1.3. Обзор методов резервирования данных и выбор наиболее оптимального для бортового вычислителя
Сегодня распространены несколько типов систем высокой готовности. Среди них кластерная система является воплощением технологий, которые обеспечивают высокий уровень отказоустойчивости при низкой стоимости. Отказоустойчивость кластера обеспечивается дублированием всех жизненно важных компонентов. Максимально отказоустойчивая система должна не иметь ни единой точки, то есть активного элемента, отказ которого может привести к потере функциональности системы. Такую характеристику как правило называют – отсутствие единой точки отказа.
При построении систем высокой готовности, главная цель - обеспечить минимальное время простоя.
Для того, чтобы система обладала высокими показатели готовности, необходимо:
чтобы ее компоненты были максимально надежными;
чтобы она была отказоустойчивая, желательно, чтобы не имела точек отказов;
а также важно, чтобы она была удобна в обслуживании и разрешала проводить замену компонент без останова.
Отказоустойчивость обеспечивается с помощью технологий кластеризации. Благодаря кластеризации достигается такая схема функционирования, когда при отказе одного из компьютеров задачи перераспределяются между другими узлами кластера, которые функционируют исправно. Причем одной из важнейших задач кластерного программного обеспечения является обеспечение минимального времени восстановления системы в случае сбоя, так как отказоустойчивость системы нужна именно для минимизации так называемого внепланового простоя.
В рассматриваемой ситуации, когда необходимо обеспечить бесперебойную работу такого важного коммуникационного компонента, как модуля связи с наземными объектами, чаще всего используются 3 вида систем резервирования (обеспечения отказоустойчивости):
«Холодное» резервирование
«Горячее» резервирование
Мажоритарные системы.
Рассмотрим каждый из принципов построения отказоустойчивой системы для выбора наиболее подходящего.
1.3.1. Системы с «холодным» резервированием
В случае отказоустойчивого вычислителя система состоит из трех узлов. Реализация отказоустойчивости в системе основана на периодической обработке средствами ОС контрольных точек, заданных временными рамками или сложностью задачи. В контрольной точке прерывается выполнение прикладной задачи, после чего между ЦВМ происходит:
обмен текущими результатами выполнения задачи;
определение признака сбоя обработки данных;
при наличии признака - восстановление вычислительного процесса на минимально-загруженном узле или на изначальном узле в случае его корректного функционирования.
Для обеспечения перезапуска процесса вычислений необходимо создавать контрольные точки, то есть запоминать результаты вычислений. Рестарт (перезапуск) осуществляется с ближайшей контрольной точки. Чем чаще устанавливаются контрольные точки, тем меньше времени будет потрачено на повторение вычислений в процессе рестарта, однако создание контрольных точек также требует дополнительного времени и объема памяти для их хранения.
Данная бортовая система характеризуется следующими особенностями:
полная поддержка замены одних узлов другими в горячем режиме;
прозрачное переключение задачи на другой узел при отказе;
возможность диагностики в реальном времени;
мониторинг и составление отчетов.
Под управлением ресурсами отказоустойчивого комплекса понимается искусственная коррекция работы ПО и средств внутрикомплексного обмена, позволяющая в течение нескольких контрольных точек после момента обнаружения неисправности иметь в каждой ЦВМ достаточную информацию о признаках ее проявления для того, чтобы неисправный элемент системы был им однозначно определен. В число действий, реализуемых при такой коррекции, входят:
запоминание/восстановление в памяти значений параметров состояния вычислительного процесса, обеспечивающих возможность восстановления с помощью процедуры рестарта;
перераспределение полномочий управления процессами между ЦВМ.
Под процедурой рестарта понимается способ восстановления вычислительного процесса в комплексе ЦВМ, требующем повторного выполнения функциональных задач с исходными данными, записанными в КТ, обработанной до момента обнаружения неисправности.
После того, как при обработке контрольной точки обнаружено проявление неисправности, выполняется процедура рестарта. При этом в памяти каждой ЦВМ восстанавливаются значения параметров состояния вычислительного процесса, записанные в последней точке хранения до проявления неисправности, после чего осуществляется повторное выполнение прикладных задач.
1.3.2. Кластерные системы с «горячим» резервированием
Кластер высокой готовности – это группа модулей, работающих как единая система для предоставления высокой скорости доступа к данным.
Кластерная система характеризуется высокой надежностью, производительностью, гибким масштабированием и легкостью в управлении. Высокая надежность достигается путем дублирования всех критически важных для работы компонентов. Высокая производительность и масштабируемость – за счет распределения нагрузки между узлами (серверами) кластера. Легкость управления подразумевает собой возможность управлять как централизованно всем кластером, так и отдельными модулями, входящими в его состав.
Кластеры высокой готовности используются в тех ситуациях, когда отказы информационной системы недопустимы и доступ к информации должен быть непрерывен. В нашем случае это система связи с землей, которая является крайне важным элементом управления самолетом и должна быть доступна абсолютно всегда на протяжении полета.
Высокая доступность ресурсов кластерной системы в случае сбоя одного из серверов обеспечивается за счет перемещения задач или приложений между узлами. Для элементов других систем, связанных с кластерным модулем, кластер выглядит как единое целое и его неполадки могут выразиться в кратковременном снижении производительности или недоступности какого-либо ресурса на время от нескольких секунд до нескольких минут в зависимости от конфигурации.
Для того, чтобы задача могла корректно работать в кластере, она должна регулярно сохранять данные на общем носителе информации, а не хранить в оперативной памяти, тогда в случае сбоя одного из модулей, все данные, обработанные на момент отказа будут доступны и другой модуль, перехватывающий работу отказавшего, сможет продолжить с места отказа, а не будет вынужден начинать выполнение задачи с самого начала.
1.3.3. Мажоритарные системы
В случае построения отказоустойчивого вычислителя по принципу мажоритарной системы, он состоит из трех процессорных модулей, соединенных между собой. Каждый процессорный модуль представляет собой отдельную БЦВМ.
Начальная загрузка БЦВМ мажоритарной системы (МС) производится одновременно при включении питания. В процессе начальной загрузки каждая БЦВМi (i -номер БЦВМ) имеет в памяти идентичные программные средства. В памяти каждой БЦВМ имеется таблица конфигурации, в которой отражается состояние всех БЦВМ МС. Строки таблицы конфигурации содержат следующие данные:
признак наличия БЦВМ в конфигурации;
состояние БЦВМ;
признак текущей БЦВМ;
режим работы БЦВМ для каждого внешнего интерфейса (активный, пассивный);
признак главной БЦВМ. Одна из БЦВМ является главной;
типы сбоев и реакция на них;
информация для реконфигурации.
При инициализации таблица конфигурации соответствует конфигурации МС. В процессе функционирования таблица конфигурации отражает текущее состояние МС. Программа реконфигурации может менять данные в таблице конфигурации МС.
После выполнения начальной загрузки и тестирования на каждой из БЦВМ МС выполняется обмен сообщениями между БЦВМ о готовности БЦВМ к работе. При этом главный процессор отвечает за решение о готовности к работе всех БЦВМ МС, он же выполняет синхронизацию работы всех ЦВМ после принятия этого решения.
В процессе функционирования системы синхронизация БЦВМ выполняется по контрольным точкам. Параллельный просчет выполняется на всех трех БЦВМ, при этом содержимое памяти этих БЦВМ должно быть идентичным. Для проверки правильности результатов вычислений и синхронизации работы БЦВМ при параллельном просчете используется синхронный механизм контрольных точек сравнения.
В контрольных точках вычислительный процесс в каждой из БЦВМ приостанавливается, подготавливаются данные, отражающие результаты вычислений, и происходит обмен этими данными между БЦВМ. Правильность результатов фиксируется только в том случае, если данные во всех БЦВМ МС совпали.
Восстановление вычислительного процесса в МС выполняется в случае несовпадения результатов при параллельном просчете, или в случае обнаружения каких- либо случайных сбоев при контрольном тестировании. При этом выполняется синхронное восстановление вычислительного процесса во всех БЦВМ МС. Процедура восстановления вычислительного процесса заключается в выполнении следующих действий:
рестарте всех БЦВМ МС с последней контрольной точки хранения;
определении правильных исходных данных для продолжения вычислительного процесса.
Если перечисленные действия не дали результата, определяется неисправная БЦВМ. Неисправной БЦВМ считается в следующих случаях:
происходят ошибки при выполнении операций, которые фиксируются процессором (например, переполнение, ошибка адресации и т.п.), и которые не исправляются при выполнении рестарта с контрольной точки хранения;
данные БЦВМ не совпали с данными двух других БЦВМ (в двух других БЦВМ данные совпали);
контрольные тесты выявили неисправимые ошибки;
зафиксировано отсутствие ответа от какой-либо БЦВМ МС в течение определенного промежутка времени (истекает тайм-аут).
В случае неисправной БЦВМ, выполняется автоматическая реконфигурация, неисправная БЦВМ удаляется из системы. Реконфигурация МС выполняется в соответствии с таблицей конфигурации МС, в которой отражается состояние каждой БЦВМ, и определяется порядок исключения неисправной БЦВМ из конфигурации. Реконфигурация выполняется по инициативе главной БЦВМ, она рассылает информацию о текущей конфигурации всем остальным БЦВМ. Если выходит из строя главная БЦВМ, происходит голосование, и определяется новая главная БЦВМ, которая управляет реконфигурацией.
1.3.4. Выбор метода резервирования данных для бортового вычислителя
Из обзоров всех трех методов кластеризации, можно каждую систему охарактеризовать определенными преимуществами. Оформим их в виде таблицы для наглядности.
Метод
|
Особенности
|
Холодное резервирование
|
Восстановление задачи происходит быстро, но только с начальными данными, все вычисления придется проводить заново
|
Горячее резервирование
|
Восстановление задачи быстрое, данные и прогресс выполнения задачи будут восстановлены с момента отказа, т.к. данные доступны всем узлам сразу
|
Мажоритарная система
|
Задачи выполняются одновременно на всех узлах и результаты сравниваются, при ошибке происходит синхронное возвращение всех данных на последнее верное значение
|
Таблица 1. Особенности методов кластеризации
Исходя из приведенных в таблице 1 особенностей каждого из методов, второй является самым оптимальным, поскольку позволит восстановить данные максимально быстро. Значит, для бортового вычислителя будет использоваться метод «горячего» резерва.
1.3.5. Реализация механизма резервирования данных для бортового вычислителя
Из рассмотренных ранее методов кластеризации вычислительных процессов в нашем случае наиболее подходящим является метод «горячего» резервирования данных. Это объясняется тем, что в каждый момент времени может произойти миграция ресурсов с одного узла на другой практически без временных и вычислительных потерь за счет сохранения всех результатов вычислений для каждого из процессов на каждом из узлов.
В общем виде схема бортового вычислителя, построенного на принципе «горячего» резервирования будет выглядеть следующим как на рис. 1.
Рисунок 1. Схема кластерного ПО бортового вычислителя
Рассмотрим подробнее схему, показанную на рис. 1. Сам бортовой вычислитель состоит из нескольких (минимум 3-х) узлов. Каждый из них может выполнять свою задачу параллельно с работой остальных. Все результаты своей работы он хранит на общем носителе так, чтобы они были доступны всем остальным узлам. С точки зрения внешних систем, взаимодействующих с бортовым вычислителем, он выглядит как единое целое и вне зависимости от количества узлов будет дальше работать и передавать данные наружу.
При выходе какого либо узла из строя, данные, накопленные им за период обработки задачи, остаются доступны другим узлам и новый узел, взявший на себя его задачу, может начать ее выполнение с той самой точки, на которой был прерван предыдущий.
То есть, после к примеру выхода из строя узла №4, на котором были запущены несколько задач(процессов) произойдет реконфигурация системы на взаимодействие меньшего количества узлов(4 вместо 5). Во время реконфигурации будет произведен перенос всех выполняемых ранее процессов с узла №4 на другой, наиболее свободный узел сети. Перенесенные процессы на новом узле будут запущены с того самого состояния, на котором было прервано их выполнение на родном узле. Таким образом, с точки зрения вычислительного процесса не произойдет никаких изменений и конечный вывод результатов из вычислителя будет на выходе ничем не отличаться от вывода системы со всеми работоспособными узлами. Схематично работу системы до и после аварии можно изобразить как показано на рис. 2.
Рисунок 2. Работа системы до и после аварии одного из узлов
Таким образом, система становится гораздо более устойчивой к отказам, становится вычислительно более мощной и способна за счет резервирования данных потерять до 30% своих аппаратных ресурсов, не теряя при этом данных и продолжая выполнение поставленной задачи.
|
