CN101778091B - 可扩充式安全服务器交替系统 - Google Patents

Abstract

本发明是一种可扩充式安全服务器交替系统，是提供多个服务器群组、一后端储存控制模块及一安全后端储存单元，其中，各服务器群组具有一群组控制器及复数台主机，该群组控制器是连接所属主机以传达命令、传送数据及收集各主机的工作负载信息，各群组控制器借着专属交联线路建立联系，当任一服务器群组所提供的服务器服务发生故障或超过一负载容忍边界时，其群组控制器对其它服务器群组发出请求协助的要求，以转移至其它服务器群组继续运行。

Description

可扩充式安全服务器交替系统

技术领域

本发明是关于一种服务器系统架构，尤指一种可提高服务器安全性、可靠度与可扩充式安全服务器交替系统。

背景技术

客户-服务器作业(Client-Server Model)是目前网际网络应用的最主要模式，举凡网页流览(WWW Browsing)、网格处理(Web Based Processing)、网络文件传输系统(Network File System)等应用，均以客户-服务器的作业模式运行。

随着社会文明的数字化及网络化，各项攸关民生、文化、教育、以及商业交易的活动，也已通过此种运作模式而普及于数字网络的世界中，此一现象同时也显示了服务器系统对人类文明的重要及不可替代性正与日俱增中。若网际网络上的服务器系统产生故障而无法提供服务，或是遭到破坏而出现停止服务、数据毁损/外泄等情况，其严重性将可瘫痪整个文明社会的正常运作。

鉴于客户-服务器作业模式的重要，各种提高服务器系统的安全性(Security)、可靠性(Reliability)、以及容错性(Fault Tolerance)的技术及产品如雨后春笋般的出现。但各项技术/产品的着眼点及功效均着重于单一方面，提出针对特定一种目的的改善技术，而其主要技术则不外乎以资源分散(Distribution)与冗置(Redundancy)的方式，确保重要信息及处理引擎皆同时具有两个以上的设置，使服务器系统在遇上硬件故障或入侵破坏时，能具有备份资源而可立即替补，期使能将损失降至最低。

基于冗置技术与系统的负载分散，可以更进一步应用负载平衡(workloadbalanced)来提升系统效能。有关此类的容错系统、提升系统可靠度、以及拓展负载平衡以提升系统效能的技术颇多，例如美国公告第7,111,115号专利案“Computer system and process for transferring multiple high bandwidth streamsof data between multiple storage units and multiple applications in a scalable andreliable manner”以及美国公告第7,203,944号专利案“Migrating virtual machinesamong computer systems to balance load caused by virtual machines”，稍后将会针对此两件专利有更进一步的技术介绍。

在系统安全方面，主要是利用层层的网络防火墙、以及防间碟/防毒软件的进驻以防止服务器系统遭到恶意入侵及破坏。此类有关服务器系统安全的技术，包含软件技术实现的安全内容管理(SCM)，以及硬件技术相关的入侵防御系统(IPS)、防火墙(FW)、入侵检测系统(IDS)与新兴的整合式威胁管理(United Threat Management，UTM)等安全技术。其中，以硬件技术实现的整合式威胁管理技术为主流，例如资安相关产业大厂Juniper公司推出的SSG与NetScreen系列产品即以统合状态防火墙、IPSec VPN、IPS、防毒(如：防间谍软件、防广告软件、防钓鱼攻击)、防垃圾邮件和Web过滤等安全防护功能的方式同时针对混合攻击的多样变化进行检测扫描，以有效遏止此种威胁的入侵。

在服务器系统的容错技术方面，主要是将冗置的重要信息分散于不同的冗置储存装置之中，当信息遗失时则可以利用冗置的信息恢复原本状态。

例如前述美国公告第7,111,115号专利在储存数据的处理上，是将数据分割成区段(segments)的形式，每个区段均会额外的复制相同的一份，且区段将随机分散并储存于不同的储存单元里，并利用数据库形式的区段管理机制纪录所有区段分散的情况、冗置区段的分布以及储存单元的状况，管理机制通过不断发送信息与储存单元相互沟通判断储存单元是否发生故障。而当储存单元故障发生时，管理机制可以利用储存在不同储存单元的冗置区段，将因储存单元故障所造成的数据遗失加以恢复。当使用者存取数据时，系统可找到分散在不同储存单元中最短回应序列提供使用者存取。此美国专利通过数据冗置以及数据分散的方式，达到系统容错并更进一步提升效能。

而前述7,203,944美国专利主要针对服务器系统的效能提升，是利用多处理引擎配合虚拟机器的系统软件技术，使处理引擎可以同时执行一个至多个虚拟机器，且虚拟机器系统软件可以使虚拟机器去除在处理引擎执行的相依性，并通过一个共享的储存装置储存虚拟机器以达成搬迁虚拟机器在不同处理引擎上执行，并配合一系统负载评估机制，评估处理各引擎之间目前的工作负载，将虚拟机器搬迁至负载较小的处理引擎上执行，使处理引擎之间的工作负载能平均分散，达到负载平衡进而提升效能。

如同前述介绍的美国专利，目前所提出针对各式服务器系统的安全性/可靠度/容错等技术均只是针对单一特定目的而研发，并未有单一的专门技术，能同时满足多项目的，并能结合系统的架构特性，以动态的服务器服务引擎的快速置换，达到服务器群组的工作负载平衡(Workload Balance)，充分发挥硬件环境的处理效能。

虽然整合式威胁管理(UTM)在资安市场迅速发展并且受到资安各界肯定，各家资安厂商纷纷号称其产品具备UTM整合式的安全解决方案。然而，探其架构不外乎是迭床架屋式的单纯相加概念，换言之，是将许多不同功能的单元进行串接，在不同功能单元之间不断的重复拆解封包、组装封包动作，如此拼凑式的整合服务将无法使设备发挥应有的效能，并且将会面临整合性管理的挑战。

发明内容

本发明的目的是提供一种可扩充式安全服务器交替系统，针对服务器系的安全防护、服务器系统的容错技术、以及服务器系统的效能提升及负载平衡等各方面加以整合。

本发明的可扩充式安全服务器交替系统是包含有多个服务器群组、一后端储存控制模块及一安全后端储存单元；

各服务器群组内具有多个主机及一群组控制器；

其中，各主机是以虚拟机器提供至少一种服务器服务；群组控制器是通过专线连接各主机以传达命令、传送数据及收集各主机的工作负载信息，其中，各群组控制器借着专属交联线路建立联系，使任一服务器群组所提供的服务器服务可转移至其它服务器群组继续运行；

前述后端储存控制模块连接于前述安全后端储存单元与前述各服务器群组之间，用以控制各群组控制器对该安全后端储存单元的文件存取。

前述各群组控制器可进一步包含有：

一通讯单元，是供连接至前述专属交联线路，使群组控制器通过专属交联线路彼此沟通并交换信息；

一工作负载监视单元，是负责接收从主机端传送出来的工作负载信息及网络流量负载信息，并且判断是否逼近或超过一预设的负载容忍边界；

一排程单元，其内部储存服务器暴露时间、主机负载上限等排程相关的参数设定，并且负责根据设定已排定各主机所负责的服务器服务，安排各主机周期性地工作切换、时间与周期计算而提供服务器的服务排程工作，且于前述工作负载监视单元判断有主机逼近或超过一预设的负载容忍边界，接收工作负载监视单元发出的一中断要求，以更改排程参数，将该逼近或超过预设负载容忍边界的主机从排程清单中暂时剔除，待该主机负载恢复正常后才重新加入排程清单；

一核心控制单元，是依据排程单元提供的排程信息，对各主机下达各项工作命令、服务要求进行派送，将服务要求转送给后端的主机进行处理，又核心控制单元更进一步连接有：一后端储存接口、多个主机切换模块、一通讯模块、一公共网络接口及一终端控制模块。

前述各主机可包含有一基础硬件单元、一主机作业系统、一虚拟机器监视器与一主机控制模块。

该虚拟机器监视器是建立出多个虚拟机器，各虚拟机器提供单一种服务器服务且彼此相互独立并与主机作业系统相隔绝，而主机控制模块将通过该虚拟机器监视器以设定各虚拟机器的虚拟硬件环境并控制各虚拟机器的启动、关闭、快照、及还原并验证服务器文件系统的完整性。

本发明利用具延展特性(Scalability)的硬件架构，结合嵌入式系统技术、虚拟机器的系统软件技术、网络协定功能、以及分散式处理等技术，利用一群主机(Host)资源，通过特定的交连及控制协调机制，使有限的硬件能满足大量的服务器系统的处理需求，在负载平衡的原则下有效的发挥所有的处理能力，同时利用冗置的理念，使系统故障时不致导致服务的错误或中断，达到容错理论中优雅下降(Grace Degradation)的目的。此外，本发明还提出入侵排除(Intrusion Elimination)的概念，能在与目前所有入侵检测(Intrusion Detection)及入侵预防(Intrusion Prevention)技术相容的情况下，在产生即使遭遇系统入侵，也能在极短时间内还原正常(Recovery)，排除入侵的功能。

附图说明

图1是本发明的系统架构图。

图2是本发明一服务器群组(server pool)的架构图。

图3是本发明一主机(Host)的架构图。

图4是本发明的服务器群组中的主机的运行状态机。

图5是本发明数据更新流程图。

附图标号：

10服务器群组

110群组控制器          111通讯单元

112工作负载监视单元    113排程单元

114核心控制单元        115后端储存接口

116主机切换模块    117通讯模块

118公共网络接口    119终端控制模块

120主机            121基础硬件单元

122主机作业系统    123虚拟机器监视器

124虚拟机器        125主机控制模块

20后端储存控制模块 30安全后端储存单元

40专属交联线路

具体实施方式

请参考图1所示，本发明的系统主要包含多个服务器群组(Server Pool)10、一后端储存控制模块20及一安全后端储存单元30。

各服务器群组10内包含一作为核心的群组控制器(Pool Controller)110以及多个主机(HOST)120，该群组控制器110通过专线连接各主机120以传达命令、传送数据及收集来自一公共网络接口118的流量负载与收集各主机120的工作负载(Workload)信息，其中，各群组控制器110借着专属交联线路(Interconnection Network)40建立联系，故可扩充连结多个服务器群组10让彼此能够沟通相互支援，该专属交联线路40可由多种拓扑形式所实现，如总线网络拓扑、星状网络拓扑、环状网络拓扑或混合式网络拓扑等形式，或是以其他网络技术所完成；各主机120内建构有一个或多个不同的服务器，提供一种至多种不同或相同的服务器服务，群组控制器110平时根据设定以排定各主机120所负责的服务器服务，并安排各主机120周期性的作工作切换，使各服务器能通过在主机120间的切换而达到系统还原(system recovery)的排除入侵效果，而当其中一服务器群组10内的服务器发生故障或超过负载容忍边界时，能通过群组控制器110的管控将服务器工作负载转移至同群组其它主机120负担，亦可利用群组控制器110通过该专属交联线路40与其它群组控制器110沟通，并且可要求其它服务器群组10提供协助。

该后端储存控制模块20，是连接于安全后端储存单元30与各服务器群组之间10，用以控制各群组控制器110对安全后端储存单元30的文件存取；在后端储存控制模块20与安全后端储存单元30两者之间可利用一个或多个总线(Bus)连结，或是通过网络接口互相连结如NAS(Network Attached Storage)、NFS(Network File System)、SAN(Storage Area Network)等技术实现。而该后端储存控制模块20可以利用现有技术的硬件元件(hardware component)或客制逻辑电路、电脑硬件接口卡或以软件的方式实现，设置于安全后端储存单元30之中或独立于安全后端储存单元30外。

该安全后端储存单元(Secure Backend Storage)30可为各种形式的储存架构(storage architecture)，是连接前述后端储存控制模块20且储存着每一服务器群组10所各自拥有的服务器数据，当服务器群组10所属的群组控制器110欲要求存取该安全后端储存单元30的文件时，必须经由后端储存控制模块20确认发出要求的群组控制器110，决定文件是否属于要求存取的群组控制器110所拥有的数据，而此一认证机制可以随着任一服务器群组10必须转移到其他伺服群组10接手工作时，同时获取该安全后端储存单元30的认证，以允许存取转出的原服务器群组10其服务器资源。

请参考图2所示，为前述服务器群组(Server Pool)110的细部架构图，该群组控制器110可根据各主机120的工作负载状态及使用者事先设定的一服务器暴露时间以决定需由哪一主机120执行服务器服务及上线、交替、还原(Recovery)时机，群组控制器110的内部主要包含一通讯单元111、一工作负载监视单元(Workload Monitor)112、一排程单元(Schedule Component)113以及一核心控制单元(Control Kernel)114，而核心控制单元114更进一步连接多个模块或接口，包含有：

一后端储存接口(backend storage interface)115，是与前述后端储存控制模块20连接；

多个主机切换模块(host switch module)116，是分别与不同的主机120连接以传输数据及指令；

一通讯模块(communication module)117，是连接前述专属交联线路40及通讯单元111；

一公共网络接口(public network interface)118，是供连接至公共网络(Internet)，为一具有TCP/IP通讯能力的网络实体连线接口，接收客户端(client)的服务要求(request)，并将接收到的服务要求传递给核心控制单元114进行服务分配；

一终端控制模块(console port module)119，是包含如JTAG、USB、RS232或PCI接口以作为一管理者(administrator)与群组控制器110之间的沟通，管理者可以通过此接口与主机120连线而修改参数，例如设定一服务器暴露时间。

前述通讯单元111为电脑之间的沟通控制元件，是供连接至前述专属交联线路40，包含一组连接其他电脑协调/交换信息的软硬件接口，以允许任一电脑可以通过通讯单元(11)与其它电脑进行通讯、状态监测与支援呼叫(Callfor help，CFH)，使群组控制器110能通过专属交联线路40彼此沟通并交换信息，协调各服务器群组10间的服务器切换与信息传递。

前述工作负载监视单元112为一包含软件程式及接收信息装置的处理机制，负责接收从主机120端传送出来的工作负载信息，并且判断是否逼近(或超过)一预设的负载容忍边界(boundary)，如果是则对排程单元113发出中断要求(Interrupt Request)，并且要求更改排程参数，将该主机120从排程清单中暂时剔除，待主机120负载恢复正常后才重新加入排程清单。

前述排程单元113为一包含排程逻辑及相关数据结构的运算机制，其内部储存时间等排程相关的参数设定，并且负责时间与周期计算而提供服务器的服务排程工作。

前述核心控制单元114则依据排程单元113提供的排程信息，对各主机下达各项工作命令、服务要求进行派送，将服务要求转送(forward)给后端的服务器进行处理。

请参阅图3所示，是前述主机120的架构图，是利用虚拟机器(VirtualMachine)技术而建构出多个服务器的环境，各主机120是具有TCP/IP通讯能力的网络实体连线接口，以传送服务要求的处理回应(response)给客户端，各主机120包含有：

一基础硬件单元121，是包括中央处理器(CPU)、存储器(Memory)、输出/入设备及本地储存装置(Local Storage)，该本地储存装置可以为任何形式的储存装置，用以提供主机120上虚拟机器使用、备援、暂存等一切用途的空间；

一主机作业系统(host OS)122，是安装于主机120内部，可以是Linux、Windows等任何常见的作业系统；

一虚拟机器监视器123，为虚拟机器的控制管理程式，常见的有VMWare、Virtualbox等，不同于Java Virtual Machine(JVM)仅提供Java程式的执行环境，本发明的虚拟机器监视器123可支援的模拟环境包括Unix-like、Windows等作业系统，可建立出多个虚拟机器124，通过虚拟机器124间具备相互独立且与主机作业系统122隔绝的特性，令各别虚拟机器124提供单一服务器(server)服务，目的在于使服务环境单纯容易管理，同时不易因为其中一服务器服务出现故障时，影响其他服务的运作，在功能上负责提供虚拟机器124与主机120的沟通接口，并设定虚拟机器124的虚拟硬件环境(Memory、Disk、Network等)，并按照周期或依管理者需求，可控制各虚拟机器124的启动、关闭、快照(snapshot)、及还原并验证服务器文件系统的完整性，其中，该快照功能可将虚拟机器124任何时刻的状态完整备份于本地储存装置中，本发明提出的还原机制则是利用此一功能，将虚拟机器124的快照备份完整还原，即便服务器遭受外界攻击或任何因素造成故障，均能以还原机制还原虚拟机器124至初始状态，以确保服务器上线工作时的正确性；

一主机控制模块125，为主机120与群组控制器110的沟通接口模块，可以是Java、C等任何相容于主机作业系统122的程式软件或专用客制硬件接口卡，负责接收来自群组控制器110的命令，并转达给该虚拟机器监视器123，使虚拟机器监视器123依该命令控制虚拟机器124，其主要功能有：

a.接收来自群组控制器110所下达的控制信号。

b.回传给群组控制器110所有虚拟机器124的状态，包括服务器是否正常工作，中央处理器、存储器的使用量、网络封包数量等负载信息。

c.转达控制命令给虚拟机器监视器123，包括关机、还原、服务器系统文件完整性检查。

d.接收虚拟机器监视器123所回报的虚拟机器124的状态信息，包括服务器的服务状态与工作负载等内容。

本发明在各服务器群组10的内部运作方面，可由服务器的运作来分析服务器群组10的功能特性，分类为以下数种功能：

I、一般服务流程：客户端通过广域网络对系统要求网络服务(如：Web服务、DNS查询...等)，首先经由公共网络接口118连线将服务要求递交给群组控制器110的核心控制单元114，依据排程单元113的排程结果(排程单元会随着工作负载监视单元112提供的负载信息、周期等参数进行服务排程，藉以达到工作负载平衡)，决定将该服务要求转送给哪台主机120上的哪个服务器，待服务器处理服务完毕，其对应的服务回应直接传送给客户端而不经由群组控制器110装置。

II、周期性恢复机制(Periodical Recovery)：请参考图4所示，为主机的运行状态机，正常情况服务器会保持在运作(Active)状态，当服务器上线服务时间(暴露时间)达到容忍限制时，核心控制单元114会要求服务器所在的主机120停止(Suspend)该服务器系统的运作，由主机120对服务器进行系统完整性(System Integration)的验证(Verify)，如图5所示，如果服务器系统的完整性验证失败，则服务器上线服务时所更动的数据将全部抛弃(drop)，若通过第一阶段的系统验证，核心控制单元114将对主机120进行第二阶段的系统完整性验证，两阶段的完整性都通过验证(Valid)后，方可将服务器上线服务后所更改到的数据写回安全后端储存单元30完成更新(Update)。接着核心控制单元114要求主机120从安全后端储存单元30读取服务器镜像档进行系统恢复(systemrecovery)，完成后该服务器将进入准备(ready)状态等待核心控制单元114分配服务要求。

III、单一主机120负载异常处理机制：工作负载监视单元112会持续监看主机120的系统负载信息，当有负载信息超出负载容忍边界或是主机120在预期时间内未能正确递送负载信息给工作负载监视单元112，此时工作负载监视单元112将对排程单元113发出中断要求，并且通过内部监控演算机制要求排程单元113将异常的主机120暂时排除在服务清单之外，工作负载监视单元112仍会持续监控该主机120状态，待其恢复正常的运作状态后，工作负载监视单元112将再次要求排程单元113将该主机120重新排入服务清单之中。

IV、服务器群组10整体负载异常处理机制：若有太多的主机120发生异常状况，将会导致某些主机120长时间处在高负载或是导致整体服务器群组10当机，此时工作负载监视单元112会直接发送一中断要求给核心控制单元114，核心控制单元114将通过一热线(Hotline)联系该通讯单元111要求与其他的群组控制器110进行沟通协调，最后交由备援(Hot-spare)或负载较轻的服务器群组10接手继续服务。

综上所述，本发明可扩充式安全服务器交替系统是可达成下述功效：

1、利用特定的控制机制(群组控制器)，连接数台计算机系统以建立多个服务器服务的服务器群组架构，并通过该群组控制器的管制协调，使服务器系统能根据各主机工作量及服务器服务状态而动态转移硬件环境，达到硬件主积极服务器的工作负载平衡，使系统发挥最佳的效率。

2、以虚拟机器的技术为基础，建立主机系统的安全保护及服务器系统在主机间的快速切换，并利用此一快速切换能力，使各服务器能按使用者要求做周期性及特定情况时的还原初始状态的动作，纵使服务器遭受入侵也能迅速排除，达到入侵容忍的效果。

3、通过特定的专属交连线路，使各服务器群组的群组控制器能互相连线沟通，达到彼此支援的功能，如此将可使负载过重或主机硬件故障过多的群组能将所负责的服务器服务功能快速的转移至其它群组负责，达到达到容错(Fault Tolerance)与优雅下降(Grace Degradation)的系统容错效果。

Claims (9)

1.一种可扩充式安全服务器交替系统，其特征在于，所述的可扩充式安全服务器交替系统包含有多个服务器群组、一后端储存控制模块及一安全后端储存单元；

其中，各服务器群组内具有多个主机及一群组控制器；

各主机是以虚拟机器提供至少一种服务器服务；

前述群组控制器是通过专线连接各主机以传达命令、传送数据及收集各主机的工作负载信息，其中，各群组控制器平时根据设定安排各主机周期性地工作交换，使各服务器能通过在主机间的切换而达到系统还原的入侵排除效果，所述群组控制器借着专属交联线路建立联系，使任一服务器群组所提供的服务器服务可转移至其它服务器群组继续运行；

前述后端储存控制模块连接于前述安全后端储存单元与前述各服务器群组之间，用以控制各群组控制器对所述安全后端储存单元的文件存取。

2.如权利要求1所述的可扩充式安全服务器交替系统，其特征在于，前述接受转移的服务器群组是取得原服务器群组向所述安全后端储存单元存取数据的权限。

3.如权利要求2所述的可扩充式安全服务器交替系统，其特征在于，所述后端储存控制模块是对要求存取所述安全后端储存单元的群组控制器进行认证，以区分各群组服务器对所述安全后端储存单元进行存取的权限。

4.如权利要求2所述的可扩充式安全服务器交替系统，其特征在于，当任一服务器群组所提供的服务器及网络服务转移至其它服务器群组继续运行时，是转移分散至多个服务器群组。

5.如权利要求1所述的可扩充式安全服务器交替系统，其特征在于，所述服务器群组于其所属的服务器服务发生故障或超过一负载容忍边界时，其群组控制器对其它服务器群组发出请求协助的要求。

6.如权利要求1所述的可扩充式安全服务器交替系统，其特征在于，各群组控制器包含有：

一通讯单元，是供连接至前述专属交联线路，使群组控制器通过专属交联线路彼此沟通并交换信息；

一工作负载监视单元，是负责接收从主机端传送出来的工作负载信息及网络流量负载信息，并且判断是否逼近或超过一预设的负载容忍边界；

一排程单元，其内部储存服务器暴露时间、主机负载上限排程相关的参数设定，并且负责根据设定已排定各主机所负责的服务器服务，安排各主机周期性地工作切换、时间与周期计算而提供服务器的服务排程工作，且于前述工作负载监视单元判断有主机逼近或超过一预设的负载容忍边界，接收工作负载监视单元发出的一中断要求，以更改排程参数，将所述逼近或超过预设负载容忍边界的主机从排程清单中暂时剔除，待所述主机负载恢复正常后才重新加入排程清单；

一核心控制单元，是依据排程单元提供的排程信息，对各主机下达各项工作命令、服务要求进行派送，将服务要求转送给后端的主机进行处理。

7.如权利要求6所述的可扩充式安全服务器交替系统，其特征在于，所述核心控制单元更进一步连接有：

一后端储存接口，是与前述后端储存控制模块连接；

多个主机切换模块，是分别与不同的主机连接以传输数据及指令；

一通讯模块，是连接前述专属交联线路及通讯单元；

一公共网络接口，是供连接至公共网络，以接收客户端的服务要求，并将接收到的服务要求传递给核心控制单元进行服务分配；

一终端控制模块，是供一管理者通过终端控制模块与主机连线而修改参数。

8.如权利要求1、6或7所述的可扩充式安全服务器交替系统，其特征在于，各主机包含有：

一基础硬件单元，是包括中央处理器、存储器、输出/入设备及本地储存装置；

一主机作业系统，是安装于主机内部；

一虚拟机器监视器，是建立出多个虚拟机器，所述多个虚拟机器间是相互独立且与主机作业系统相隔绝，各虚拟机器提供单一种服务器服务，所述虚拟机器监视器是设定各虚拟机器的虚拟硬件环境并控制各虚拟机器的启动、关闭、快照、及还原并验证服务器文件系统的完整性；

一主机控制模块，为主机与群组控制器的沟通接口模块，负责接收来自群组控制器的命令，并转达给所述虚拟机器监视器，使虚拟机器监视器依所述命令控制虚拟机器。

9.如权利要求8所述的可扩充式安全服务器交替系统，其特征在于，所述快照功能是将虚拟机器任何时刻的状态完整备份于所述本地储存装置中，以供服务器遭受外界攻击或任何因素造成故障，还原虚拟机器至初始状态。

Images