49、分布式 Ada 95 中透明复制实现容错的技术解析

分布式 Ada 95 中透明复制实现容错的技术解析

1. 引言

在系统中，容错措施往往会引入冗余，常见的冗余形式包括数据冗余（如纠错码）、时间冗余（失败后重新执行）和空间冗余（复制）。其中，复制特别适合使分布式应用中的节点具备容错能力，其核心思想是当一个节点的某个副本出现故障时，其余副本仍能继续提供该节点的服务，从而实现故障的透明屏蔽。

然而，虚拟节点复制面临的主要难题是确保所有副本的一致性。在 Ada 95 中，由于多任务的固有不确定性，这一问题变得更加复杂。接下来，我们将详细探讨系统模型、非确定性问题，并介绍一种基于分段确定性的计算模型，以解决副本一致性问题。

2. 系统模型

分布式 Ada 95 应用由一组虚拟节点（分区）组成，这些分区在不同的物理节点（计算机）上执行，物理节点之间通过网络进行通信。分区可分为主动分区和被动分区：
- 被动分区 ：用于模拟虚拟节点之间共享的内存，没有与之关联的线程控制，其接口可能包含可被其他主动分区访问的远程数据对象。
- 主动分区 ：具有线程控制，不同的主动分区之间仅通过接口库单元进行远程过程调用（RPC）通信。RPC 是基于简单消息传递的通信抽象，具有“最多一次”的语义，编译器会确保其类型安全。

在异步异构分布式系统中，我们假设分区仅会发生崩溃故障，并且拥有一个视图同步的组通信系统。该系统提供组抽象，包括一致的成员信息和具有各种排序保证的可靠多播原语。分区的副本形成一个视图同步组，组内通信在视图更改方面是完全有序的。

以下是系统模型的主要特点总结：
| 特点 | 描述 |
| ---- | ---- |
| 分区类型 | 主动分区和被动分区 |
| 通信方式 | 远程过程调用（RPC） |
| 故障类型 | 崩溃故障 |
| 组通信系统 | 视图同步，提供一致成员信息和可靠多播 |

3. Ada 95 中的非确定性

当分区的副本具有确定性时，可以采用状态机方法进行主动复制，通过满足原子性和顺序性两个条件来确保副本之间的一致性：
- 原子性 ：如果一个副本处理请求 r，那么所有副本都要处理该请求。
- 顺序性 ：如果一个副本在处理请求 r1 后处理请求 r2，那么所有副本都要在处理 r1 之后再处理 r2。

然而，在 Ada 95 中，分区通常是多任务的，任务调度可能会破坏请求处理的顺序，导致副本状态不一致。非确定性的来源主要包括：
- 任务系统行为 ：例如在选择性接受语句中的选择。
- 显式时间依赖 ：如延迟语句，特别是在异步控制转移或定时入口调用的情况下。
- 隐式时间依赖 ：如时间片抢占式任务调度或通信层的消息传递延迟。

即使使用确定性的任务调度，也无法完全避免非确定性问题。例如，两个副本可能以相同的顺序接收 RPC 请求，但由于请求到达时间的差异，导致任务调度不同，从而使状态出现分歧。

下面是一个简单的 mermaid 流程图，展示了非确定性导致副本状态分歧的过程：

graph LR
    A[接收请求 A 和 B] --> B[副本 R1 调度任务 B]
    A --> C[副本 R2 仅调度任务 A]
    B --> D[状态分歧]
    C --> D

4. 事务方法

为了同步状态访问顺序，一种方法是使用事务。我们假设通过新的编译指示 Replicated 来标识状态访问，采用协调者 - 队列复制的被动复制方案。其中一个副本作为协调者，负责处理请求并记录状态访问序列，完成请求后将该序列可靠地多播给所有队列，队列再按记录的顺序应用状态更改。

然而，这种方法存在诸多问题：
- 协调者故障处理复杂 ：协调者故障时，新的协调者需要从头重启请求，并且可能无法保证嵌套远程调用的一致性，需要对嵌套调用进行回滚，可能引发多米诺效应。
- 编译器负担重 ：编译器不仅要对标记为 Replicated 的对象访问进行日志记录，还要自动重写这些对象以包含可恢复性和事务并发控制。
- 死锁问题 ：应用程序级调度和事务序列化之间的交互可能导致无法透明解决的死锁。例如，两个并发的 RPC 访问两个全局受保护对象时，可能会因为锁和入口调用的条件而陷入死锁，且无法打破。

以下是事务方法的主要问题总结：
| 问题 | 描述 |
| ---- | ---- |
| 协调者故障 | 新协调者需从头重启请求，嵌套调用可能不一致 |
| 编译器负担 | 记录访问日志，重写对象以支持恢复和并发控制 |
| 死锁问题 | 应用调度和事务序列化交互导致无法解决的死锁 |

5. 分段确定性

为了解决上述问题，我们引入分段确定性计算模型。在该模型中，执行被视为由非确定性事件分隔的一系列确定性状态区间。这恰好描述了 Ada 95 中的执行情况，因为语言抽象保证了任何执行历史都是可线性化的，并且并发访问对象必须按顺序进行。

基于分段确定性计算模型，我们可以使用半主动复制来确保副本一致性。在这种方案中，所有非确定性决策都在一个特定的副本上做出，其他副本则被迫采用该决策。

下面是分段确定性计算模型的主要特点总结：
| 特点 | 描述 |
| ---- | ---- |
| 执行模型 | 由非确定性事件分隔的确定性状态区间 |
| 复制方案 | 半主动复制，特定副本做非确定性决策 |
| 一致性保证 | 确保副本状态一致 |

通过采用分段确定性计算模型和半主动复制方案，我们可以克服 Ada 95 中多任务的非确定性问题，实现分布式应用的容错。

分布式 Ada 95 中透明复制实现容错的技术解析

6. RAPIDS 系统介绍

RAPIDS（“Replicated Ada Partitions In Distributed Systems”）是分布式系统附件 E 的一种实现，它将分布式 Ada 95 应用中分区的透明复制纳入其中。RAPIDS 是一个基于分段确定性计算模型的半主动复制管理器，它能保证任意 Ada 95 分区的副本一致性，尽管多任务存在固有的非确定性，还能提供 k - 弹性分区。

RAPIDS 原型是为 GNAT 编译器实现的，它从其前身 PCS（Garlic）发展而来。以下是 RAPIDS 的主要特点列表：
- 复制类型 ：半主动复制
- 计算模型 ：分段确定性计算模型
- 编译器支持 ：GNAT 编译器
- 功能保证 ：副本一致性、k - 弹性分区

下面是 RAPIDS 系统的工作流程 mermaid 流程图：

graph LR
    A[接收请求] --> B[特定副本做非确定性决策]
    B --> C[多播决策信息]
    C --> D[其他副本采用决策]
    D --> E[执行请求并更新状态]

7. 未来工作展望

未来在这个方向上的工作主要有两个方面。一方面是为可恢复对象添加持久性功能，这将使得对象的状态能够保存到稳定存储中，并在崩溃故障后（自动）恢复。具体步骤如下：
1. 设计持久化接口，允许对象将自身状态保存到稳定存储。
2. 实现状态保存和恢复的具体算法，确保数据的完整性和一致性。
3. 集成持久化功能到现有的可恢复对象系统中。

另一方面是基于这些抽象实现某种并发事务服务。这将进一步提升系统的容错能力和并发性能。计划步骤如下：
1. 定义并发事务服务的接口和规范。
2. 实现并发事务的管理和调度机制。
3. 进行性能测试和优化，确保服务的高效性和稳定性。

8. 总结

本文围绕分布式 Ada 95 中透明复制实现容错展开了详细的讨论。首先介绍了系统的基本模型，包括分区的类型、通信方式以及故障假设等。接着分析了 Ada 95 中多任务的非确定性问题，以及使用事务方法解决状态访问顺序同步时面临的各种挑战，如协调者故障处理复杂、编译器负担重和死锁问题等。

为了解决这些问题，引入了分段确定性计算模型和半主动复制方案，在此基础上实现了 RAPIDS 系统，它能有效保证副本一致性和提供 k - 弹性分区。未来的工作将进一步完善系统，添加持久性功能和实现并发事务服务，从而提升系统的容错能力和性能。

以下是对本文关键内容的总结表格：
| 内容 | 描述 |
| ---- | ---- |
| 系统模型 | 主动和被动分区，RPC 通信，崩溃故障，视图同步组通信 |
| 非确定性问题 | 任务系统、显式和隐式时间依赖导致副本状态分歧 |
| 事务方法问题 | 协调者故障、编译器负担、死锁 |
| 解决方案 | 分段确定性计算模型，半主动复制，RAPIDS 系统 |
| 未来工作 | 持久性功能，并发事务服务 |