云計算系統(tǒng)可用性分析方法初探

陸偉宙 蔡向峰 王 暉

廣東省電信規(guī)劃設(shè)計院有限公司 廣州 510630

概述

近年來，云計算一直是商業(yè)和科研機構(gòu)關(guān)注的熱點，同時，也在IT界得到廣泛的應(yīng)用，云計算成為業(yè)務(wù)系統(tǒng)部署的主要方式之一。云計算通過虛擬化等技術(shù)，構(gòu)建統(tǒng)一的資源池，屏蔽底層資源細節(jié)，向用戶提供服務(wù)，從而達到提高設(shè)備利用率、節(jié)能減排、快速部署業(yè)務(wù)等目的。由于云計算引入了虛擬化、多租戶等技術(shù)，對底層的物理資源進行了屏蔽，因此，無法采用傳統(tǒng)的可用性分析方法分析云計算系統(tǒng)的可用性，從而造成了云服務(wù)使用者的困惑，也給云服務(wù)的服務(wù)等級協(xié)議(Service-Level Agreement, SLA)制定帶來了困擾。本文對云計算系統(tǒng)，主要是IaaS(Infrastructure as a Service，基礎(chǔ)設(shè)施即服務(wù))云計算系統(tǒng)進行分析，探討其可用性的計算方法。

1 可用性分析

系統(tǒng)的可用性[1-3]是指假設(shè)系統(tǒng)在所需的外部資源都已提供的情況下，準備好以一個狀態(tài)及時在給定時間段內(nèi)或給定時間間隔內(nèi)的任何時間段提供所需要的功能。在實際的環(huán)境中，往往使用正常使用時間和總運行時間的比值來刻畫。即

而IT基礎(chǔ)設(shè)施庫(ITIL)[2]提出使用協(xié)議服務(wù)時間取代總運行時間，強調(diào)系統(tǒng)可以停機進行維護，協(xié)議服務(wù)時間不包括計劃內(nèi)停機時間，停機時間僅包括故障停機，因此，上面的公式可以改寫如下：

如果用平均故障間隔時間(Mean Time Before Fail，MTBF)和平均修復(fù)時間(Mean Time To Repair，MTTR)對可用性A進行估算，則有公式(1)：

一般而言，單個系統(tǒng)組件，例如物理服務(wù)器等的平均故障間隔時間可以通過現(xiàn)網(wǎng)測試、壓力測試等方式進行評估，平均修復(fù)時間則可根據(jù)運維能力進行估算。整個系統(tǒng)的可用性與系統(tǒng)的構(gòu)成方式有關(guān)，并不等于組件的可用性簡單疊加。

服務(wù)可靠性與服務(wù)可用性在概念上有一定的重疊。廣義的服務(wù)可靠性包括了服務(wù)可用性，例如微軟對可靠性的定義是在成本效益方面，確保服務(wù)能力、服務(wù)可用性、服務(wù)連續(xù)性、數(shù)據(jù)完整性和保密性等復(fù)合業(yè)務(wù)需求[4]。而狹義的可靠性的定義是指一個項目在規(guī)定條件和時間內(nèi)完成規(guī)定功能的能力[2-3]。狹義的服務(wù)可靠性以最大可接受的服務(wù)時延內(nèi)得到成功響應(yīng)的數(shù)量與總請求數(shù)的比例進行計算。例如一個Web系統(tǒng)，由于服務(wù)器故障或者擁塞導(dǎo)致響應(yīng)時間大于可接受服務(wù)時延都會產(chǎn)生不成功的響應(yīng)，都可以視作服務(wù)可靠性降低。當多個服務(wù)器持續(xù)故障則可導(dǎo)致整個系統(tǒng)不可用。本文主要關(guān)注系統(tǒng)可用性。

常見的系統(tǒng)可用性評估方法可以分為基于組合的方法和基于狀態(tài)的方法兩大類[3-4]。基于組合的方法是針對系統(tǒng)和組件之間的邏輯關(guān)系的一種分析方法，主要的方法有可靠性框圖法(Reliability Block Diagram，RBD)[1-2,5]、可靠圖法(Reliability Graph，RG)[1-2,5]和故障數(shù)樹分析(Fault Tree，F(xiàn)T)[1,5]等?？煽啃钥驁D法[1-2,5]是典型的基于組合的方法，它利用串并聯(lián)的方式表示組件與系統(tǒng)的邏輯關(guān)系，串聯(lián)的組件中只要有一個組件失效系統(tǒng)就會發(fā)生故障，并聯(lián)組件中只要還有一個組件可以正常工作系統(tǒng)就正常，如圖1(a)、圖1(b)所示。

圖1 串聯(lián)結(jié)構(gòu)與并聯(lián)結(jié)構(gòu)

假設(shè)一個n組件的系統(tǒng)可用性為A，各組件的可用性為Ai，串聯(lián)結(jié)構(gòu)和并聯(lián)結(jié)構(gòu)的可用性可用公式(2)表示：

基于狀態(tài)的可用性評估方法[1-2,5]根據(jù)狀態(tài)與狀態(tài)之間的變化關(guān)系確定系統(tǒng)的可用性，一般利用隨機理論分析，主要方法包括基于Markov過程的方法[1-2]和基于Perti網(wǎng)的方法[1]。典型方法基于Markov過程的方法定義了狀態(tài)和狀態(tài)跳轉(zhuǎn)兩類要素，并使用這兩類要素描述系統(tǒng)所處的狀態(tài)和動態(tài)行為。圖2顯示了一個三組件串聯(lián)的系統(tǒng)對應(yīng)的Markov模型，其中狀態(tài)0表示正常，狀態(tài)1表示異常，λ和μ分別表示組件的失效率和維修率，從圖中可以看出僅有狀態(tài)000是正常的狀態(tài)，其余狀態(tài)系統(tǒng)都不可用?；贛arkov模型的可用性分析通過計算穩(wěn)態(tài)下正常狀態(tài)的概率，確定系統(tǒng)的可用性。基于Markov模型的可用性分析隱含假設(shè)是系統(tǒng)在每個狀態(tài)的時間都服從指數(shù)分布，而在實際器件或產(chǎn)品在它的正常生命期內(nèi)的可靠性函數(shù)是服從指數(shù)分布的，因此，基于Markov模型的可用性分析得到廣泛的應(yīng)用。近年來，Kwon和Chuob等人[6-7]在離散Markov模型基礎(chǔ)上，引入了得分值的概念，即對正常工作狀態(tài)賦值為1，異常工作狀態(tài)賦值為0，通過計算穩(wěn)態(tài)過程的對應(yīng)狀態(tài)分布概率，再計算總得分得到可用性。這類模型稱為Markov Reward Model，并已應(yīng)用到軟件可用性評估中。

圖2 三組件串聯(lián)系統(tǒng)對應(yīng)的Markov模型

基于組合的可用性分析方法相對簡單，模型表達清晰易于理解，但其描述能力較弱，且需要組件彼此獨立；基于狀態(tài)的分析方法比較復(fù)雜，模型表達能力強，沒有組件獨立的要求，但需要狀態(tài)持續(xù)時間服從指數(shù)分布。

2 云計算系統(tǒng)可用性

云計算系統(tǒng)的架構(gòu)如圖3所示，通常包括管理節(jié)點、網(wǎng)絡(luò)資源、計算資源、存儲資源四個組件。其中，管理節(jié)點包括管理服務(wù)器，它對所有資源進行統(tǒng)一的管理；網(wǎng)絡(luò)資源包括核心交換機、接入交換機、防火墻、負載均衡器等網(wǎng)絡(luò)設(shè)備；計算資源由多臺服務(wù)器組成，若干臺服務(wù)器構(gòu)成集群；存儲資源包括FC SAN存儲和IP SAN存儲等。由于云計算系統(tǒng)部署在機房物理環(huán)境中，電源、空調(diào)等機房基礎(chǔ)設(shè)施的故障會影響云計算系統(tǒng)的使用，因此，在考慮云計算系統(tǒng)可用性的時候除考慮上述四個組件的可用性外，還需要考慮機房基礎(chǔ)設(shè)施的可用性。

云計算系統(tǒng)由于引入了虛擬化層，虛擬化帶來資源調(diào)配的靈活性，提升了系統(tǒng)的可用性。在云管理平臺的調(diào)度下，云計算系統(tǒng)的一個組件失效后將被另一個組件迅速取代，對上層應(yīng)用完全透明。例如，VMware的高可用功能(High availability, HA)使得承載虛擬機的物理主機出現(xiàn)故障后在HA集群中的另一臺物理主機上重新啟動對應(yīng)的虛擬機，實際上提供了溫備的功能；容錯功能(Fault Tolerance)使得虛擬機1：1熱備等。溫備、熱備等功能的大量使用使得可用性評估更為復(fù)雜，傳統(tǒng)的可用性評估方法需要進行改進才能用于云計算系統(tǒng)的可用性測算。

圖3 云計算系統(tǒng)典型架構(gòu)

近幾年，學(xué)術(shù)界和業(yè)界對云計算系統(tǒng)的可用性評估進行探討，主要基于RBD和Markov Model并結(jié)合云計算特點進行優(yōu)化。Bauer和Adams探討了云計算系統(tǒng)和服務(wù)可靠性和可用性的設(shè)計、計算、評估和優(yōu)化方法[2]，認為云計算系統(tǒng)的可用性和可靠性風(fēng)險來自于云計算系統(tǒng)的基本特征，如按需自助服務(wù)、網(wǎng)絡(luò)接入、資源池化等；在可用性評估方面，采用RBD方法對端到端的云服務(wù)進行了可用性評估。Wang[8]等人提出基于可用性和調(diào)度成本分析的資源調(diào)度方法，對虛擬機的可用性進行評估，其方法主要是計算虛擬機所在的主機的可用性，并沒有分析整個云系統(tǒng)的可用性。Dantas、Matos等針對Eucalyptus云計算平臺進行可用性分析[9]，對Eucalyptus云計算平臺組件的不同組合方法進行可用性分析，其方法主要基于RBD。Chuob、Pokharel等人[7]提出分層的模型，在集群層面和節(jié)點層面采用改進的Markov模型對系統(tǒng)的可用性進行分析。陳懷臨[10]在更高層面提出一種定量分析云計算系統(tǒng)可用性的方法，提出采用單獨可用性(Standalone Availability，SA)和部署可用性(Deployment Availability，DA)的概念分別表示構(gòu)成系統(tǒng)組件完全可用和非完全可用情況下系統(tǒng)的可用性，對不同層面的SA和DA的關(guān)系進行了分析，并具體分析了不同承接關(guān)系下的IaaS、PaaS、SaaS系統(tǒng)的可用性計算方法。

3 云計算系統(tǒng)可用性分析方法

從圖3可以看出，云計算系統(tǒng)邏輯架構(gòu)上可以分為管理節(jié)點、網(wǎng)絡(luò)資源、計算資源和存儲資源四大部分。由于這四大部分資源由不同的硬件構(gòu)成，如果單獨考慮機房基礎(chǔ)設(shè)施故障，可以認為云計算系統(tǒng)四大部分彼此獨立。采用可靠性框圖法RBD對云計算系統(tǒng)進行分解，如圖4所示。

圖4 云計算系統(tǒng)的RBD圖

云計算系統(tǒng)的可用性可以用公式(3)表示：

其中Acloud表示整個云計算系統(tǒng)的可用性，Ainfrastructure表示機房基礎(chǔ)環(huán)境的可用性，Amanagement表示云計算系統(tǒng)管理節(jié)點的可用性，Anetwork表示云計算系統(tǒng)網(wǎng)絡(luò)的可用性，Acompute表示云計算系統(tǒng)計算資源的可用性，Astorage表示云計算系統(tǒng)存儲資源的可用性。由于各個組件都能對整個系統(tǒng)的可用性造成影響，因此，整個系統(tǒng)的可用性是各組件可用性的乘積。對于每個組件，可采用RBD分解方法拆分成多個更細的資源模塊，可以拆分到能映射物理設(shè)備的模塊為止。例如計算資源拆分成集群，集群可以繼續(xù)拆分成服務(wù)器資源等(如圖5所示)。

在RBD分解后，每個模塊的可用性和設(shè)備可用性跟設(shè)備部署方式有關(guān)。設(shè)備可用性可以通過對設(shè)備進行測量或者通過生產(chǎn)商提供的參數(shù)獲得。設(shè)備的部署方式可以分為三大類。第一類是通過單機部署，或者可以看成單機部署的；第二類是采用雙機部署，包括熱備雙機、溫備雙機兩大類，云計算系統(tǒng)中很少使用冷備雙機；第三類是采用多節(jié)點部署，一般所有節(jié)點都可以對外提供服務(wù)。通過分析計算資源、存儲資源、網(wǎng)絡(luò)資源、管理節(jié)點和機房基礎(chǔ)設(shè)施中各模塊的設(shè)備部署方式，即可計算其可用性，進而分析整個云計算系統(tǒng)的可用性。

圖5 計算資源的RBD分解

第一類資源構(gòu)建方式是單點部署。通過設(shè)備自身的冗余來提高可用性，典型的例子是作為共享存儲的磁盤陣列，通常是單點部署，通過設(shè)備的雙引擎、雙通道來提高其可用性，因此，其高可用性等同于設(shè)備自身的高可用性。另外一個可以看作單點部署的是機房基礎(chǔ)設(shè)施。機房基礎(chǔ)設(shè)施的可用性是指機房的電源、空調(diào)、機柜等基礎(chǔ)設(shè)施的可用性，這類基礎(chǔ)設(shè)施往往通過冗余來實現(xiàn)，比如電源的雙路接入、油機系統(tǒng)等，且與是否提供給云計算系統(tǒng)無關(guān)。從整體上看，其可用性可以認為等同于傳統(tǒng)環(huán)境下的機房基礎(chǔ)設(shè)施可用性，其測試和計算方法與傳統(tǒng)環(huán)境一致。

第二類資源構(gòu)建方式是雙機部署。通常以熱備或溫備的方式部署，例如采用雙機形式部署的云管理節(jié)點、接入交換機、匯聚交換機等。在云計算系統(tǒng)中，資源部署基本上不采用冷備的方式。對于熱備雙機，實際上構(gòu)成雙機的設(shè)備都對外提供服務(wù)，因此，對于外界來說熱備雙機等同一個并聯(lián)的兩組件系統(tǒng)，如果兩個組件的可用性分別為A1和A2，其可用性可通過下列公式計算：

對于溫備系統(tǒng)，即一個設(shè)備正常提供服務(wù)，另外一個設(shè)備處于待機狀態(tài)，當主設(shè)備發(fā)生故障，待機狀態(tài)的設(shè)備需要一定的激活時間才能接管主設(shè)備的工作。由于溫備雙機需要切換，存在一定的停機時間，但遠少于單機維護的時間；同時，備機日常處于待機狀態(tài)；因此，能節(jié)約一定的待機成本，也能有效縮減停機時間。對于溫備雙機，采用文獻[9]中的Markov Reward Model(MRM)方法計算其可用度。基于兩臺設(shè)備所處的狀態(tài)，可以分為正常-待機(Up-Wait，UW)、正常-故障(Up-Fail，UF)、故障-故障(Fail-Fail，F(xiàn)F)、故障-正常(Fail-Up，F(xiàn)U)和故障-等待(Fail-Wait，F(xiàn)W)，如圖6所示。其中，λ_s1和λ_s2指兩臺設(shè)備工作狀態(tài)下的故障率，其數(shù)值等于這兩臺設(shè)備的MTBF(記為m)的倒數(shù)；μ_s1和μ_s2指兩臺設(shè)備的維修率，其數(shù)值等于這兩臺設(shè)備的MTTR(記為n)的倒數(shù)；λi_s2指備機在等待狀態(tài)下的故障率，文獻[5]認為其比λ_s2小20%，對應(yīng)MTBF為mi；sa_s2為系統(tǒng)發(fā)現(xiàn)主機失效激活備機時間sa的倒數(shù)。對于MRM模型，指定正常工作狀態(tài)的UW、UF、FU的得分值為1，無法工作的狀態(tài)FF、FW的得分值為0，通過計算該Markov模型的穩(wěn)定狀態(tài)，得到在穩(wěn)定狀態(tài)下UW、UF、FU這三個狀態(tài)的概率，對應(yīng)概率和得分值的乘積之和就是溫備雙機的可用性。

圖6 溫備雙機的MRM模型

根據(jù)上述假設(shè)，文獻[9]給出溫備雙機的可用性計算如下：

第三類資源構(gòu)建方式是多機部署。主要采用這種方法部署的是服務(wù)器，多臺服務(wù)器構(gòu)成一個集群，多個集群構(gòu)成云計算系統(tǒng)。假設(shè)共有N×K臺服務(wù)器，分為N個集群，集群所有的服務(wù)器均為同一種服務(wù)器，其可用性一致。第i個集群的服務(wù)器數(shù)量為Ki，第i個集群的服務(wù)器的可用性為Ai，其中 。那么第i個集群的可用性可以計算如下：

第一種情況，假設(shè)所有服務(wù)器同構(gòu)，其可用性均為A，整個計算資源的可用性可以計算如下：

從公式(7)可以看出，在服務(wù)器完全同構(gòu)的情況下，計算資源的可用性僅與單服務(wù)器的可用性A和服務(wù)器總數(shù)N×K有關(guān)，與集群數(shù)目N和每個集群的服務(wù)器Ki無關(guān)，可見在服務(wù)器同構(gòu)的情況下，集群構(gòu)成對計算資源的總可用性無影響。

第二種情況，假設(shè)每個集群的服務(wù)器存在差異，由公式(6)可知，由于Ai在(0，1)區(qū)間，易知Ai和Ki越大，整個集群Aclusteri的可用性也越大。假設(shè)可用性最大的集群的可用性為Aclustermax，那么整個計算資源的可用性落在以下區(qū)間：

由公式(8)可以簡單地推算計算資源的可用性上下限，為服務(wù)等級協(xié)議SLA的指定提供參考。

綜上所述，在區(qū)分幾大組件之后，整個云計算系統(tǒng)的評估可以采用以下流程。

步驟1：對云計算系統(tǒng)進行邏輯拆分，將其分成彼此無關(guān)的組件；

步驟2：對各個組件進行RBD法拆分，直到每個資源模塊能映射到單機、雙機、多主機部署方式；

步驟3：根據(jù)模塊內(nèi)部設(shè)備的部署方式，計算各模塊的高可用性。由此推算整個組件的可用性；

步驟4：根據(jù)公式(3)計算整個云計算系統(tǒng)的可用性。

4 應(yīng)用場景

云計算系統(tǒng)的可用性評估方法主要有提高可用性設(shè)計和制定SLA兩類應(yīng)用場景。

第一類應(yīng)用場景是在云計算系統(tǒng)的構(gòu)建過程中根據(jù)可用性要求對組件進行可用性分配和改進設(shè)計。根據(jù)系統(tǒng)的業(yè)務(wù)需求確定可用性的要求，根據(jù)總體可用性要求對計算資源、存儲資源、網(wǎng)絡(luò)資源和管理節(jié)點、機房基礎(chǔ)設(shè)施各個組件可用性要求進行分配。由于部分組件的可用性提升的幅度不大，例如機房的基礎(chǔ)設(shè)施，可靠性分配應(yīng)有所側(cè)重。在分配各組件的可用性后，在滿足其他要求的前提下，結(jié)合單一設(shè)備的可用性、設(shè)備部署方式和RBD方法計算現(xiàn)有組件的可用性，若組件可用性不滿足要求，增加并行設(shè)備數(shù)量直到滿足要求為止。此外，在單節(jié)點無法滿足高可用性的SLA要求的情況下，可以考慮采用多節(jié)點的方式進一步提高可用性。

第二類應(yīng)用場景是在云計算系統(tǒng)構(gòu)建完畢，采用云計算系統(tǒng)各個組件的可用性評估方法，計算現(xiàn)有云計算系統(tǒng)的可用性。由于云計算系統(tǒng)的可用性是SLA的重要組成部分，因此，可用性評估方法有助于云計算系統(tǒng)對外服務(wù)前制定SLA。

5 小結(jié)

本文針對云計算系統(tǒng)的架構(gòu)特點提出了一種云計算系統(tǒng)可用性評估方法。該方法分析了云計算系統(tǒng)組件的構(gòu)成方式，給出了單機部署、雙機部署、多機部署三種不同形式的組件的可用性估算方法和可用性區(qū)間，進而提出了云計算系統(tǒng)的總體可用性的評估方法。該方法有助于構(gòu)建高可用性的云計算系統(tǒng)及制定云計算系統(tǒng)SLA。

參考文獻

[1]李海泉,李剛.系統(tǒng)可靠性分析與設(shè)計[M].北京:科學(xué)出版社,2003

[2]BAUER E,ADAMS R.Reliability and availability of cloud computing[M].USA:John Wiley & Sons Ltd,2012

[3]Quality Excellence for Suppliers of Telecommunications Forum——Resource Handbook for Business Improvement[EB/OL].(2010-08-03)[2015-01-19].http://doc.mbalib.com/view/14f748b10727523acdc6bb6b32 8c4129.html

[4]Microsoft Reliability Overview[EB/OL].[2015-01-19].https://msdn.microsoft.com/en-us/library/aa292168(v=vs.71).aspx,2008

[5]蔣樂天.系統(tǒng)可靠性分析方法及軟件可靠性技術(shù)研究[D].上海交通大學(xué)博士學(xué)位論文,2003

[6]KWON Y,AGHA G.A Markov Reward Model for Software Reliability[C]//International Parallel and Distributed Processing Symposium,IEEE,2007

[7]CHUOB S,POKHAREL M,PARK J.Modeling and Analysis of Cloud Computing Availability based on Eucalyptus Platform for E-government Data Center[C]//2011 Fifth International Conference on Innovative Mobile and Internet Services in Ubiquitous Computing,2011

[8]WANG W,CHEN H,CHEN X. An Availability-aware Virtual Machine Placement Approach for Dynamic Scaling of Cloud Applications[C]//2012 9th International Conference on Ubiquitous Intelligence and Computing and 9th International Conference on Autonomic and Trusted Computing,2012

[9]DANTAS J,MATOS R,ARAUJO J,et al.Models for Dependability Analysis of Cloud Computing Architectures for Eucalyptus Platform[J].International Transactions on Systems Science and Applications,2012,8:13-25

[10]陳懷臨.關(guān)于云計算可用性的定性與定量研究[EB/OL].[2015-01-19].http://www.valleytalk.org/wp-content/uploads/2013/12/