Sistemi modulari: l'evoluzione dell'affidabilità

Transcript

1 Sistemi modulari: l'evoluzione dell'affidabilità Di Neil Rasmussen Suzanne Niles White Paper n. 76

2 Sintesi La natura ci insegna che la modularità rappresenta la soluzione ottimale per la sopravvivenza e la crescita dei sistemi più complessi. I sistemi modulari presentano uno straordinario vantaggio in termini di affidabilità derivante dalla fault tolerance (tolleranza all errore) che li caratterizza, e sono in grado di mantenere costante la propria capacità operativa, trasferendola dai moduli fuori uso ai moduli funzionanti durante le riparazioni. Nei data center, i design modulari sono già largamente adottati nelle nuove architetture fault-tolerant per sistemi di archiviazione e server. I data center continuano a trasformarsi sfruttando modelli presenti in natura. Anche la NCPI (Network-Critical Physical Infrastructure, infrastruttura critica di rete) deve imparare ad evolversi per supportare le nuove strategie di sopravvivenza, ripristino e crescita. 2

3 Introduzione La modularità è una tecnica affermata di organizzazione e semplificazione di un sistema complesso. Dalle applicazioni più elementari, come le torce elettriche, alle più complesse, come le cellule di un sistema, il record di successi della modularità è ineguagliabile. Tuttavia, nei sistemi personalizzati che hanno affrontato il passaggio evolutivo dai design monoblocco a quelli modulari, si incontrano scetticismo e incertezze fino a quando la modularità non si stabilisce e inizia a produrre i vantaggi tangibili che la contraddistinguono. La NCPI (Network-Critical Physical Infrastructure) dei data center sta attraversando una fase di transizione. Mentre gli attributi fisicamente evidenti delle architetture a blocchi, ovvero scalabilità, flessibilità, semplicità e portabilità, sono chiari e indiscutibili, esiste un aspetto del design modulare che in questo settore è diventato oggetto di discussione: l'affidabilità. Una classica e semplice analisi dell'affidabilità applicata a questo nuovo metodo operativo ( più parti equivalgono a un maggiore rischio di errore ) nella migliore delle ipotesi si dimostra incompleta, mentre nel peggiore dei casi può rivelarsi ingannevole. Lo scopo principale di questo documento è di illustrare, mediante l'osservazione di case study, in che modo la modularità sia in grado di produrre non soltanto vantaggi semplici e prevedibili, ma anche un beneficio generalmente sottovalutato, più sottile e profondo in termini di affidabilità: la fault tolerance. La fault tolerance intrinseca dei design modulari rappresenta un nuovo ed efficace strumento di difesa contro guasti ed errori, dotando i sistemi complessi di una strategia di affidabilità non soltanto adeguata, ma straordinariamente superiore. La natura ci insegna: vita primordiale La storia della modularità inizia molto tempo prima dei data center e delle torce elettriche. I sistemi non modulari primordiali, ovvero gli organismi unicellulari, popolavano la terra circa tre miliardi di anni fa. I fossili ci rivelano che nel tempo questi organismi hanno sviluppato conchiglie, tentacoli, bocche, braccia, chele e numerose altre strutture complesse. Alcuni di questi organismi sono cresciuti raggiungendo dimensioni sorprendenti, fino a quindici centimetri di larghezza. Questi complessi, compatti design unicellulari hanno dominato la catena alimentare primordiale della terra per miliardi di anni. Foto: gentile concessione di David Walker, Brian Darnton In seguito, circa 500 milioni di anni fa, si sono formati gli La complessa vita unicellulare primordiale organismi pluricellulari, i quali hanno avuto un'evoluzione molto rapida, impiegando solo alcune decine di milioni di anni per effettuare un processo evolutivo durato tre miliardi di anni nel caso degli organismi unicellulari, e sostituendosi a questi ultimi come modello dominante. 3

4 Il vantaggio degli organismi pluricellulari: la modularità Perché il design pluricellulare e modulare è riuscito a prevalere su quello unicellulare fortificato e compatto? Scalabilità e crescita. La crescita del sistema, in termini di aumento delle dimensioni e introduzione di nuove capacità, è stata acquisita semplicemente aggiungendo nuovi moduli, in questo caso cellule, in grado di interagire con i moduli esistenti utilizzando interfacce standard. Processo di duplicazione semplificato. Duplicare diverse cellule più piccole e meno complicate è stato più semplice, rapido e sicuro rispetto alla duplicazione di un'unica cellula complessa. Vita pluricellulare primordiale Capacità di specializzare la funzione dei moduli. Delegando e specializzando le funzioni delle cellule, sono stati ottenuti gli stessi livelli di efficienza inerenti al gruppo di lavoro. Negli organismi pluricellulari primordiali, un tipo di cellula poteva essere dedicato al movimento, un altro alla protezione, un altro ancora al riconoscimento del cibo e così via. Adattamento rapido all'ambiente. Aggiungendo, sottraendo o modificando le cellule, è stato possibile collaudare, applicare o scartare rapidamente modifiche incrementali al modello. Fault tolerance. Grazie alla ridondanza cellulare, le singole cellule potevano subire guasti senza compromettere il sistema, rendendo in tal modo possibile la riparazione simultanea delle cellule durante il normale funzionamento dell'organismo, eliminando il downtime che, in questo caso, avrebbe causato handicap o morte. Quest'ultimo attributo, la cosiddetta fault tolerance, rappresenta un vantaggio essenziale e decisivo in termini di affidabilità offerta dai sistemi modulari rispetto ai sistemi compatti. La modularità confeziona un sistema in parti più piccole, facilitando la ridondanza dei componenti in modo tale che il difetto di una o più di esse non influisca negativamente sul sistema nel suo complesso. Attraverso un semplice graffio, la pelle umana può perdere centinaia di cellule e tuttavia i nostri corpi non risentono minimamente di tale perdita. Altre cellule provvedono al corretto funzionamento dell'organismo durante la riparazione. La modularità non è stata inventata dall'uomo, l'uomo è in sé e per sé modularità. Le centinaia di miliardi di moduli (cellule) che formano il nostro corpo ci consentono di beneficiare quotidianamente di tutti i vantaggi offerti dalla fault tolerance. 4

5 Case study del settore IT: le unità disco Nell'era mainframe dei data center, i dispositivi di archiviazione hanno esercitato la proprietà indiscussa delle unità disco fisso, con stack di platter in metallo da 14, meccanismi elaborati di lettura e scrittura, e involucri e strutture di contenimento delle dimensioni di una lavatrice. Nel 1978, IBM ha brevettato l'idea di utilizzare array (ossia, matrici) di dischi più piccoli, ma l'idea non è stata sviluppata oltre perché a quel tempo si riteneva che questo tipo di design non fosse più affidabile di quelli compatti Archiviazione in dischi mainframe tradizionali. Lo studio e la pratica nell'ambito della fault tolerance IBM 3370 erano a quel tempo solo in fase iniziale, principalmente confinate al settore aerospaziale, in cui un errore o un guasto a livello di un componente dei sistemi elettronici poteva costare la vita a molte persone. 1 Photo IBM Archives, permission pending Nel 1987, i ricercatori dell'università di Berkeley hanno osservato il crescente dislivello tra la velocità di elaborazione e quella di accesso ai dati archiviati, segnalando l'opportunità di utilizzare unità disco esterne per PC come elementi strutturali all'interno di sistemi con velocità di trasferimento dati superiori. Un anno dopo, gli stessi ricercatori hanno presentato un documento essenziale intitolato A Case for Redundant Arrays of Inexpensive Disks (RAID) (studio sugli array ridondanti di dischi a basso costo), proponendo numerosi schemi di scrittura dati (i cosiddetti livelli RAID ) che tali array potevano utilizzare per l'archiviazione e il ripristino dei dati. Nel 1990, teoria e hardware si sono unite adottando dischi da 5,25 su tutti i PC, una pratica che si è sviluppata sino al punto in cui tali dischi hanno presentato capacità, prestazioni e affidabilità tali da renderli idonei all'uso nei primi array RAID. Questi nuovi dispositivi di archiviazione modulari offrivano una serie di compromessi tra la ridondanza e la velocità di scrittura/lettura, occupando solo una frazione dello spazio dei dispositivi di archiviazione mainframe che si apprestavano a sostituire. Il vantaggio modulare per gli array RAID Perché gli array RAID modulari sono riusciti a prevalere sui dispositivi di archiviazione compatti tradizionali? Scalabilità e crescita. La capacità di archiviazione può essere incrementata in modo semplice, aumentando il numero dei moduli per array o aggiungendo nuovi array. Processo di duplicazione semplificato. La produzione delle numerose, piccole unità utilizzate nei moduli RAID risulta più semplice rispetto alla produzione delle complicate e più grandi unità tradizionali. Array RAID 1 Le operazioni IT rappresentano attualmente il cuore di quasi tutti i settori industriali, inclusi quello militare e quello sanitario. I data center possono essere importanti al punto che un semplice errore o guasto può mettere a rischio numerose vite umane. La fault tolerance sta pertanto diventando un fattore essenziale nella progettazione e nella realizzazione dei sistemi IT, indipendentemente dalle esigenze e dagli interessi economici del caso. 5

6 Capacità di specializzare la funzione dei moduli. Le unità individuali di un array possono essere utilizzate per aumentare la capacità di archiviazione, la velocità di accesso ai dati o la ridondanza, in base al livello RAID definito per l'array. Inoltre, gli stessi array RAID possono essere considerati come moduli a un livello superiore, assegnando un'applicazione diversa a ciascun array RAID. Adattamento rapido all'ambiente. Le unità disco possono essere aggiunte o rimosse e il livello RAID può essere facilmente modificato in base alle specifiche esigenze di capacità, velocità e ridondanza. Fault tolerance. Gli schemi di scrittura dati RAID dispongono di una ridondanza che consente di ripristinare i dati in caso di guasto o errore di una delle unità. Inaspettatamente, l'entusiasmo suscitato sul mercato dall'introduzione degli array RAID non è stato prodotto dall'incremento della velocità, l'obiettivo originale del design, ma dall'aumento dell'affidabilità e della disponibilità dei sistemi ottenuto grazie alla fault tolerance. Gli autori del manifesto del 1988 hanno dimostrato le possibilità di fault tolerance dei design RAID effettuando presentazioni dal vivo durante le quali veniva semplicemente rimossa un'unità per dimostrare che l'array continuava a funzionare anche senza. Fino a quel momento, aveva prevalso un'erronea considerazione del fattore affidabilità, comune nel periodo pre-fault tolerance: un sistema a più unità è meno affidabile perché formato da più parti. Case study del settore IT: i blade server I blade server stanno attualmente attraversando una fase di transizione verso il design modulare. Per diversi anni, le dimensioni e la velocità dei server standalone tradizionali sono continuamente aumentate, dovendo svolgere un numero sempre maggiore di task per supportare l'espansione dell'elaborazione in rete. Nuovi server sono stati aggiunti ai data center in base all'incremento delle esigenze, spesso in tempi molto ridotti e senza una vera e propria pianificazione o coordinazione. Gli operatori dei data center si sono più volte trovati di fronte a nuove installazioni senza esserne stati messi a conoscenza. La conseguente complessità di scatole e cablaggi ha prodotto confusione, errori e una seria riduzione della flessibilità. I blade server, apparsi per la prima volta nel 2001, Server tradizionali sono un esempio molto semplice di architettura modulare. I moduli (blade) presenti nella struttura di un blade server sono fisicamente identici, pronti per essere configurati e utilizzati per qualsiasi scopo desiderato dall'utente. L'introduzione di questa tipologia di server ha portato numerosi vantaggi in termini di modularità nel contesto dei server: scalabilità, facilità di duplicazione, specializzazione delle funzioni e adattabilità. 6

7 Tuttavia, questi tipici vantaggi modulari, pur avendo prodotto una crescente presenza di blade server nei data center, non vengono sfruttati appieno e il loro potenziale è in attesa della diffusione dell'implementazione di una delle capacità più importanti del design modulare: la fault tolerance. I blade server fault-tolerant, quelli con logica failover incorporata per il trasferimento delle operazioni dai blade fuori uso a quelli funzionanti, hanno iniziato ad essere disponibili e accessibili solo di recente. L'affidabilità di questa tipologia di server fault-tolerant supererà quella delle tecniche attuali, che implicano la ridondanza di software e cluster di singoli server. I blade server diventeranno pertanto l'architettura server predominante dei data center. Con l'avvento della fault tolerance automatizzata, gli osservatori di settore prevedono una rapida migrazione ai blade server durante i prossimi cinque anni. Il vantaggio modulare per i blade server Perché i blade server modulari riusciranno a prevalere sui server standalone di maggiori dimensioni? Scalabilità e crescita. La capacità di elaborazione può essere incrementata in modo semplice, aggiungendo più moduli (blade). Processo di duplicazione semplificato. È molto più semplice produrre piccoli moduli che non server interi. Alimentazione, ventole di raffreddamento, connessioni di rete e altri componenti di supporto sono centralizzati nel telaio e condivisi dai moduli: una struttura modulare estremamente semplificata. Capacità di specializzare la funzione dei moduli. I singoli moduli possono essere configurati con le applicazioni software desiderate. Blade server (con 10 blade nella struttura) Adattamento rapido all'ambiente. I moduli possono essere aggiunti o rimossi in base alle necessità aziendali o economiche, e possono essere riconfigurati per l'esecuzione di applicazioni diverse. Fault tolerance. Il guasto o il danneggiamento di un modulo può essere gestito automaticamente dalla logica di failover incorporata che trasferisce le operazioni su altri moduli senza interrompere il funzionamento del sistema. 7

8 Modifica della definizione di errore/guasto per i sistemi IT Questi case study dimostrano che il design modulare è in grado di prevalere sul complicato design compatto per ragioni fondamentali, intrinseche alla natura stessa della modularità. Una di queste ragioni, la fault tolerance, è profondamente significativa per il futuro dei data center. Quando i data center disporranno di server e dispositivi fault-tolerant, la definizione di errore/guasto IT dovrà essere modificata. Nella Figura 1 sono illustrati due diversi scenari di errore/guasto in un data center. A destra è illustrato un problema che interessa tutti i rack: in un data center protetto da un unico UPS di grandi dimensioni, in caso di guasto dell'ups si verificherebbe una caduta dell'intero carico. A sinistra è illustrato un problema che interessa un solo rack. Nei data center tradizionali, questi due scenari verrebbero considerati analoghi dai responsabili IT, poiché anche nel caso del guasto di un solo rack, le interdipendenze tra server, array di dischi, commutatori e router causerebbero con ogni probabilità degli effetti concatenati che porterebbero a un guasto generale del data center. Con l'avvento dei nuovi design modulari ad array di dischi per l'elaborazione e l'archiviazione dei dati, il problema illustrato a sinistra, quello che interessa un solo rack, potrà essere considerato migliore dai responsabili IT, poiché la ridondanza delle risorse offre al data center la possibilità di sopravvivere, mantenendosi operativo anche in caso di errore/guasto di singole unità. Con la diffusione delle architetture fault-tolerant, i data center saranno in grado di tollerare un maggior numero di errori/guasti delle singole unità evitando un guasto generale del sistema. Quando i blade server riusciranno a soddisfare le aspettative in termini di fault tolerance senza interruzioni, gli errori/i guasti di una, due, tre o più unità saranno eventi superabili e il data center sarà sempre operativo. Figura 1 - Due scenari di errore/guasto in un data center Vista dall'alto, quattro file da otto rack ciascuna Errore/guasto di un rack Errore/guasto di tutti i rack 8

9 Implicazioni per la NCPI Questo nuovo paradigma per la gestione degli errori, ovvero l'aspettativa di errore/guasto inevitabile di alcuni moduli unita a una solida preparazione per la sopravvivenza, influisce sul modo in cui la nuova architettura IT deve essere protetta dalla relativa infrastruttura di rete (NCPI). Ad esempio, quando i data center avranno aumentato il proprio grado di fault tolerance a livello IT, la protezione dell'alimentazione mediante un unico UPS di grandi dimensioni non rappresenterà più la soluzione ottimale, poiché un guasto dell'ups provocherebbe un guasto generale del sistema, un'evenienza inammissibile in un data center fault-tolerant, in grado di sopravvivere alla perdita di un rack. Se gli UPS sono distribuiti in tutto il data center, un UPS per ciascun rack, l'errore/il guasto di un solo UPS provocherebbe l'arresto di un solo rack e non dell'intero sistema. Aumentando il numero degli UPS, aumenta anche il rischio di errore/guasto UPS individuale, tuttavia, il sistema è perfettamente in grado di tollerare tale problema. Se per bloccare l'intero sistema fosse sufficiente l'arresto di tre rack, per causare un simile evento dovrebbe verificarsi un guasto simultaneo di tre UPS, un'eventualità molto più improbabile del guasto di un unico UPS di grandi dimensioni. Per tale ragione, la teoria dell'affidabilità favorisce decisamente un'architettura con alimentazione e raffreddamento distribuiti a livello modulare nel caso di sistemi IT con un maggiore grado di fault tolerance. NCPI compatta vs. NCPI modulare L'architettura dell'infrastruttura di rete (NCPI) è rimasta sostanzialmente invariata negli ultimi 30 anni di storia dei data center. Dalle più piccole sale computer ai più grandi impianti aziendali, il modello di infrastruttura fisica persistente è stato quello di un impianto centralizzato per la protezione dell'alimentazione e il raffreddamento. La progettazione di questa tipologia di infrastruttura ha portato a una configurazione univoca e compatta delle apparecchiature e dei collegamenti. Sostituendo tale architettura con un design modulare si otterrà un doppio vantaggio: la NCPI sarà in grado di supportare in modo appropriato le apparecchiature IT fault-tolerant modulari, e le apparecchiature della NCPI stessa potranno usufruire dei vantaggi della UPS compatto centralizzato modularità, incluse affidabilità e fault tolerance. Il vantaggio modulare per la NCPI Perché la NCPI modulare sostituirà la NCPI compatta tradizionale? Scalabilità e crescita. La NCPI modulare può essere dimensionata in modo da soddisfare i requisiti IT correnti di un data center ed è in grado di crescere in base alle esigenze. Questo vantaggio è particolarmente importante per la NCPI, in cui i sistemi di alimentazione e raffreddamento vengono tradizionalmente installati una tantum, scegliendo le apparecchiature in base ai requisiti IT massimi di progetto, con un notevole spreco conseguente in termini di capitale investito e costi di gestione. Processo di duplicazione semplificato. Il design modulare prevede la fabbricazione di numerose parti di piccole dimensioni invece di poche unità di grandi dimensioni. Aumentando il volume di produzione, diminuiscono i difetti. I design semplificati e di dimensioni ridotte favoriscono l'automatizzazione e implicano una riduzione del lavoro manuale durante il processo di produzione, con conseguente diminuzione dei difetti. Capacità di specializzare la funzione dei moduli. Le unità di protezione dell'alimentazione e di raffreddamento possono essere realizzate con diverse tipologie di configurazione per soddisfare i requisiti specifici di raffreddamento e disponibilità delle diversi parti di un data center. 9

10 Adattamento rapido all'ambiente. Considerando le nuove unità da aggiungere e le apparecchiature IT che cambiano ogni due o tre anni, il contenuto dei data center è soggetto a costanti aggiornamenti e modifiche. Le nuove apparecchiature potrebbero presentare notevoli variazioni in termini di forma e dimensioni, requisiti di raffreddamento e alimentazione, tipologie di collegamento e così via. La NCPI modulare presenta straordinarie capacità di scalabilità e riconfigurazione ed è in grado di supportare i cambiamenti delle esigenze IT. UPS modulare a livello rack Fault tolerance. Proprio come le apparecchiature IT fault-tolerant consentono la continuità operativa dei data center in caso di guasto o errore di un componente IT, anche le apparecchiature NCPI fault-tolerant consentono il funzionamento continuo dei sistemi di alimentazione e raffreddamento in caso di guasto o errore di un componente della NCPI. La fault tolerance può essere ottenuta mediante ridondanza delle unità della NCPI oppure tramite ridondanza interna dei componenti che si trovano all'interno delle unità NCPI. Ad esempio, disponendo di moduli di alimentazione extra all'interno di un UPS. Come nei precedenti case study relativi al design modulare, i primi quattro attributi descritti sono funzionali, mentre il quinto, la fault tolerance, è essenziale per la riuscita del design. Inoltre, poiché il funzionamento del data center dipende decisamente dall'alimentazione e dal raffreddamento, l'affidabilità della fault tolerance è fondamentale per la NCPI come per tutte le apparecchiature IT che protegge. Un data center fault-tolerant senza NCPI fault-tolerant sarebbe come un ponte sospeso realizzato con una passerella robusta, ma con funi poco resistenti. Conclusione La trasformazione del design da compatto a modulare è un'evoluzione naturale per i sistemi complessi poiché offre straordinari vantaggi in termini di efficienza, flessibilità e affidabilità. Esaminando le storie di successo, è più facile comprendere il potenziale della modularità nel fornire miglioramenti sostanziali e perfino rivoluzionari ai sistemi che sono stati compatti fin dal relativo concepimento, e che non sono mai stati pensati in modo diverso. La fault tolerance e gli altri attributi essenziali della modularità (ossia, la scalabilità e le capacità di adattamento, specializzazione e duplicazione) sono evidenti quanto inevitabili per i sistemi modulari creati dall'uomo, proprio come lo sono stati in natura. L'universo IT ha già riscontrato tali vantaggi nei design modulari per l'elaborazione e l'archiviazione dei dati, gli array RAID e i blade server. Inoltre, i data center sono ora pronti a seguire settori come quello aerospaziale nell'implementazione, estesa a tutti i sistemi, di un vantaggio modulare solitamente utilizzato per i sistemi mission critical fin dagli anni '70 del secolo scorso: la fault tolerance. La fault tolerance riconosce che un controllo attento della qualità dei componenti è solo il primo passo verso l'affidabilità di un sistema, e che la strategia di affidabilità decisiva sta nella capacità di mantenere in funzione i sistemi anche in caso di guasto o errore di uno o più componenti. La modularità e la fault tolerance stanno diventando il nuovo modello di progettazione dei data center e la NCPI deve seguire la stessa direzione, sia per offrire ai data center una protezione efficiente, sia per usufruire dei vantaggi della modularità in termini di efficienza, flessibilità e affidabilità. 10

11 White Paper correlati APC White Paper n. 117, Network-Critical Physical Infrastructure: ottimizzare il valore aziendale. APC White Paper n. 116, Standardizzazione e modularità nella Network-Critical Physical Infrastructure. Informazioni sugli autori Neil Rasmussen è uno dei fondatori e il Chief Technical Officer di American Power Conversion. Presso APC, Neil Rasmussen è responsabile del più consistente budget per R&S al mondo, investito nelle infrastrutture di alimentazione, raffreddamento e rack per reti critiche, con i principali centri di sviluppo prodotti dislocati nel Massachusetts, nel Missouri, in Danimarca, nello stato di Rhode Island, a Taiwan e in Irlanda. Attualmente, Neil Rasmussen si occupa del coordinamento delle attività di APC destinate allo sviluppo di soluzioni per infrastrutture scalabili modulari per i data center. Prima di fondare APC, nel 1981, Neil Rasmussen ha conseguito laurea e master in Ingegneria elettrica presso il MIT, presentando una tesi sull'analisi di un alimentatore a 200 MW per un reattore a fusione Tokamak. Dal 1979 al 1981, ha lavorato presso i MIT Lincoln Laboratories studiando i sistemi di accumulo energetico nei volani e i sistemi a energia solare. Suzanne Niles è autrice di white paper e lavora presso l'ncpi Science Center di APC. Ha studiato matematica al Wellesley College ed ha conseguito la laurea in Informatica e presso il MIT, con una tesi sul riconoscimento calligrafico. Per oltre 25 anni si è dedicata all'insegnamento utilizzando una varietà di supporti, da manuali di software a supporti fotografici e canzoni per bambini. 11