Typy quorum

Typy quorum klastra określają, w jaki sposób węzły i ewentualne świadki decydują o jego sprawności.

Po co klastrowi mechanizm quorum

Quorum to zasada podejmowania decyzji o tym, czy rozproszony system ma prawo kontynuować pracę. Węzły klastra wymieniają informacje o swoim stanie, dostępności usług i łączności z pozostałymi uczestnikami. Sama liczba uruchomionych komputerów nie wystarcza jednak do oceny sytuacji, ponieważ część węzłów może być odcięta od reszty sieci, lecz nadal działać i próbować obsługiwać te same zasoby. Taki stan grozi powstaniem dwóch niezależnych grup wykonujących sprzeczne operacje.

Głosowanie quorum ogranicza ryzyko takiego rozdzielenia. Każdy uczestnik otrzymuje głos, a dodatkowy głos może należeć do świadka. Grupa, która uzyska wymaganą większość, może uruchamiać lub utrzymywać zasoby klastra. Uczestnicy pozbawieni większości przechodzą w stan oczekiwania albo zatrzymują odpowiednie usługi. Dzięki temu system wybiera jedną stronę jako uprawnioną do działania, zamiast pozwalać obu stronom pracować równocześnie.

Wybór typu quorum nie jest wyłącznie ustawieniem formalnym. Zależy od liczby węzłów, sposobu ich połączenia, dostępności wspólnego magazynu, niezawodności dodatkowego świadka oraz rodzaju awarii, które trzeba obsłużyć. Inna konfiguracja będzie właściwa dla dwóch urządzeń połączonych w jednej lokalizacji, a inna dla większej grupy rozmieszczonej w kilku miejscach.

Najważniejsze odmiany głosowania

W modelu opartym na większości węzłów każdy węzeł ma jeden głos. Przy nieparzystej liczbie uczestników uzyskanie przewagi jest naturalne, ponieważ jedna z grup po awarii łączności otrzyma więcej głosów niż druga. Przy parzystej liczbie węzłów może dojść do remisu. W takim układzie przydatny staje się świadek, który nie obsługuje zwykle właściwej usługi, lecz uczestniczy w rozstrzyganiu, która część klastra zachowuje quorum.

Świadek dyskowy wykorzystuje wydzielony obszar wspólnego magazynu dostępny dla węzłów. Jego głos może rozstrzygnąć sytuację, w której same węzły nie tworzą większości. Takie rozwiązanie wymaga jednak sprawnego, wspólnego nośnika oraz poprawnej kontroli dostępu. Awaria magazynu może pozbawić klaster dodatkowego głosu, a w niektórych architekturach także zasobów potrzebnych do pracy, dlatego świadek dyskowy nie powinien być traktowany jako niezależne zabezpieczenie bez analizy całej infrastruktury.

Świadek plikowy przechowuje informacje potrzebne do głosowania w udziale sieciowym. Jego zaletą jest brak konieczności udostępniania tego samego dysku wszystkim węzłom. Udział musi być jednak dostępny z właściwych lokalizacji i chroniony przed przypadkowym usunięciem lub zmianą uprawnień. W środowiskach rozproszonych spotyka się również świadka działającego w usłudze zewnętrznej, gdy lokalne połączenia między ośrodkami mogą ulec przerwaniu. Niezależnie od odmiany świadek powinien znajdować się w miejscu, którego awaria nie odetnie jednocześnie większości węzłów.

Niektóre implementacje zmieniają znaczenie głosów zależnie od aktualnego stanu uczestników. Głos może zostać czasowo wyłączony, gdy dany węzeł jest niedostępny albo jego obecność zwiększa ryzyko błędnej decyzji. Mechanizmy te pomagają utrzymać pracę po awarii, ale utrudniają ręczną ocenę sytuacji. Dlatego przy analizie trzeba sprawdzić bieżący skład głosujących, a nie tylko pierwotną liczbę urządzeń.

Awaria łączności, utrata głosów i błędne diagnozy

Najczęstszym źródłem nieporozumień jest utożsamianie quorum z prostą regułą „działa połowa komputerów”. Liczy się nie sama liczba uruchomionych węzłów, lecz suma aktywnych głosów i możliwość uzyskania większości według aktualnej konfiguracji. Dwa działające urządzenia mogą utracić quorum, jeżeli trzeci węzeł lub świadek posiada rozstrzygający głos, a dostęp do niego został przerwany. Z kolei pojedynczy węzeł może pozostać uprawniony do pracy, jeśli konfiguracja została przygotowana właśnie na taki scenariusz.

Awaria może dotyczyć wielu warstw: zasilania, kart sieciowych, przełączników, tras między lokalizacjami, udziału plikowego, wspólnego magazynu albo samej usługi odpowiadającej za komunikację. Objaw w postaci zatrzymania zasobów nie musi więc oznaczać uszkodzenia dysku lub pamięci. Również komunikat o utracie quorum nie dowodzi jeszcze, że uszkodzone są wszystkie węzły. Często wskazuje jedynie, że system nie ma wystarczających dowodów, aby bezpiecznie kontynuować pracę.

Ryzykownym działaniem jest ręczne uruchamianie zatrzymanych zasobów bez ustalenia, która grupa ma aktualnie prawo do pracy. Przywrócenie zasilania albo łączności może spowodować ponowne pojawienie się drugiej strony. Zanim zmieni się ustawienia głosowania, należy ustalić kolejność awarii, stan połączeń, dostępność świadka oraz to, czy izolowany węzeł rzeczywiście został odłączony od zasobów współdzielonych. Dokumentacja powinna opisywać także procedurę powrotu węzła po awarii, ponieważ samo odzyskanie quorum nie zawsze kończy proces przywracania usług.

Warto odróżnić utratę quorum od problemu z wydajnością. Opóźnienia, przeciążenie procesora lub wolny nośnik mogą powodować przerwy w działaniu aplikacji, ale nie muszą zmieniać wyniku głosowania. Analiza powinna obejmować dzienniki systemowe, zdarzenia komunikacyjne i stan urządzeń fizycznych. Dopiero korelacja tych danych pozwala wskazać, czy przyczyną był rzeczywisty brak większości, czy błąd innego podsystemu.

Jak przygotować sprzęt do bezpiecznej diagnostyki

Jeżeli problem z quorum pojawia się razem z restartami, zanikami obrazu, błędami pamięci, problemami z zasilaniem albo niewykrywaniem dysku, potrzebna jest również kontrola sprzętowa. Diagnostyka powinna objąć zasilacz, płytę główną, moduły pamięci, układ chłodzenia, dyski oraz połączenia przewodowe. Niestabilne napięcie lub przegrzewanie mogą powodować powtarzające się wyłączenia węzła, które z punktu widzenia klastra wyglądają jak utrata uczestnika głosowania.

Przed przekazaniem urządzenia do naprawy warto zapisać komunikaty błędów, godziny restartów i kolejność zdarzeń. Pomocne są również informacje o tym, czy problem występuje po zimnym uruchomieniu, po nagrzaniu sprzętu, podczas obciążenia dysku albo po poruszeniu przewodem. Takie dane ułatwiają odróżnienie usterki fizycznej od problemu z konfiguracją lub łącznością.

Warszawskie Pogotowie Komputerowe świadczy usługi profesjonalnej naprawy laptopów i komputerów stacjonarnych wraz z podzespołami. W zakres prac może wejść także podstawowy odzysk danych z uszkodzonych nośników, jeśli stan urządzenia na to pozwala.

Do serwisu warto zgłosić sprzęt wtedy, gdy objawy wskazują na niestabilne zasilanie, przegrzewanie, uszkodzenie pamięci, awarie dysku lub powtarzające się restarty. Przed naprawą należy zabezpieczyć dostępne kopie danych i nie wykonywać pochopnych operacji zapisu na nośniku, który może być uszkodzony. Sama naprawa elementu fizycznego nie zastąpi późniejszej weryfikacji konfiguracji głosowania, ale może usunąć przyczynę powtarzających się utrat uczestnika i ułatwić dalszą analizę przez administratora.