır.

Yönetim sunucusu durduğunda kayıt da durur mu?

Çoğu kurumsal VMS’te durmaz; kayıt sunucuları yapılandırmayı yerel önbellekte tutar ve kayda devam eder. Etkilenen taraf istemci girişi, yapılandırma değişikliği ve bazı alarm işlevleridir. Davranış üreticiye göre değişir; kendi sisteminizde test edip belgeleyin.

Failover testi ne sıklıkla yapılmalı?

Kurulumda kabul testinin parçası olarak bir kez, ardından en az yılda bir. VMS ana sürüm yükseltmesi, sunucu donanımı değişimi veya ağ topolojisi değişikliğinden sonra da tekrarlanmalı. Her testte ölçülen kayıt boşluğu süresini tutanağa yazın.