CN103257908A - 一种软硬件协同的多控制器磁盘阵列设计方法 - Google Patents

Abstract

本发明提供一种软硬件协同的多控制器磁盘阵列设计方法，随着控制器数量的增长，每个控制器的心跳计算负载是固定的，故障判断时间也是固定的。双向环形心跳可以更快的发现多个连续控制器失效，并且具有良好的可扩展性。双向环形心跳运行在系统软件层，属于软件心跳机制。由于软件心跳运行于控制器之中，当出现多个控制器失效的时候，容易形成裂脑问题，因此本发明设计中，将软件心跳机制与硬件仲裁机制相协同，避免裂脑问题的产生，提高控制器状态监测的可靠性，并降低故障发现的延迟，实现高效、可靠的系统状态维护，保证存储服务的正常、稳定运行。

Description

一种软硬件协同的多控制器磁盘阵列设计方法

技术领域

本发明涉及计算机系统及存储领域，具体涉及一种软硬件协同的多控制器磁盘阵列设计方法。

背景技术

随着技术进步，磁盘阵列的性能不断增强，功能日趋完善，在IT设施中的地位愈发重要。存储设备的稳定可靠运行对数据安全、业务生产意义越来越大，磁盘阵列的结构也由最初的单控逐渐发展到双控、多控。双控制器磁盘阵列具有两个互备的控制器协调工作，其他部件也采用冗余设计，和单控磁盘阵列相比，可靠性和性能都有很大提升，能够满足常见的业务应用要求，但在一些对可靠性、性能要求苛刻的场合如金融，航天等领域，由于受限于双控制器的体系结构，其表现还不能让用户满意。在这些高端应用中，为满足高性能、高可靠的要求，存储阵列大多采用多控制器体系结构。

高可用机制是多控制器磁盘阵列的关键要素之一。  在实际使用中，控制器可能因为各种软硬件故障导致不能正常管理磁盘资源并对外提供存储服务。硬件故障包括，CPU失效、内存失效、板卡失效等。软件故障包括，操作系统宕机、存储服务程序崩溃等。

单控制器磁盘阵列无高可用机制，一旦控制器发生故障，存储服务就会中断。双控制器磁盘阵列，一般通过驻留在每个控制器操作系统中的心跳代理定期向对端控制器发送心跳检测信号，来判定对端控制器是否故障，并采取相应的故障处理措施。

多控制器磁盘阵列高可用机制实现中，部分厂商仍然采用传统的基于软件心跳的故障检测机制。这种实现方式存在两方面的严重问题：

1）、故障检测延迟高，即心跳代理每隔数秒进行一次心跳检测，并在数次心跳检测仍未成功后才判定对端控制器故障。一般来说从故障发生到故障判定可能会有高达10秒的延迟，从而阻塞用户10秒左右的数据读写请求，这对关键应用来说是不可忍受的。

2）、容易发生脑裂问题（split-brain），造成资源误切换，从而影响应用的稳定运行。裂脑主要是由于各控制器无法准确判断对端控制器状态所致；脑裂发生时，控制器间的心跳检测出现故障，误判对端控制器已经失效，从而接管运行于对端控制器的服务并且写入存储卷，导致数据损坏、服务中断。在多控制器磁盘阵列中，发生在两个控制器之间的脑裂将会不断蔓延到所有控制器，从而导致所有服务的中断、数据的损坏。

发明内容

本发明的目的是提供一种软硬件协同的多控制器磁盘阵列设计方法。

本发明的目的是按以下方式实现的，通过软件层面的多控制器间的双向环形心跳状态控制实现高效的心跳通信，并协同热备仲裁单元完成可靠的状态仲裁，实现高效、可靠的系统状态维护，保证存储服务的正常、稳定运行，控制器的存储服务功能包括：

1）存储卷管理，即把多块磁盘组成为磁盘组，并通过RAID技术实现数据冗余存储；

2）协议接入，即为客户端提供FCP、iSCSI协议数据存取的接入，并实现客户端对存储卷的读写；

3）每个控制器运行一个服务控制代理，功能包括：a）存储服务状态监控，定期查询存储服务状态并汇报给心跳代理；b）存储服务接管控制逻辑，用于当故障发生时存储服务的接管和释放；

4)每个控制器运行一个心跳代理,功能包括：a）按照指定的心跳控制向指定的控制器发送心跳信号，心跳信号包含本控制器服务运行状态标志位；如果标志位为1，则表示服务状态正常；如果标志位为0，则表示服务状态故障；心跳代理在向外发送心跳信号的同时，也会将本控制器服务运行状态发送给两个仲裁单元；b）接收其他控制器发送来的心跳信号，并根据心跳控制判定其他控制器的存活状态；c）根据对其他控制器存活状态的判断，向其他控制器发送控制指令，如重启、关机；d）接受仲裁单元发送的服务控制指令，实现存储服务的接管或释放；

5）多控制器磁盘阵列配置两个仲裁单元，以热备模式运行，功能包括：a）接收每个控制器心跳代理发来的控制器服务运行状态；b）根据控制器服务运行状态，判定存储服务的接管控制，并向指定的控制器发送控制指令，保证阵列存储服务的正常运行；c）一旦处于激活状态的仲裁单元出现故障，备用状态的仲裁单元将立即转换为激活状态，并执行相应的服务控制管理。

处于双向环形心跳控制状态的每个控制器的心跳代理，同时向自己的前续和后续控制器发送心跳信息，同时保存前续和后续控制器的状态信息；当某控制器出现故障，在相同的时间内前续和后续控制器都发现收不到其心跳信号，会立刻向整个多控制器磁盘阵列发送组播查询信号，询问整个多控制器磁盘阵列对此控制器在线状态的判断；根据所有控制器对查询的响应，其前续和后续控制器共同判断其是否故障；

软硬件协同实现高可用机制的两仲裁单元时刻处于热备工作状态，并实时接收每个控制器心跳代理发送的控制器状态信息，如果未能定期接收到某个控制器的状态信息，两热备仲裁单元将协同判定控制器的存活状态。

在软硬件协同实现高可用机制中，如果量仲裁单元判断不一致，可由运行在控制器系统软件上的软件心跳机制协同裁决控制器状态。

在多控制器磁盘阵列中，其控制器数量能够动态配置，至少是2个，每个控制器安装并运行服务控制代理、心跳代理，多控制器磁盘阵列配备两个独立的仲裁单元。

本发明的有益效果是：

1）双向环形心跳，随着控制器数量的增长，每个控制器的心跳计算负载是固定的，故障判断时间也是固定的。可以更快的发现多个连续控制器失效，并且具有良好的可扩展性；

2）将软件心跳机制与硬件仲裁机制相结合，避免单一机制的失效，提高系统可靠性；

3）软硬件高可用机制协同，实现复杂故障的可靠判定和处理。

附图说明

图1是系统总体构成图；

图2是双环心跳示意图。

具体实施方式

参照说明书附图对本发明的方法作以下详细地说明。

本发明的技术任务是提供一种软硬件协同的多控制器磁盘阵列高可用机制，通过软件层面的多控制器间双向环形心跳实现高效的心跳通信，并协同热备仲裁单元完成可靠的状态仲裁，实现高效、可靠的系统状态维护，保证存储服务的正常、稳定运行。

 本发明中描述的多控制器磁盘阵列，其控制器数量可以动态配置，可以是2至8个或更多。每个控制器安装并运行服务控制代理、心跳代理。多控制器磁盘阵列还配备两个独立的仲裁单元。总体组成，如图1所示。

 本发明中描述的控制器具备存储服务功能，主要包括：1）、存储卷管理，即把多块磁盘组成为磁盘组，并通过RAID技术实现数据冗余存储；2）、协议接入，即为客户端提供FCP、iSCSI等协议数据存取的接入，并实现客户端对存储卷的读写。

服务控制代理，每个控制器均运行一个。主要功能包括：1）、存储服务状态监控，定期查询存储服务状态并汇报给心跳代理；2）、存储服务接管控制逻辑，用于当故障发生时存储服务的接管和释放。

心跳代理,每个控制器均运行一个。主要功能包括：1）、按照指定的心跳控制向指定的控制器发送心跳信号，心跳信号包含本控制器服务运行状态标志位；如果标志位为1，则表示服务状态正常；如果标志位为0，则表示服务状态故障；心跳代理在向外发送心跳信号的同时，也会将本控制器服务运行状态发送给两个仲裁单元；2）、接收其他控制器发送来的心跳信号，并根据心跳控制判定其他控制器的存活状态；3）、根据对其他控制器存活状态的判断，向其他控制器发送控制指令，如重启、关机等；4）、接受仲裁单元发送的服务控制指令，实现存储服务的接管或释放。

仲裁单元，多控制器磁盘阵列配置两个，热备模式（Active-Standby）运行。主要功能包括：1）、接收每个控制器心跳代理发来的控制器服务运行状态；2）、根据控制器服务运行状态，判定存储服务的接管控制，并向指定的控制器发送控制指令，保证阵列存储服务的正常运行。3）、一旦处于Active状态的仲裁单元出现故障，Standby状态的仲裁单元将立即转换为Active状态，并执行相应的服务控制管理。

本发明采用双向环形心跳控制，实现软件层控制器状态监测。双向环形心跳控制中，每个控制器的心跳代理同时向自己的前续和后续控制器发送心跳信息。

实施例

如图2所示，每个控制器同时向自己的前续和后续控制器发送心跳信息，同时保存前续和后续控制器的状态信息。控制器3（C3）的前向是控制器4（C4）、后向是控制器2（C2）。假设C3出现故障：在相同的时间内C4和C2都发现收不到C3的前向和后向心跳信号，C4和C2会立刻向整个多控制器磁盘阵列发送组播查询信号，询问整个多控制器磁盘阵列对此控制器在线状态的判断；C4和C2分别收到对方返回的状态确认信息，C4和C2共同判断C3出现故障；

本方法不仅可以容忍任一控制器故障，而且对多个控制器故障具有一定的快速发现和修复能力。假设C3和C2同时出现故障，因为C2的后向控制器C1、C3的前向控制器C4仍然在线，所以仍然可对C3和C2的失效做出准确判断。

具体实现方法为：两仲裁单元时刻处于热备工作状态，并实时接收每个控制器心跳代理发送的控制器状态信息。控制器失效仲裁流程：

1）如果仲裁单元1（假设为A1）未收到某个控制器状态（假设为C3）信息，将首先询问仲裁单元2（假设为A2）是否收到；

2）如果A2也没有收到C3状态信息，则表示C3已经失效，需要执行服务切换策略，即把C3的存储服务提供权限转移至合适的控制器；

3）如果A2收到C3状态信息，则表示两仲裁单元出现不一致现象，此时可由运行在控制器系统软件上的软件心跳机制协同裁决C3控制器状态；

4）仲裁机制与软件心跳协同提供更可靠的状态裁决，以下情况需要协同裁决：两仲裁单元收到的控制器状态信息不一致时；仲裁单元判定出现多个控制器失效时，为了多控阵列稳定运行，需要和软件心跳协同裁决。

本发明的优势在于，随着控制器数量的增长，每个控制器的心跳计算负载是固定的，故障判断时间也是固定的。双向环形心跳可以更快的发现多个连续控制器失效，并且具有良好的可扩展性。

双向环形心跳运行在系统软件层，属于软件心跳机制。由于软件心跳运行于控制器之中，当出现多个控制器失效的时候，容易形成裂脑问题，因此本发明设计中，将软件心跳机制与硬件仲裁机制相协同，避免裂脑问题的产生，提高控制器状态监测的可靠性，并降低故障发现的延迟，实现高效、可靠的系统状态维护，保证存储服务的正常、稳定运行。

除说明书所述的技术特征外，均为本专业技术人员的已知技术。

Claims (5)

1.一种软硬件协同的多控制器磁盘阵列设计方法, 其特征在于通过软件层面的多控制器间的双向环形心跳状态控制实现高效的心跳通信，并协同热备仲裁单元完成可靠的状态仲裁，实现高效、可靠的系统状态维护，保证存储服务的正常、稳定运行，控制器的存储服务功能包括：

1）存储卷管理，即把多块磁盘组成为磁盘组，并通过RAID技术实现数据冗余存储；

2）协议接入，即为客户端提供FCP、iSCSI协议数据存取的接入，并实现客户端对存储卷的读写；

3）每个控制器运行一个服务控制代理，功能包括：a）存储服务状态监控，定期查询存储服务状态并汇报给心跳代理；b）存储服务接管控制逻辑，用于当故障发生时存储服务的接管和释放；

4)每个控制器运行一个心跳代理,功能包括：a）按照指定的心跳控制向指定的控制器发送心跳信号，心跳信号包含本控制器服务运行状态标志位；如果标志位为1，则表示服务状态正常；如果标志位为0，则表示服务状态故障；心跳代理在向外发送心跳信号的同时，也会将本控制器服务运行状态发送给两个仲裁单元；b）接收其他控制器发送来的心跳信号，并根据心跳控制判定其他控制器的存活状态；c）根据对其他控制器存活状态的判断，向其他控制器发送控制指令，如重启、关机；d）接受仲裁单元发送的服务控制指令，实现存储服务的接管或释放；

5）多控制器磁盘阵列配置两个仲裁单元，以热备模式运行，功能包括：a）接收每个控制器心跳代理发来的控制器服务运行状态；b）根据控制器服务运行状态，判定存储服务的接管控制，并向指定的控制器发送控制指令，保证阵列存储服务的正常运行；c）一旦处于激活状态的仲裁单元出现故障，备用状态的仲裁单元将立即转换为激活状态，并执行相应的服务控制管理。

2.根据权利要求1所述的设计方法，其特征在于处于双向环形心跳控制状态的每个控制器的心跳代理，同时向自己的前续和后续控制器发送心跳信息，同时保存前续和后续控制器的状态信息；当某控制器出现故障，在相同的时间内前续和后续控制器都发现收不到其心跳信号，会立刻向整个多控制器磁盘阵列发送组播查询信号，询问整个多控制器磁盘阵列对此控制器在线状态的判断；根据所有控制器对查询的响应，其前续和后续控制器共同判断其是否故障。

3.根据权利要求1所述的设计方法，其特征在于，软硬件协同实现高可用机制的两仲裁单元时刻处于热备工作状态，并实时接收每个控制器心跳代理发送的控制器状态信息，如果未能定期接收到某个控制器的状态信息，两热备仲裁单元将协同判定控制器的存活状态。

4.根据权利要求1所述的设计方法，其特征在于，在软硬件协同实现高可用机制中，如果量仲裁单元判断不一致，可由运行在控制器系统软件上的软件心跳机制协同裁决控制器状态。

5.根据权利要求1所述的设计方法，其特征在于，在多控制器磁盘阵列中，其控制器数量能够动态配置，至少是2个，每个控制器安装并运行服务控制代理、心跳代理，多控制器磁盘阵列配备两个独立的仲裁单元。