【正文】 數(shù)據(jù)庫作為一組進程被建立，每個進程用于一個副本。這種方式稱為原子多播。但是，刪除一條消息是在冒險，因為重發(fā)的請求有可能不能得到響應(yīng)。只返回否定確認通?？梢詼p少反饋的規(guī)模(例如， Towsley等 1997)，但是并不能保證不會發(fā)生反饋擁塞。如果有 N個接收者，那么發(fā)送者必須準備接收至少 N個確認。在這種方式中，接收者很容易探測到消息接收者，那么發(fā)送者就簡單地在每個接收者都返回一個確認之前在歷史緩存器中保留消息。假定底層的通信系統(tǒng)只需要不可靠的多播，那么這意味著多播消息會以某種方式丟失，它只能傳遞給其中一些接收者而不是全部。特別是，如果我們假定進程不會失敗，而且在通信進行期間不會有進程加入或離開組，那么可靠多播就簡單地意味著每個消息都應(yīng)該被傳遞到組的每個當前成員處。在前一種情況下，如果能保證所有正常的組成員接收到消息，那么就認為多播是可靠的。不過，如果進程數(shù)目較少，通過多個可靠的點到點通道來獲得可靠性是一種簡單而直接的方法。 ?區(qū)分 RPC系統(tǒng)中發(fā)生 5種失敗形式： ?客戶不能定位服務(wù)器； ?客戶到服務(wù)器的請求消息丟失； ?服務(wù)器在收到請求之后崩潰； ?從服務(wù)器到客戶的響應(yīng)消息丟失； ?客戶在發(fā)送請求之后崩潰。在大多數(shù)情況下，可通過拋出一個異常信號來通知客戶通道已經(jīng)崩潰。 TCP可以通過確認和重傳來掩蓋遺漏性故障。特別是，通信通道也可能出現(xiàn)崩潰性故障、遺漏性故障、定時故障和隨意性故障。有關(guān)這些成果的調(diào)查在文獻 (Barborak等 1993)和 (Turek, Shasha 1992)中給出。 44 故障系統(tǒng)的協(xié)議 ?不幸的是，達成協(xié)議的情況甚至?xí)鼔?。基本上，我們需要得到的就是在一個忠誠將軍組里的多數(shù)選票，而不管在他們中是否有叛徒。算法無法達成一致。從圖 ，我們看到將軍 2和 4都對正確結(jié)果 (1, 2, Unknown, 4) 達成了一致。第 3步的結(jié)果在圖 。在第 2步中，第 1步里宣布的結(jié)果按圖 量格式收集在一起。在圖 n=4而 m=1的情況下這種算法的工作情況。 ?為了一般化，我們在這里按照一種稍微不同的方式來定義協(xié)議。在這個問題中，紅軍還是在山谷中扎營，但是在附近的山上有 n個帶領(lǐng)部隊的藍軍將領(lǐng)。既然最后一個消息的接收者知道發(fā)送者不能確認，它也就不會冒險，因為沒有達成協(xié)議。如果這個消息沒有到達，行動就被取消。但是現(xiàn)在 B在擔心A不知道確認是否能夠到達，他擔心的原因是如果 A認為使者會被抓住，他就不能確認他 (A)的計劃，可能不會冒險發(fā)起攻擊，所以他派遣使者再次回去。使者安全回到它的基地傳達了這個消息，A通知它的士兵準備在凌晨進行戰(zhàn)斗。藍軍的目的是就攻擊達成協(xié)議。紅軍具有 5000個士兵，在一個山谷中扎營。 ?分布式協(xié)議算法的一般目標是使所有的非故障進程就一些問題達成一致，而且在有限的步驟內(nèi)就達成一致。 ?通常，如果要求進程組達成一致，事情會變得更復(fù)雜。實際上，這個條件可以稍微放松，因為讀操作不會有問題而一些寫操作也可以替換，但是還留有一般的問題。在最壞的情況下， k個失敗的進程可以意外地產(chǎn)生同樣的回答，這樣，客戶或表決電路還可以相信多數(shù)進程的回答。如果系統(tǒng)能夠經(jīng)受 k個組件的故障并且還能滿足規(guī)范的要求，那么就稱為 k容錯。這些解決方法把相同進程的集合組織到一個平等組中。在這種情況下，以等級方式來組織一個進程組，其中一個主進程組協(xié)調(diào)所有的寫操作。 29 故障掩蓋和復(fù)制 ?進程組是建立容錯系統(tǒng)方法的一部分，特別是在有一組相同的進程允許我們掩蓋組中的一個或多個發(fā)生故障的進程的情況下。一種確保把進程的加入或離開集成到消息流中的正確位臵的方法，是把這個操作轉(zhuǎn)換為一個發(fā)送到整個組的消息序列。一旦確定崩潰的成員是真正的崩潰 (而不是速度慢 )，就從組中刪除它。 26 組成員 ?離開一個組，理想的情況是，成員只需要給所有成員發(fā)送一個再見消息。所有組服務(wù)器崩潰、組管理就不再存在。一種可能的方法是使用組服務(wù)器，所有這些請求都發(fā)送給它。例如，要決定某事常常需要進行表決，這導(dǎo)致了一些延遲和開銷。 23 平等組與等級組 ?每種組織都具有它的優(yōu)點和缺點。例如，一個進程是協(xié)調(diào)者而其他進程都是工作者。 22 平等組與等級組 ?不同的組之間一個重要的區(qū)別在于它們的內(nèi)部結(jié)構(gòu)。一個進程可以同時是多個組的成員。通過這種方式，如果組中的一個進程失敗，其他的一些進程可以接管它。在下面的內(nèi)容中，我們考慮進程組中的一般設(shè)計問題，并討論容錯組到底是什么。例如，可以在系統(tǒng)中添加額外的進程，這樣如果少數(shù)進程崩潰，系統(tǒng)還是可以正常工作。如果一個事務(wù)中止，那么它就可以無害地重新執(zhí)行。在信息冗余中，添加額外的位可以使錯亂的位恢復(fù)正常。 16 使用冗余來掩蓋故障 ?如果系統(tǒng)是容錯的，那么它能做的最好的事情就是對其他進程隱藏故障的發(fā)生。實際上，當發(fā)生隨意性故障時，客戶應(yīng)該做好最壞的準備。當服務(wù)器對到來的請求做出意想不到的響應(yīng)時就發(fā)生這種故障。 14 典型故障 ?一種嚴重的故障類型是響應(yīng)故障，就是說服務(wù)器的響應(yīng)不正確。因此，如果響應(yīng)發(fā)送失敗，那么服務(wù)器可能需要為客戶重新發(fā)送先前的請求而做好準備。接收遺漏性故障通常不會影響到服務(wù)器的當前狀態(tài)，因為服務(wù)器不知道有消息發(fā)送給了它。 ?當服務(wù)器不能對請求進行響應(yīng)時就發(fā)生遺漏性故障。崩潰性故障的一個典型例子是操縱系統(tǒng)崩潰，這時只有一個解決方法：重新啟動。如果一個文件服務(wù)器的設(shè)計目的是提供高度可用的文件系統(tǒng)，那么失效的磁盤會使該服務(wù)器運行困難。如果我們把分布式系統(tǒng)視為一個彼此之間且與它們的客戶進行通信的服務(wù)集，那么不能充分提供服務(wù)就意味著服務(wù)器、通信通道或兩者都不能正常地進行工作。通常當解決故障的人到來時系統(tǒng)工作良好。暫時故障只發(fā)生一次，然后就消失了，即使重復(fù)操作也不會發(fā)生。 ?建立一個可靠的系統(tǒng)與控制故障緊密相關(guān)。無疑，找到是什么引起了錯誤是很重要的。而錯誤是系統(tǒng)狀態(tài)的一部分，它可能會導(dǎo)致故障發(fā)生。高度可維護的系統(tǒng)可能具有高度的可用性，特別是在可以在探測到故障并自動恢復(fù)時。例如，很多進程控制系統(tǒng)，比如那些用來控制核電站或把人送入太空的控制系統(tǒng)，就必須提供高度的安全性。與可用性相反，可靠性是根據(jù)時間間隔而不是任何時刻來進行定義的?？煽啃允且粋€術(shù)語，它包含了分布式系統(tǒng)中很多有用的需求，列舉以下： ?可用性 ?可靠性 ?安全性 ?可維護性 5 容錯性簡介 ?可用性被定義為系統(tǒng)的一個屬性，它說明系統(tǒng)已準備好，馬上就可以使用。 ?分布式系統(tǒng)設(shè)計中的一個重要目標是以這樣的方式來構(gòu)造系統(tǒng)：它可以從部分失效中自動恢復(fù)，而且不會嚴重地影響整體性能。1 Fault Tolerance Chapter 7 2 ?容錯性簡介 ?進程恢復(fù) ?可靠的客戶 服務(wù)器通信 ?可靠的組通信 ?分布式提交 ?恢復(fù) 3 容錯性簡介 ?分布式系統(tǒng)區(qū)別于單機系統(tǒng)的一個特性是它可能部分失效。而非分布式系統(tǒng)中的故障通常會影響到所有的組件，可能很容易就使整個應(yīng)用程序崩潰。容錯與被稱為可靠的系統(tǒng) (dependable system)緊密相關(guān)。 ?可靠性是指系統(tǒng)可以無故障地持續(xù)運行。 6 容錯性簡介 ?安全性 是指明在系統(tǒng)偶然出故障的情況下正確操作而不會造成任何災(zāi)難。 ?可維護性 是指發(fā)生故障的系統(tǒng)被恢復(fù)的難易程度。尤其是，如果一個分布式系統(tǒng)被設(shè)計為它為為它的用戶提供大量的服務(wù)，當這些服務(wù)中的一個或多個不能被 (完整地 )提供時，系統(tǒng)就發(fā)生故障了。 8 容錯性簡介 ?造成錯誤的原因被稱為故障 (fault)。要改變天氣來減少或防止錯誤是不可能的。 9 容錯性簡介 ?故障通常被分為暫時的、間歇的和持久的。間歇故障會造成情況的惡化，因為它們很難診斷。 10 典型故障 ?發(fā)生故障的系統(tǒng)不能充分地提供所設(shè)計的服務(wù)。 ?這樣的依賴關(guān)系大量出項在分布式系統(tǒng)中。崩潰性故障的一個重要方面是，一旦服務(wù)器停機，就不再提供任何服務(wù)。可能有一天還會把它移到背后，甚至完全去掉。注意，這可能是由于盡管在客戶和服務(wù)器之間正確地建立起連接，但是沒有線程監(jiān)聽到來的請求。注意，與接收遺漏性故障，服務(wù)器現(xiàn)在的狀態(tài)可能說明它已經(jīng)完成了對客戶的服務(wù)。如果響應(yīng)是在指定的實時間隔之外，就發(fā)生了定時故障。 ?另外一種故障稱為狀態(tài)轉(zhuǎn)換故障。 15 典型故障 ?最嚴重的故障是隨意性故障，也被稱為拜占庭故障。這種情況說明了為什么談到可靠系統(tǒng)時安全被認為是一個重要的需求。文獻 (Johnson 195)。使用事務(wù)是這種方法的例子。物理冗余可以在硬件上也可以在軟件上進行。首先要討論的主題是防止進程失敗，這是通過把進程復(fù)制到組中來獲得的。所有組都具有的關(guān)鍵特性是當信息發(fā)送到組本身時，組中的所有成員都接收它。在系統(tǒng)操作過程中，一個進程可以加入一個組也可以離開一個組。這樣，一個進程就可以把消息發(fā)送給一個服務(wù)器組而不用知道有多少個進程以及它們在哪里，而這些可以在兩次調(diào)用之間進行改變。在其他的組中存在一些等級關(guān)系。當然，也可能有更復(fù)雜的等級關(guān)系。它的缺點在于做出決定比較復(fù)雜。 24 平等組與等級組 a) Communication in a flat group. b) Communication in a simple hierarchical group 25 組成員 ?當組通信發(fā)生時，需要一些方法來創(chuàng)建和刪除組，以及允許進程加入和離開組。不幸的是它具有所有集中式技術(shù)的缺點：單一的失敗點。例如，如果可靠的多播可用，一個外部進程就可以發(fā)送消息給所有的組成員表示希望加入該組。其他成員不得不通過注意到崩潰的成員不再進行響應(yīng)來發(fā)現(xiàn)這一點。與之類似，一旦進程離開一個組，它就不能接收來自該組的任何消息，其他的成員也不能接收來自它的任何消息。一些進程不得不進行初始化來重新啟動，但是如果有兩個或三個進程同時進行嘗試會發(fā)生什么？協(xié)議必須能夠處理這些問題。 ?在容錯的情況下，基于主進程的復(fù)制通常以主進程后備協(xié)議的形式出現(xiàn)。 30 故障掩蓋和復(fù)制 ?與基于團體的協(xié)議相同，復(fù)制寫協(xié)議以主動復(fù)制的形式使用。為了簡化我們的討論，我們只考慮復(fù)制 —— 寫系統(tǒng)的情況。 31 故障掩蓋和復(fù)制 ?另一方面，如果進程發(fā)生拜占庭失敗，繼續(xù)錯誤運行并發(fā)送出錯誤或隨機的應(yīng)答，那么最少需要 2k+1個進程才能獲得 k容錯。 ?與這種模式有關(guān)的一個明顯的前提是所有請求按相同的順序到達所有的服務(wù)器，這個問題被稱為原子