Zuverlässigkeit und Verfügbarkeit

Transkript

1 Zuverlässigkeit und Verfügbarkeit

2 Verfügbarkeit von Webservices Motivation

3 Motivation (1) Steigende Komplexität von Web Sites Server, Firewalls,Software Systeme Viele Web Site Projekte werden in einem kurzen Zeitraum durchgeführt (Konkurrenz!) Nachlässiges Design Testperiode ungenügend oder sogar inexistent Führt oft zu Problemen Performance Sicherheit Verfügbarkeit

4 Motivation (2) Vorlesung bis jetzt: Performance Metriken Antwortzeit, Durchsatz, Nur relevant, wenn Webservice verfügbar Webservice evt. nicht verfügbar wegen Funktionsfehlern der Hardware Problemen bei der Netzwerkverbindung Funktionsfehlern der Software (Last) Denial of service (DoS) Attacken Quantitativer Zugang, um die Verfügbarkeit und Zuverlässigkeit von Webservices zu modellieren

5 Beispiel: Online Banking (1) Funktionalität der Web Site Kurs von Aktien und Anlagefonds anzeigen Verwaltung von Portfolios Portfolio Risikoanalysen durchführen Aufträge: Kauf/Verkauf von Aktien, Anlagefonds Wenn System nicht verfügbar, dann können finanzielle Verluste entstehen Ziel: Design finden, sodaß Verfügbarkeit des Services 99,99% (z.b.)

6 Beispiel: Online Banking (2) Internet Architektur der brokerage site R R Die gleiche Hard- und Software Load Balancer Datenbank komplett repliziert R = router Webserver Datenbank Server Achtung: Internetverbindung ebenfalls wichtig für Verfügbarkeit!

7 Beispiel: Online Banking (3) Konfigurationsmöglichkeiten Kostenintensive Rechner: sehr betriebssicher Billigere Rechner: weniger betriebsicher Typische Fragestellung: Wie sieht die kostengünstigste Konfiguration aus, sodaß 99,99% Verfügbarkeit gewährleistet werden kann? Lauter billige Rechner, lauter teure Rechner, Kombination von billigen und teuren Rechnern?

8 Zuverlässigkeit und Verfügbarkeit Serviceausfälle

9 Wie und warum fallen Systeme aus? Kategorisierung nach drei Dimensionen: Dauer des Ausfalls Effekt oder Auswirkung des Ausfalls Reichweite oder Bereich des Ausfalls

10 Dauer von Ausfällen Permanente Ausfälle System hört auf zu arbeiten, Reparatur oder Austausch unmöglich (z.b. unbemannte Raumsonden) Behebbare Ausfälle System ist nach Behebung eines Fehlers oder Schadens wieder betriebsbereit (z.b. Wiederherstellung der Internetverbindung zur Web Site) Vorübergehende Ausfälle Von sehr kurzer Dauer, keine aufwendigen Wiederherstellungsaktionen erforderlich (z.b. Server neu starten, Router rebooten, usw.)

11 Effekt von Ausfällen Funktionale Ausfälle Ein System verhält sich nicht mehr entsprechend seiner funktionalen Spezifikation (z.b. online Buchverkauf: Buch wird nicht angezeigt, obwohl es sich im Katalog befindet) Performanceeinbußen ( -ausfälle ) Ein System arbeitet zwar funktional korrekt, bringt aber zu geringe Leistung, SLAs nicht erfüllt (z.b. Suchmaschine liefert gute Resultate, braucht aber im mehr als eine Minute zur Bearbeitung einer Anfrage)

12 Bereich von Ausfällen Teilweiser Ausfall Manche Services des Computersystems fallen aus, während andere weiter benutzt werden können (z.b. online Versteigerung: Mitsteigern fällt aus, aber die aktuellen Angebote werden korrekt angezeigt) Gesamtausfall Komplette Unterbrechung aller Services, die das Computersystem anbietet (z.b. wegen Stromausfalls)

13 Zuverlässigkeit und Verfügbarkeit Modellierung

14 Modellierung: Definitionen (1) Zuverlässigkeit (reliability) R = Wahrscheinlichkeit, dass das System oder die Komponente über einen gegebenen Zeitraum T durchgehend korrekt funktioniert Verfügbarkeit (availability) A Komponenten oder Systeme alternieren zwischen Up - und Down-Perioden Up-Periode: System (Komponente) läuft korrekt Down-Periode: Ausfall des Systems (der Komponente) Verfügbarkeit = Anteil der Up-Perioden an der Gesamtzeit

15 Modellierung: Definitionen (2) MTTF (Mean Time To Failure): ø Zeitraum Eintritt in Up-Periode bis Systemausfall MTTR (Mean Time To Recover): ø Zeitraum Eintritt in Down-Periode bis Behebung des Fehlers ( Reparatur ) MTBF (Mean Time Between Failures): ø Zeitraum zwischen zwei Ausfällen MTTF MTTR MTTF up down MTBF up MTBF = MTTR + MTTF nter Ausfall (n+1)ster Ausfall

16 Modellierung: Verfügbarkeitsklassen Üblich: Verfügbarkeit von Systemen durch die Anzahl der 9er beschreiben z.b. fünf 9er : Verfügbarkeit von 99,999% Verfügbarkeitsklasse Verfügbarkeit Nicht verfügbar [min/jahr] Art des Systems 1 90% ungeregelt 2 99% geregelt 3 99,9% 526 gut geregelt 4 99,99% 52,6 fehlertolerant 5 99,999% 5,3 gut erreichbar 6 99,9999% 0,53 sehr gut erreichbar 7 99,99999% 0,053 ultra erreichbar

17 Beispiel Web Site fällt eine Minute pro Woche aus Ist eine fünf 9er Verfügbarkeit möglich? 1Jahr hat 52 Wochen 52 Minuten Ausfall pro Jahr Tabelle Klasse 4 (99,99% Verfügbarkeit) entspricht 52,6 [min/jahr] Also ist maximal eine vier 9er Verfügbarkeit für diese Web Site möglich

18 Modellierung: Übergangsdiagramm (1) System hat zwei Zustände: up und down p up : Wahrscheinlichkeit(System ist up ) p down : Wahrscheinlichkeit(System ist down ) p + p up down = 1 Übergangswahrscheinlichkeiten λ: Wahrscheinlichkeit(Ausfall) = P(up down) µ: Wahrscheinlichkeit(Wiederherstellung) = P(down up)

19 Modellierung: Übergangsdiagramm (2) Zustandsübergangsdiagramm für die Verfügbarkeit eines Systems Up λ Down λ = 1 MTTF 1 µ = µ MTTR Aus Kapitel 6 Flow in = Flow out λp up = µp down p up + p down = 1

20 Modellierung: Übergangsdiagramm (3) Verfügbarkeit A = p up Nichtverfügbarkeit U = p down Aus λp up = µp down erhält man p up + p down = 1 p up µ µ + λ =, pdown = λ µ + λ A U = = p p up = down 1 = 1 MTTR MTTR + 1 MTTF MTTR MTTF + MTTR = = MTTF MTTF + MTTR MTTR MTBF MTTR MTTF Meistens ist MTTF bedeutend länger als MTTR

21 Web Site Architektur Beispiel 1 2 Web-, 1 Applikations- und 1 Datenbankserver Applicationserver wird alle 20 Tage rebooted Administrator benötigt 10[min] zum Rebooten Verfügbarkeit des Applikationsservers? 20 Tage in [min] MTTF A = = = 99, 965% MTTF + MTTR

22 Beispiel 1 - Fortsetzung Beachte: Auswirkungen der Änderung von MTTR und MTTF Reduktion der MTTR um 20% A=99.972% Um dieses A mit der ursprünglichen MTTR zu erreichen, müßte MTTF um 24% erhöht werden (auf 35.7 [min])

23 Beispiel 2 Unterschied zwischen Verfügbarkeit und Zuverlässigkeit Online banking ist alle 4 Stunden 1 Minute lang down Verfügbarkeit A 240( = 4 60 ) A = = = 99, 583% A ist im Prinzip hoch, aber Zuverlässigkeit R möglicherweise eher gering (für T > 4 h, insbesondere in kritischen Zeiträumen, z.b. Marktveränderungen)

24 Beispiel 2 - Fortsetzung Wenn System alle 24h für 6min down wäre Verfügbarkeit gleich, aber Zuverlässigkeit besser! Allgemein: Zuverlässigkeit = P(System arbeitet im Zeitraum T durchgehend korrekt) T sehr groß, also T, dann Zuverlässigkeit Verfügbarkeit R A

25 Zuverlässigkeit und Verfügbarkeit Komponentenebene serielles System

26 Zuverlässigkeit der Systemkomponenten Zuverlässigkeit R s eines Systems als Funktion d. Komponentenzuverlässigkeiten? r i = Zuverlässigkeit einer Komponente i r 1 r 2 r n Zuverlässigkeit der gesamten Serie? Annahme: Ausfälle von Komponenten unabhängig voneinander R s = r 1 r 2... r n = n i= 1 r i Serielles System arbeitet nur dann korrekt, wenn keine seiner Komponenten ausfällt

27 Beispiel Web Site besteht aus seriellem System Webserver (WS) - Applikationsserver (AS) - Datenbankserver (DS) Zuverlässigkeit der Komponenten r WS = 0,9; r AS = 0,95; r DS = 0,99 Management plant, den DS durch ein besseres (teures und sehr ausfallssicheres) Gerät mit r DS NEU = 0,999 zu ersetzen Ist das eine gute Entscheidung?

28 Beispiel Zuverlässigkeit der Site: Aktueller DS R Site = r WS r AS r DS = 0, 9 0, 95 0, 99 = 0, Zuverlässigkeit der Site: Neuer DS DS NEU R = rws ras rdsneu Site = 0,9 0,95 0,999 = 0,854145

29 Beispiel Angenommen, WS statt dem DS mit einem Gerät von r WSNEU = 0,95 austauschen WS NEU R = rwsneu ras rds Site = 0,95 0,95 0,99 = 0, größere Gesamtverbesserung, wenn die Zuverlässigkeit der schwächsten Komponente erhöht wird Es müssen allerdings auch die Kosten in Betracht gezogen werden

30 Zuverlässigkeit: Anzahl der Komponenten Angenommen: alle Komponenten eines seriellen Systems haben die gleiche Zuverlässigkeit r Dann ist R S = r n, wobei n = # Komponenten Zuverlässigkeit Anzahl der Kom ponenten r = 90% r = 95% r = 99%

31 Zuverlässigkeit und Verfügbarkeit Komponentenebene paralleles System

32 Parallele Komponenten Redundanz durch Vervielfachung der Komponenten Ermöglicht es, die Zuverlässigkeit zu erhöhen Das System fällt nur dann aus, wenn alle parallelen Komponenten ausfallen

33 Zuverlässigkeit: Paralleles System r 1 r 2 Zuverlässigkeit R p des parallelen Systems =? r n R R p p = P(System funktioniert) = 1 P(System funktioniert nicht) = 1 P(alle Komponenten fallen aus) = 1 (1 r ) (1 r )... (1 r ) n i= = 1 (1 r ) i n

34 Zuverlässigkeit: Anzahl der Komponenten Angenommen: alle Komponenten eines parallelen Systems haben die gleiche Zuverlässigkeit r Dann ist R p = 1-(1-r) n, wobei n = # Komponenten 1,2 1 Zuverlässigkeit 0,8 0,6 0,4 0, Anzahl der parallelen Komponenten r = 90% r = 95% r = 99%

35 Beispiel Suchmaschine soll eine Zuverlässigkeit von 99,999% haben besteht aus mehreren parallelen Servern Cluster: eher billige, unverläßliche Webserver Zuverlässigkeit eines Webservers: 85% Wie viele Server dieser Art muß der Cluster mind. enhalten? Zuverlässigkeit der Suchmaschine 0 n n, = 1 ( 1 0, 85 ) = 1 0, 15 n 0, 15 = 1 0, = 0, # Server Zuverlässigkeit einer Komponente

36 Resultat n Beispiel - Fortsetzung log 0, = = 0 15, log, n muß eine ganze Zahl sein Verallgemeinerung = 7 Mindestens 7 Server werden benötigt n = log( 1 R log( 1 r p ) )

37 Übersicht Ø Zeitraum zwischen Ausfällen Verfügbarkeit Nichtverfügbarkeit MTBF = MTTF + MTTR A = MTTF MTTF + MTTR MTTR U = = MTTF + MTTR MTTR MTBF

38 Übersicht Serielles System Zuverlässigkeit R s (n Komponenten mit Verfügbarkeit r i ) Paralleles System Zuverlässigkeit R p (n Komponenten mit Verfügbarkeit r i ) n R s = r i R i= 1 n p = 1 ( 1 ri ) i= 1 Minimale Anzahl (n min ) an Servern mit Zuverlässigkeit r, um die Zuverlässigkeit R p zu erreichen n min = log( 1 R log( 1 r p ) )

39 Zuverlässigkeit und Verfügbarkeit Performance und Verfügbarkeit

40 Zusammenhang Verfügbarkeit - Performance Performance (z.b. Antwortzeit) ist stark mit der Verfügbarkeit verknüpft Redundanz erhöht die Verfügbarkeit (Cluster) Redundanz erhöht auch die Performance Beispiel: Internet Data Center (IDC) n identische Webserver Ankunftsrate gesamt: λ [Anfragen/s] gleichmäßig verteilt auf k up-server (k=1,,n) Arbeitslast pro Server: λ/k [Anfragen/s] Performance steigt

41 Systemanalyse Gesamtanalyse eines Systems in drei Schritten Nur Verfügbarkeitsaspekte Nur Performanceaspekte Kombination der beiden vorigen Analysen ( Performability Analysis )

42 Zuverlässigkeit und Verfügbarkeit Verfügbarkeitsanalyse von Mehrkomponentensystemen

43 Verfügbarkeitsanalyse (1) Zustandsübergangsdiagramm (vgl. Kapitel 6) p k = P(k Server sind down ) Annahmen Ausfallsrate eines Servers = 1/MTTF Zu einem beliebigen Zeitpunkt können maximal m Server in Reparatur sein Rate, mit der ausgefallene Server wieder in Betrieb genommen werden können = 1/MTTR

44 Verfügbarkeitsanalyse (2) 1 Server, die auf Reparatur warten 2 m Up-Server in Reparatur

45 Zustände, Übergangsraten Zustand k (k = 0,, n): k Server sind down Übergangsrate von (k-1) nach k = α k-1 (k = 1,, n) Ausfall eines Servers Übergangsrate von k nach (k-1) = µ k (k = 1,, n) Reparierter Server wird wieder in Betrieb genommen

46 Verfügbarkeitsanalyse (3) (Gesamt-)Ausfallsrate im Zustand k: α k = (n-k)/mttf (vgl. Kapitel 6 Bedenkzeit) (Gesamt-)Wiederherstellungs-/Reparaturrate: Für k m wird jeder Server mit einer Rate von 1/MTTR repariert, also ist µ k = k/mttr Für k > m können nur m Server repariert werden, das heißt, µ k = m/mttr α k = ( n k ) MTTF, µ k = k m MTTR MTTR k k = 1,...,m = m + 1,...,n

47 Verfügbarkeitsanalyse 4 n MTTF n 1 MTTF n m + 1 MTTF n m MTTF n k + 1 MTTF n k MTTF 1 MTTF 0 1 m k n 1 MTTR 2 MTTR m MTTR m MTTR m MTTR m MTTR m MTTR vgl. Kapitel 6 - endliche Bevölkerung, variable Servicerate

48 Availability.xls und Performability.xls auf