Systèmes modulaires : évolution de la fiabilité

Transcription

1 Systèmes modulaires : évolution de la fiabilité Par Neil Rasmussen Suzanne Niles Livre blanc n 76

2 Résumé de l étude La nature a depuis longtemps prouvé que dans les systèmes complexes, ce sont les conceptions modulaires qui survivent et se développent. Ce succès découle en grande partie de l avantage critique en matière de fiabilité que constitue la tolérance aux pannes, grâce à laquelle un système modulaire peut déplacer les activités de modules défectueux vers d autres modules opérationnels pendant que des réparations sont effectuées. Dans les datacenters, la conception modulaire est déjà bien ancrée dans les nouvelles architectures tolérantes aux pannes pour serveurs et systèmes de stockage. À mesure que les datacenters continuent à évoluer et à reproduire les schémas de la nature, l infrastructure physique de réseaux critiques (NCPI) doit également progresser pour prendre en charge de nouvelles stratégies de survie, de récupération et de croissance. 2

3 Introduction La modularité est une technique reconnue pour l organisation et la simplification d un système complexe. De l élémentaire (batteries d éclairage portatives) au complexe (les cellules d un organisme), la modularité a démontré une réussite qu il est difficile de remettre en question. En revanche, dans les systèmes créés par l Homme à l aube de la transition évolutionnaire de la conception monolithique vers le modulaire, scepticisme et lenteur peuvent surgir jusqu à ce que la modularité s installe et commence à dévoiler ses avantages éprouvés par le temps. L infrastructure physique de réseaux critiques (NCPI) des datacenters est précisément dans cette phase de transition. Alors que les atouts physiquement évidents d une architecture de blocs constitutifs, à savoir l évolutivité, la souplesse, la simplicité et la mobilité, sont faciles à appréhender et ne sont pas réellement sujets à controverse, un aspect de la conception modulaire dans ce secteur suscite le débat : la fiabilité. L application d une analyse de fiabilité classique et simple à cette nouvelle façon de procéder («un nombre accru d éléments implique un plus grand risque de défaillance») est pour le moins incomplète, voire trompeuse. L objet de ce livre blanc est d illustrer, par le biais d études de cas, comment la modularité apporte non seulement ses avantages les plus tangibles et les plus faciles à comprendre, mais aussi son profond atout, à la fois plus subtil et moins bien perçu : la tolérance aux pannes. La tolérance aux pannes inhérente à la conception modulaire procure une nouvelle arme puissante contre la défaillance en intégrant dans des systèmes complexes une stratégie de fiabilité non seulement adéquate, mais également supérieure. 3

4 Étude de cas de la nature : les prémices de la vie L histoire de la modularité remonte bien avant les centres de données ou les batteries d'éclairage portatives. Des systèmes non modulaires, les organismes monocellulaires, vivaient sur Terre voilà 3 milliards d années. Les traces fossiles de ces organismes révèlent qu ils ont développé des carapaces, des tentacules, des bouches, des bras, des pinces et d innombrables autres structures complexes. Certains se sont développés pour atteindre des tailles surprenantes, allant jusqu à 15 centimètres. Ces organismes monocellulaires monolithiques complexes ont dominé la chaîne alimentaire de la Terre pendant des milliards d années. Ensuite, voilà quelque 500 millions d années, des organismes multicellulaires ont fait leur apparition. Les débuts de la vie monocellulaire complexe En moins de 10 millions d années, ils ont évolué à une vitesse telle qu ils ont récupéré 3 milliards d années d évolution des organismes monocellulaires complexes, pour finalement les remplacer. L avantage modulaire des organismes multicellulaires Photo courtesy David Walker, Brian Darnton Pourquoi les organismes multicellulaires modulaires ont-ils pris le pas sur les organismes monolithiques pourtant bien enracinés? Capacité d évolution et de croissance. La croissance du système, tant en taille qu en ajout de nouvelles capacités, s est concrétisée par la simple addition de nouveaux modules (cellules) capables d interagir avec les modules existants par le biais d interfaces standard. Processus de duplication plus simple. La duplication d un grand nombre de cellules plus petites et moins complexes était plus facile, plus rapide et plus fiable que la duplication d une seule cellule complexe. Les débuts de la vie Capacité de spécialisation de la fonction de modules. La délégation et la spécialisation des tâches des cellules offraient la même efficacité inhérente au travail d équipe. Dans les premiers organismes multicellulaires, un type de cellule pouvait servir au déplacement, un autre à la protection, un autre encore à l alimentation, etc. Adaptation rapide à l environnement. En ajoutant, retirant ou modifiant des cellules, les modifications incrémentales de l organisme pouvaient être plus rapidement testées et adoptées ou rejetées. Tolérance aux pannes. Grâce à la redondance des cellules, des cellules individuelles pouvaient défaillir sans dégradation du système, tout en permettant une réparation parallèle des cellules sans temps d arrêt du système (incapacité ou mort dans ce cas précis). 4

5 Le dernier attribut mentionné ci-dessus, la tolérance aux pannes, est un avantage critique en matière de fiabilité que possèdent les systèmes modulaires par rapport aux systèmes monolithiques. La modularité «répartit» un système en petits éléments, ce qui facilite la redondance des composants de telle sorte que la défaillance d un ou plusieurs d entre eux n affecte pas nécessairement le fonctionnement de l'ensemble. D une simple égratignure, la peau humaine peut perdre des centaines de cellules sans pour autant que nos corps pâtissent réellement de cette perte. Les autres cellules subsistent pendant que des réparations sont effectuées. Nous autres, êtres humains, n avons pas inventé la modularité ; nous sommes la modularité. Avec des milliards de modules (cellules) par individu, nous bénéficions personnellement chaque jour des avantages de la tolérance aux pannes. Étude de cas informatique : unités de disque À l époque des mainframes des datacenters, les périphériques de stockage étaient des disques durs propriétaires de grande capacité, constitués de piles de plateaux métalliques de 35,56 cm, de mécanismes de lecture/écriture élaborés et d armoires de la taille de lave-linge. En 1978, IBM a breveté l idée d utiliser des matrices de disques plus petits, mais ne l a pas poussée plus loin, convaincus que cette solution ne serait jamais aussi fiable que les systèmes monolithiques conventionnels. L étude et la pratique de la tolérance aux Mainframe IBM 3370 pannes n en étaient qu à leurs balbutiements et se limitaient stockage sur disque essentiellement au secteur aérospatial dans lequel la défaillance de composants de systèmes électroniques pouvait coûter des vies. 1 Photo IBM Archives, permission pending 1 De nos jours, l informatique étant au cœur même de pratiquement tous les secteurs, y compris l armée et les soins de santé, les centres de données peuvent s avérer à ce point critiques qu une défaillance peut avoir un coût en vies humaines. La pertinence de la tolérance aux pannes dans leur conception dépasse donc largement les exigences des intérêts économiques. 5

6 En 1987, des chercheurs de Berkeley ont remarqué l écart grandissant entre vitesse de traitement et d accès au stockage. Ils ont saisi l opportunité de l apparition d unités de disque externes pour ordinateurs personnels pour les utiliser comme blocs constitutifs d un système offrant un transfert de données plus rapide. Un an plus tard, ils présentaient un article de référence, «A Case for Redundant Arrays of Inexpensive Disks (RAID)», proposant plusieurs modes d écritures des données («niveaux RAID») utilisables par ces matrices pour stocker, extraire et récupérer des données. En 1990, la théorie et le matériel ont convergé grâce à l utilisation de disques de 5,25 pouces du secteur des ordinateurs personnels, des disques qui avaient évolué et offraient désormais la capacité, les performances et la fiabilité nécessaires pour être utilisables dans les premières matrices RAID. Ces nouveaux périphériques de stockage modulaires offraient tout un éventail de compromis entre redondance et vitesse de lecture/écriture et occupaient une fraction de l espace nécessaire aux périphériques de stockage des mainframes qu ils remplaçaient. L avantage modulaire des matrices RAID Pourquoi les matrices RAID modulaires ont-elles pris le pas sur les anciens périphériques de stockage monolithiques? Capacité d évolution et de croissance. La capacité de stockage peut être accrue en augmentant le nombre de modules par matrice ou en ajoutant des matrices. Matrice RAID Processus de duplication plus simple. Il est beaucoup plus facile de fabriquer les nombreux petits disques qui servent de modules RAID que les anciens disques complexes de grande capacité. Capacité de spécialisation de la fonction de modules. Les différents disques d une matrice peuvent être utilisés pour accroître la capacité de stockage, accélérer la vitesse d accès ou augmenter la redondance, selon le niveau RAID défini pour la matrice. En outre, les matrices RAID proprement dites peuvent être considérées comme des modules à un niveau supérieur, une application différente étant affectée à chaque matrice RAID. Adaptation rapide à l environnement. Il est possible d ajouter et de retirer des disques ainsi que de changer aisément le niveau RAID pour obtenir les compromis recherchés en termes de capacité, vitesse et redondance. Tolérance aux pannes. Les modes d écriture de données RAID incorporent la redondance qui offre la possibilité de récupérer des données en cas de défaillance d un des lecteurs. À la surprise de ses concepteurs, l accueil enthousiaste de la solution RAID par le marché n était pas tant motivé par le gain de vitesse (objectif original) que par l accroissement de la fiabilité découlant de la tolérance aux pannes. Les auteurs de l article de 1988 ont démontré les possibilités de tolérance aux pannes du modèle RAID en retirant tout simplement un disque au cours de présentations en direct sans que la matrice cesse de fonctionner. Auparavant, prédominait la notion classique, mais erronée, de la fiabilité dans son acception antérieure à l avènement de la tolérance aux pannes : un système à plusieurs disques était forcément moins fiable parce que constitué d un plus grand nombre de composants. 6

7 Étude de cas informatique : serveurs lames Les serveurs lames sont au cœur d une transition vers la conception modulaire qui est en cours à l heure même que ce livre blanc est rédigé. Depuis de nombreuses années, les serveurs autonomes traditionnels ont gagné en taille et en rapidité, assumant de plus en plus de tâches à mesure de l'expansion de l'informatique en réseau. Les datacenters se sont vus adjoindre de nouveaux serveurs au gré des besoins, souvent pour résoudre rapidement un problème, avec peu de coordination ou de planification. Ainsi, il n'était pas rare que les opérateurs de datacenter découvrent que des serveurs avaient été ajoutés sans qu'ils le sachent. La complexité des armoires et du câblage qui en a découlé s'est transformée en une source croissante de confusion, d'erreurs et d'absence de flexibilité. Serveurs conventionnels Apparus pour la première fois en 2001, les serveurs lames représentent un exemple très simple et pur d'architecture modulaire ; les lames du châssis d'un serveur lame sont physiquement les mêmes, avec des processeurs identiques, prêtes à être configurées et utilisées à toute fin décidée par l'utilisateur. Leur introduction a apporté de nombreux avantages de la modularité au paysage des serveurs : évolutivité, facilité de duplication, spécialisation de fonction et adaptabilité. Mais si ces avantages classiques de la modularité ont entraîné une présence croissante des serveurs lames dans les datacenters, leur exploitation à plein potentiel est toujours en attente de la mise en œuvre générale d'un atout clé restant de la conception modulaire : la tolérance aux pannes. Des serveurs lames tolérants aux pannes intégrant une logique de «reprise» pour le transfert des opérations de lames défectueuses vers des lames saines ne sont disponibles et abordables que depuis très récemment. La fiabilité de ces serveurs tolérants aux pannes surpassera celle des techniques actuelles qui impliquent des logiciels redondants et des grappes de serveurs uniques et permettra aux serveurs lames de devenir l'architecture de serveur dominante des datacenters. Avec l émergence de la tolérance aux pannes automatisée, les analystes du secteur prévoient une migration rapide vers les serveurs lames dans les 5 prochaines années. 7

8 L avantage modulaire des serveurs lames Pourquoi les serveurs lames modulaires vont-ils prendre le pas sur les gros serveurs autonomes? Capacité d évolution et de croissance. La capacité de traitement peut être aisément accrue en ajoutant des modules (lames). Processus de duplication plus simple. Il est beaucoup plus facile de fabriquer de nombreuses petites lames que des serveurs entiers. Les alimentations, ventilateurs, connexion réseau et autres composants de support sont centralisés dans le châssis et partagés par les lames, ce qui simplifie la structure de ces dernières. Serveur lame (10 lames dans le châssis) Capacité de spécialisation de la fonction de modules. Les différentes lames peuvent être configurées avec les applications logicielles désirées par l'utilisateur. Adaptation rapide à l environnement. Il est possible d'ajouter ou de retirer des lames en fonction d exigences commerciales ou financières et les lames peuvent être reconfigurées pour exécuter différentes applications. Tolérance aux pannes. La défaillance d'une lame peut être gérée automatiquement par la logique de «reprise» qui transfère de manière transparente les opérations vers d'autres lames. Le changement de la notion de défaillance pour les systèmes informatiques Ces études de cas démontrent la prévalence du modèle modulaire sur la conception monolithique complexe pour des raisons fondamentales propres à la nature de la modularité. L une de ces raisons, la tolérance aux pannes, a de profondes implications pour l'avenir des datacenters. Lorsque les serveurs et les périphériques de stockage seront devenus tolérants aux pannes dans l'ensemble du datacenter, la définition même de la défaillance informatique changera. Envisagez deux scénarios différents de défaillance dans un datacenter (Figure 1). La partie droite figure une défaillance de tous les racks, telle qu'elle surviendrait si un seul et même gros onduleur protégeant l'ensemble du datacenter venait à connaître une défaillance et à stopper l alimentation. La partie gauche illustre la défaillance d un seul rack. Dans les datacenters conventionnels, ces deux scénarios seraient considérés comme la même défaillance par les Responsables Informatique, dans la mesure où dans le cas de la défaillance d un seul rack, les interdépendances entre serveurs, matrices de disques, commutateurs et routeurs auraient probablement des effets dominos entraînant l arrêt complet du datacenter. 8

9 Avec la progression des conceptions modulaires de type matrice dans les systèmes informatiques et les périphériques de stockage, la défaillance de gauche (un seul rack) commence à être considérée par les responsables informatiques comme une «meilleure» panne, étant donné que la redondance des ressources offre désormais une possibilité de survie au datacenter, même lorsque des unités spécifiques connaissent des défaillances. À mesure que se répandront les architectures à tolérance de panne, les datacenters pourront tolérer un plus grand nombre de pannes d unités sans défaillance complète du système. Lorsque les serveurs lames offriront la tolérance de panne transparente qu ils ont toujours laissé espérer, un datacenter pourra survivre à la défaillance d un, deux, trois racks, voire plus. Figure 1 Deux scénarios de défaillance pour un datacenter Vue du dessus, quatre rangées de huit racks chacune Défaillance d un rack Tous les racks sont défaillants 9

10 Implications pour l infrastructure physique de réseau critique (NCPI Network Critical Physical Infrastructure) Ce nouveau paradigme de la gestion des défaillances (l acceptation de la défaillance inévitable de certains modules s est combinée à une préparation robuste pour y survivre) a des implications sur la façon de protéger la nouvelle architecture informatique par son infrastructure physique de réseaux critiques (NCPI). Par exemple, à mesure que les datacenters gagnent en tolérance de panne dans leur couche informatique, la protection par un seul gros onduleur deviendra moins optimale puisque la défaillance de ce seul onduleur arrête tout le système ; une situation inacceptable dans un datacenter tolérant de panne capable de survivre à la perte d un rack. Si des onduleurs sont répartis dans l ensemble du datacenter, un onduleur par rack, la défaillance d un seul onduleur n entraînera celle que d un seul rack, et non de tout le système. Même si les onduleurs sont plus nombreux, ce qui accroît le risque de défaillance d un onduleur spécifique, cette défaillance peut être tolérée par le système. Si la défaillance de trois racks est nécessaire pour que le système complet tombe en panne, il faudrait que trois de ces onduleurs tombent en panne simultanément pour arrêter le système ; un événement très peu probable, bien moins en tout cas que la défaillance d un seul gros onduleur. De ce fait, la théorie de la fiabilité est largement favorable à une architecture distribuée et modulaire de l alimentation et du refroidissement à mesure que les systèmes informatiques progressent en termes de tolérance aux pannes. Comparaison entre infrastructure NCPI monolithique et modulaire L architecture de l infrastructure physique de réseaux critiques (NCPI) est restée pratiquement inchangée au cours des 30 ans d histoire des datacenters. Des petites salles informatiques aux installations des grandes entreprises, le modèle d infrastructure physique est resté un «site» centralisé pour la protection de l alimentation et le refroidissement. La conception de ce type d infrastructure se traduit par une configuration unique et monolithique de matériel et de connexions. En remplaçant ce type d architecture par un modèle modulaire, l infrastructure NCPI peut non seulement prendre correctement en charge les équipements Onduleur monolithique centralisé informatiques à tolérance de panne et modulaire, mais l équipement NCPI proprement dit peut également bénéficier des avantages de la modularité, y compris de la fiabilité de la tolérance de panne. 10

11 Les avantages de l infrastructure NCPI modulaire L infrastructure NCPI modulaire va-t-elle remplacer l infrastructure NCPI monolithique conventionnelle? Capacité d évolution et de croissance. L infrastructure NCPI modulaire peut être dimensionnée pour être en ligne avec les exigences informatiques actuelles du datacenter et croître à mesure que les besoins l exigent. Cet avantage est d une importance particulière pour l infrastructure NCPI, dans laquelle la méthode traditionnelle était le déploiement en une fois des systèmes d alimentation et de refroidissement nécessaires pour supporter les exigences informatiques prévues, ce qui se traduit par des gaspillages significatifs tant en dépenses d investissement que de fonctionnement. Processus de duplication plus simple. La conception modulaire implique la fabrication d un grand nombre de petites unités plutôt que celle d un petit nombre de grandes unités. L accroissement du volume de production est synonyme de réduction du nombre de défauts ; des modèles plus petits et plus simples autorisent une plus grande automatisation et moins de travail manuel pendant la fabrication, ce qui se traduit par moins de défaillances. Capacité de spécialisation de la fonction de modules. Les unités de protection de l alimentation et de refroidissement peuvent être fabriquées dans des configurations variées adaptées aux exigences de disponibilité et de refroidissement spécifiques de différentes parties du datacenter. Adaptation rapide à l environnement. L ajout de nouveau matériel et le changement de l équipement informatique tous les 2 à 3 ans implique que le contenu des datacenters est en évolution constante. Le nouvel équipement peut présenter différentes tailles ou formes, diverses exigences d alimentation ou de refroidissement, différents connecteurs, etc. L infrastructure NCPI modulaire peut être étendue ou reconfigurée aisément pour faire face à cette évolution des besoins informatiques. Onduleur modulaire de niveau rack Tolérance aux pannes. De même que l équipement informatique tolérant aux pannes permet un fonctionnement continu du datacenter en cas de défaillance d un composant informatique, l équipement NCPI tolérant aux pannes autorise la poursuite du fonctionnement de l alimentation ou du refroidissement lorsqu un composant tombe en panne. Il est possible de mettre en œuvre la tolérance aux pannes par la redondance d unités NCPI ou par la redondance interne de composants au sein d unités NCPI ; par exemple, avec des modules d alimentation supplémentaires dans un onduleur. Comme dans les études de cas de la conception modulaire qui précèdent, les quatre premiers attributs ci dessus contribuent au succès du modèle, mais le cinquième, la tolérance aux pannes, est critique. En outre, étant donné que le fonctionnement du datacenter dépend de manière absolue de l alimentation et du refroidissement, la fiabilité de la tolérance aux pannes est aussi critique dans l infrastructure NCPI que dans l équipement informatique qu elle protège. Un datacenter tolérant aux pannes sans infrastructure NCPI tolérant aux pannes n aurait pas plus de sens qu un pont suspendu avec une plate-forme solide mais des câbles fragiles. 11

12 Conclusion La transition du modèle monolithique au modèle modulaire est une évolution naturelle des systèmes complexes en raison des avantages que la modularité procure en matière d efficacité, de flexibilité et de fiabilité. L analyse de différentes réussites permet d appréhender aisément le potentiel d améliorations significatives, voire révolutionnaires, que pourrait apporter la modularité à des systèmes qui ont toujours été monolithiques et n ont jamais été perçu d aucune autre manière. La tolérance de panne et d autres atouts clés de la modularité (évolutivité, adaptabilité, capacité de spécialisation et de duplication) sont tout aussi évidents et inévitables dans les systèmes modulaires nés de la main de l Homme que dans ceux de la nature. Le monde informatique a toujours perçu ces avantages dans l apparition de modèles modulaires pour les systèmes de stockage et de traitement ; matrices RAID et serveurs lames. Plus remarquable encore, les datacenters sont désormais prêts à suivre des secteurs tels que l aérospatiale dans le déploiement à l échelle du système d un avantage de la modularité exploité de manière systématique dans les systèmes vitaux depuis les années 1970 : la tolérance de pannes. La tolérance de panne admet qu un contrôle prudent de la qualité des composants n est que le premier pas vers la fiabilité d un système et que le fonctionnement continu de ce système en cas de défaillance de composants est la meilleure tactique qui puisse être en matière de fiabilité. Alors même que la modularité et la tolérance de panne deviennent le nouveau modèle pour la conception des datacenters, l infrastructure physique de réseaux critiques (NCPI) se doit également d évoluer dans la même direction, tant pour protéger ces datacenters de manière efficaces que pour bénéficier des avantages de la modularité pour sa propre efficacité, souplesse et fiabilité. Livres blancs connexes Livre blanc APC n 117, «Infrastructure physique des réseaux : optimisation de la valeur commerciale». Livre blanc APC n 116, «Standardisation et modularité dans l infrastructure physique de réseaux critiques». 12

13 À propos des auteurs : Neil Rasmussen est l un des fondateurs d American Power Conversion et occupe le poste de Directeur des Technologies. À ce titre, il est responsable du plus important budget de R&D au monde exclusivement consacré à l infrastructure des racks, de l'alimentation et du refroidissement des réseaux critiques. Les principaux centres de R&D des produits APC sont situés dans le Massachusetts, le Missouri, à Rhode Island, au Danemark, à Taiwan et en Irlande. Neil Rasmussen dirige actuellement les efforts d APC en vue d établir des solutions modulaires et extensibles pour les datacenters. Avant la fondation d APC, en 1981, Neil Rasmussen a obtenu un diplôme d ingénieur et une maîtrise en génie électrique au Massachusetts Institute of Technology avec une thèse sur l analyse de l alimentation de 200 MW d un réacteur à fusion Tokamak. De 1979 à 1981, il a travaillé aux Lincoln Laboratories du MIT sur les systèmes de stockage d énergie à volant d inertie et sur la génération électrique à partir de l énergie solaire. Suzanne Niles est rédactrice de livres blancs au NCPI Science Center d APC. Elle a étudié les mathématiques au Wellesley College et a obtenu une licence d informatique au Massachusetts Institute of Technology, avec une thèse sur la reconnaissance des caractères manuscrits. Elle a assuré des séances de formation pour divers publics depuis plus de 25 ans en utilisant des supports variés tels que des manuels logiciels, la photographie ou des chansons pour enfants. 13