Sistemas modulares: Evolución de la confiabilidad

Transcripción

1 Sistemas modulares: Evolución de la confiabilidad Por Neil Rasmussen Suzanne Niles Informe interno N 76

2 Resumen ejecutivo La naturaleza demostró desde los comienzos que, en un sistema complejo, los diseños modulares son los que sobreviven y se desarrollan. Un importante factor que contribuye a esa capacidad es la ventaja clave en términos de confiabilidad que ofrece la tolerancia a las fallas, en virtud de la cual un sistema modular, ante la falla de ciertos módulos, puede seguir operando con los módulos que funcionan correctamente mientras se realizan las reparaciones necesarias. En el campo de los centros de datos, la noción de diseño modular ya se ha instalado en las nuevas arquitecturas que ofrecen tolerancia a las fallas para servidores y sistemas de almacenamiento. A medida que los centros de datos siguen evolucionando y adoptando elementos del diseño de la naturaleza, la infraestructura física para redes críticas (NCPI) también debe evolucionar para dar cabida a nuestras estrategias de supervivencia, recuperación y crecimiento. 2

3 Introducción La modularidad es una técnica establecida para organizar y simplificar un sistema complejo. Desde los ejemplos más elementales (las pilas de una linterna) hasta los más complejos (las células de un organismo), el éxito histórico de la modularidad es difícil de cuestionar. No obstante, cuando se trata de sistemas creados por el hombre que están por atravesar un proceso de transición evolutiva del diseño monolítico al modular, puede haber escepticismo y comienzos lentos hasta que la modularidad se instale y comience a rendir los frutos inherentes a su probada eficacia. La infraestructura física para redes críticas (NCPI) de los centros de datos se encuentra en esa etapa de transición. Mientras que las ventajas evidentes desde el punto de vista físico de la arquitectura de bloques de construcción escalabilidad, flexibilidad, simplicidad y transportabilidad se comprenden con facilidad y no suelen cuestionarse demasiado, en la industria bajo análisis un aspecto del diseño modular se ha convertido en objeto de debate: la confiabilidad. La aplicación de la simple modalidad clásica de análisis de la confiabilidad de sistemas a esta nueva forma de hacer las cosas ( más partes implican mayor riesgo de fallas ) resulta, en el mejor de los casos, incompleta y, en el peor de los casos, engañosa. En este informe se pretende ilustrar, mediante estudios de casos, el hecho de que la modularidad no solo brinda los beneficios que resultan más obvios y fáciles de entender, sino un beneficio más sutil, menos comprendido y más importante en términos de confiabilidad: la tolerancia a las fallas. La capacidad de tolerancia a las fallas inherente al diseño modular proporciona una nueva y potente defensa contra las fallas, al introducir en los sistemas complejos una estrategia de confiabilidad que no solo resulta adecuada, sino superior a lo buscado. Estudio de caso tomado de la naturaleza: Primeras formas de vida Primera forma de vida unicelular compleja Foto cortesía de David Walker, Brian Darnton La historia de la modularidad es mucho más antigua que los centros de datos y las pilas de linternas. Algunos de los sistemas no modulares más antiguos los organismos unicelulares vivían en la Tierra hace tres mil millones de años. El registro fósil de esos organismos revela que desarrollaron conchas, tentáculos, bocas, brazos, pinzas y otras tantas estructuras intrincadas. Algunos adquirieron tamaños sorprendentes, hasta seis pulgadas (15 centímetros) de ancho. Esos complejos diseños 3

4 unicelulares monolíticos dominaron la cadena alimentaria elemental de la Tierra durante miles de millones de años. Más tarde, hace unos 500 millones de años, surgieron los organismos multicelulares. En tan solo decenas de millones de años, evolucionaron tan rápido que echaron por tierra tres mil millones de años de evolución de los complicados organismos unicelulares y, reemplazando a estos últimos, se convirtieron en la forma de vida dominante. La modularidad como ventaja de los organismos multicelulares Por qué prevaleció la estructura modular y multicelular sobre la arraigada estructura monolítica? Escalabilidad y capacidad de crecimiento. El crecimiento de los sistemas, tanto en términos de tamaño como de incorporación de nuevas capacidades, se lograba con el solo agregado de módulos (células) que podían interactuar con las existentes empleando interfaces estándar. Primera forma de vida multicelular Proceso de duplicación más simple. Duplicar cierta cantidad de células más pequeñas y menos complejas era más sencillo, rápido y confiable que duplicar un única célula complicada. Capacidad de contar con funciones especializadas por módulo. La delegación y especialización de las tareas de las células proporcionaba los niveles de eficacia y eficiencia propios del trabajo en equipo. En los primeros organismos multicelulares, un tipo de célula podía cumplir la función de locomoción, otro, la de protección, otro, la de percepción de la presencia de alimento, y así sucesivamente. Rápida adaptación al entorno. Mediante el agregado, la eliminación o la modificación de células, era posible poner a prueba cambios estructurales incrementales con mayor rapidez, a fin de adoptarlos o rechazarlos. Tolerancia a las fallas. Gracias a las células redundantes, no se degradaba el sistema ante la falla de células individuales, lo que permitía la "reparación concurrente de células sin tiempo de inactividad del sistema (discapacidad o muerte en este caso). El último atributo mencionado arriba, la tolerancia a las fallas, es una ventaja clave en términos de confiabilidad de los sistemas modulares respecto de los monolíticos. La modularidad divide un sistema en piezas más pequeñas, lo que facilita la redundancia de los componentes, a fin de que ante la falla de uno, o varios, de ellos no se vea afectado de manera adversa el funcionamiento del sistema. Con un simple raspón, la piel humana puede perder cientos de células; sin embargo, nuestro cuerpo no deja de funcionar a causa de esa pérdida. Otras células siguen adelante mientras se hacen las reparaciones necesarias. Los humanos no inventamos la modularidad: somos modulares. Con billones de módulos (células) por persona, día a día vivimos en carne propia las ventajas de la tolerancia a las fallas. 4

5 Estudio de caso tomado del campo de la informática: Unidades de disco En los tiempos en que los centros de datos estaban compuestos de grandes computadoras (mainframe), los dispositivos de almacenamiento eran voluminosos discos duros de diseño exclusivo, con platos metálicos de 14 pulgadas ubicados uno sobre otro, elaborados mecanismos de lectura y escritura, y gabinetes del tamaño de una lavadora. En 1978, en IBM patentaron la idea de usar sistemas de discos más pequeños, pero no la llevaron adelante porque pensaron que una estructura de ese tipo nunca sería tan confiable como los diseños monolíticos convencionales. El estudio y la puesta en práctica de la tolerancia a las fallas recién empezaban a desarrollarse, y básicamente estaban restringidas a la industria aeroespacial, en la que la falla de componentes de sistemas electrónicos podía costar vidas. 1 Mainframe IBM 3370 Almacenamiento en disco Foto IBM Archives, reproducción autorizada En 1987, los investigadores de Berkeley advirtieron la creciente brecha entre la velocidad computacional y la velocidad de acceso para almacenamiento, y vieron el surgimiento de las unidades de disco externas para las computadoras personales como una oportunidad para emplearlas como bloques de construcción de un sistema que ofreciera tasas de transferencia de datos más veloces. Un año más tarde presentaron un estudio histórico, "Razones para implementar Conjuntos de discos redundantes económicos (RAID) (A Case for Redundant Arrays of Inexpensive Disks (RAID)), en el que proponían diversos esquemas para escritura de datos ( niveles RAID ) que podían emplear esos sistemas para almacenar, recuperar y restablecer datos. En 1990, la teoría y el hardware se fundieron en la utilización de los discos de 5,25 pulgadas para computadoras personales, que habían evolucionado tanto como para ofrecer la capacidad, el rendimiento y la confiabilidad necesarios para su uso en los primeros sistemas RAID. Esos nuevos dispositivos de almacenamiento modulares ofrecían distintas relaciones entre redundancia y velocidad de lectura y escritura, y ocupaban una fracción del espacio en el piso necesario para instalar los grandes dispositivos de almacenamiento que reemplazaron. 1 Hoy, en el marco de una realidad en la que las operaciones informáticas son el centro de casi toda industria, incluidas las áreas de salud y actividades militares, los centros de datos pueden ser esenciales. Y tanto es así que una falla podría ocasionar la pérdida de vidas. Por lo tanto, la tolerancia a las fallas es cada vez más importante para su diseño, incluso independientemente de lo que dictaminen los intereses económicos. 5

6 La modularidad como ventaja de los sistemas RAID Por qué prevalecieron los sistemas RAID sobre los antiguos dispositivos de almacenamiento monolíticos? Escalabilidad y capacidad de crecimiento. Es posible aumentar fácilmente la capacidad de almacenamiento aumentando la cantidad de módulos por sistema, o agregando sistemas. Sistema RAID Proceso de duplicación más simple. Es mucho más fácil producir las múltiples unidades pequeñas que funcionan como módulos del sistema RAID que las grandes y complicadas unidades de antes. Capacidad de contar con funciones especializadas por módulo. Las diferentes unidades de un sistema RAID pueden emplearse para obtener mayor capacidad de almacenamiento, velocidad de acceso o redundancia, según cuál sea el nivel RAID definido para el sistema. Asimismo, los sistemas RAID en sí mismos pueden considerarse módulos en una escala mayor, y puede asignarse una aplicación diferente a cada sistema RAID. Rápida adaptación al entorno. Es posible agregar o eliminar unidades, y modificar fácilmente el nivel RAID para contemplar las relaciones deseadas entre capacidad, velocidad y redundancia. Tolerancia a las fallas. Los esquemas de escritura de datos de los sistemas RAID incorporan niveles de redundancia tales que permiten recuperar datos cuando falla una unidad. Para sorpresa de sus diseñadores, la entusiasta recepción de los sistemas RAID en el mercado no se debió tanto a la mayor velocidad que ofrecían el objetivo que impulsó su diseño sino a la mayor confiabilidad que proporcionaba la característica de tolerancia a las fallas. Hasta que los autores del estudio de 1988 mostraron las posibilidades de tolerancia a las fallas del diseño RAID durante presentaciones en vivo no hacían más que retirar una unidad sin que se interrumpiera el funcionamiento del sistema, había predominado la forma típica, aunque errónea, de interpretar la confiabilidad, previa al desarrollo del concepto de tolerancia a las fallas: un sistema integrado por unidades múltiples debía ser menos confiable porque tenía más piezas. Estudio de caso tomado del campo de la informática: Servidores Blade Los servidores Blade son el elemento central en el proceso de transición hacia el diseño modular que está registrándose mientras escribimos el presente informe. Durante muchos años, los servidores autosoportados tradicionales crecieron en tamaño y velocidad, y les fueron asignadas cada vez más tareas a medida que la informática en red se expandía. A medida que surgían nuevas necesidades se incorporaban servidores en los centros de datos, por lo general como solución rápida, sin demasiada coordinación ni planificación. No era raro que los operadores de centros de datos advirtieran que se habían 6

7 agregado servidores sin su conocimiento. La consecuente complejidad de los bloques y el cableado cada vez generaba más confusión, errores e inflexibilidad. Los servidores Blade, cuya aparición data de 2001, son un ejemplo puro y muy simple de la arquitectura modular: las unidades de un chasis de servidores Blade son idénticas desde el punto de vista físico, tienen procesadores idénticos, y pueden configurarse y emplearse para cualquier fin que desee el usuario. Su lanzamiento sumó muchos de los beneficios de la modularidad al campo de los servidores: escalabilidad, facilidad de duplicación, Servidores convencionales funciones especializadas y adaptabilidad. Pero si bien esas ventajas clásicas de la arquitectura modular han hecho que los servidores Blade tengan cada vez más presencia en los centros de datos, su máximo potencial no se aprovechará hasta tanto no se implemente de manera generalizada una capacidad clave del diseño modular: la tolerancia a las fallas. No hace mucho que se encuentran disponibles en el mercado con valores accesibles los servidores Blade que ofrecen tolerancia a las fallas servidores que tienen incorporada una lógica de failover para transferir la operación de las unidades que presentan fallas a las que funcionan correctamente. Los niveles de confiabilidad de esos servidores sobrepasarán los alcanzados con las técnicas habituales en la actualidad, que consisten en emplear software redundante y clusters de servidores individuales. Así, los servidores Blade constituirán la arquitectura de servidores dominante en los centros de datos. Con la automatización de la función de tolerancia a las fallas, los analistas de la industria pronostican una rápida migración a los servidores Blade en el curso de los próximos cinco años. La modularidad como ventaja de los servidores Blade Por qué prevalecerán los servidores Blade sobre los servidores autosoportados más voluminosos? Escalabilidad y capacidad de crecimiento. Es posible aumentar fácilmente la capacidad computacional mediante la incorporación de módulos (unidades Blade). Proceso de duplicación más simple. Es mucho más fácil producir múltiples unidades Blade pequeñas que servidores enteros. El suministro de energía, los ventiladores del sistema de refrigeración, las conexiones de la red y otros componentes de respaldo se encuentran centralizados en el chasis y son compartidos por las unidades Blade, lo que simplifica la estructura. Servidor Blade (10 unidades Blade en un chasis) 7

8 Capacidad de contar con funciones especializadas por módulo. Cada unidad Blade independiente pueden configurarse con las aplicaciones de software que desee el usuario. Rápida adaptación al entorno. Es posible agregar o eliminar unidades Blade en función de las necesidades de negocios o financieras, así como reconfigurarlas para ejecutar distintas aplicaciones. Tolerancia a las fallas. Gracias a la lógica de failover incorporada, que transfiere sin inconvenientes la operación de las unidades que presentan fallas a otras, es posible hacer frente a la falla de una unidad de manera automática. La cambiante definición de falla en el campo de los sistemas informáticos Los estudios de casos precedentes revelan el predominio del diseño modular sobre el complejo diseño monolítico, que responde a motivos inherentes a la naturaleza de la modularidad. Uno de esos motivos, la tolerancia a las fallas, tiene gran importancia para el futuro de los centros de datos. Cuando todos los servidores y dispositivos de almacenamiento de los centros de datos ofrezcan la característica de tolerancia a las fallas, cambiará la definición de falla en el contexto informático. Imaginemos dos casos de fallas diferentes que pueden producirse en un centro de datos (Figura 1). A la derecha se ilustra la falla de todos los racks, como la que se produciría en el caso de que fallara la única UPS grande que protege todo el centro de datos, lo que causaría la caída de la carga. A la derecha se muestra la falla de un rack. En los centros de datos convencionales, a los ojos de los gerentes de Sistemas, en ambos casos se trataría de la misma falla, porque en el caso de la falla de un rack la interdependencia de servidores, sistemas de discos, switches y routers seguramente causaría efectos en cascada que dejarían inactivo todo el centro de datos. A medida que comienzan a imponerse los nuevos diseños modulares basados en conjuntos de componentes tanto para la actividad computacional como para el almacenamiento, los gerentes de Sistemas comienzan a ver la falla ilustrada a la izquierda un rack como un tipo de falla menos mala, dado que la redundancia de recursos ahora ofrece la posibilidad de supervivencia del centro de datos incluso ante la falla de las unidades independientes. A medida que las arquitecturas que ofrecen tolerancia a las fallas se difundan, los centros de datos admitirán una mayor cantidad de fallas de unidades sin que se produzca la caída total de los sistemas. Cuando sea un hecho la capacidad de tolerar fallas sin inconvenientes que prometen desde sus comienzos los servidores Blade, los centros de datos podrán permanecer activos ante la falla de un rack, o incluso de dos, tres o más. 8

9 Figura 1 Dos casos de fallas que pueden producirse en un centro de datos Vista de planta, cuatro hileras de ocho racks cada una Falla un rack Fallan todos los racks Implicaciones para la NCPI El nuevo paradigma de la gestión de fallas la expectativa de que inevitablemente algunos módulos fallarán, combinada con un esquema sólido que permita superar las fallas tiene implicaciones respecto del modo en que la nueva arquitectura informática debería verse protegida por su infraestructura física para redes críticas. Por ejemplo, a medida que los centros de datos ofrecen mayor tolerancia a las fallas en su capa informática, resultará insatisfactorio ofrecer protección de energía con una única UPS grande, dado que la falla de esa UPS haría caer todo el sistema, un resultado innecesario en un centro de datos tolerante a las fallas capaz de superar la pérdida de un rack. Si las unidades UPS se encuentran distribuidas en todo el centro de datos, a razón de una UPS por rack, la falla de cualquiera de las unidades UPS solo interrumpirá el funcionamiento de un rack, no de todo el sistema. A pesar del mayor número de unidades UPS, que aumenta las probabilidades de fallas de unidades UPS independientes, el sistema puede tolerar esas fallas. Si para que quede fuera de funcionamiento todo el sistema deben fallar tres racks, deberán fallar tres unidades UPS simultáneamente para que se produzca la caída del sistema, evento muy poco probable, mucho menos probable que la falla de una única UPS grande. Por ese motivo, la teoría de la confiabilidad respalda enfáticamente las arquitecturas de energía y refrigeración modulares distribuidas a medida que los sistemas informáticos ofrecen mayor grado de tolerancia a las fallas. NCPI monolítica vs. NCPI modular La arquitectura de la infraestructura física para redes críticas (NCPI) ha permanecido en gran medida invariable en los 30 años de historia de los centros de datos. Desde las salas de cómputos más pequeñas hasta las infraestructuras empresariales más grandes, el modelo persistente de infraestructura 9

10 física ha consistido en una planta centralizada para el suministro de protección de energía y refrigeración. La implementación de esa clase de infraestructura da como resultado una configuración única y monolítica de equipos y conexiones. Al reemplazar una arquitectura como la descrita por un diseño modular, no solo se posibilita que la NCPI respalde adecuadamente los equipos informáticos modulares y tolerantes a las fallas, sino que los propios componentes de la NCPI pueden aprovechar los beneficios de la modularidad, incluidas las ventajas de confiabilidad que ofrece la tolerancia a las fallas. UPS monolítica centralizada La modularidad como ventaja de la NCPI Por qué reemplazará la NCPI modular a la NCPI monolítica convencional? Escalabilidad y capacidad de crecimiento. Una NCPI modular puede dimensionarse para contemplar los requisitos informáticos del centro de datos en un momento dado, y crecer en función de las necesidades. Esta ventaja es especialmente importante en relación con la NCPI, dado que, según las prácticas tradicionales, se implementan sistemas de energía y refrigeración para ofrecer soporte a los requisitos informáticos máximos proyectados, lo que genera un importante desperdicio tanto en concepto de gastos de capital como operativos. Proceso de duplicación más simple. El diseño modular implica producir una gran cantidad de unidades pequeñas, en lugar de una pequeña cantidad de grandes unidades. El mayor volumen de producción implica menos defectos; el diseño más simple y pequeño implica mayor grado de automatización y menos trabajo manual durante la producción, lo que implica menos defectos. Capacidad de contar con funciones especializadas por módulo. Las unidades de protección de energía y refrigeración pueden producirse en una variedad de configuraciones para satisfacer las necesidades específicas de disponibilidad y refrigeración de diferentes partes del centro de datos. Rápida adaptación al entorno. Con la incorporación de nuevos equipos y los cambios de los componentes informáticos cada dos o tres años, los elementos del centro de datos se revisan permanentemente. Los nuevos equipos pueden tener diferentes tamaños o formas, diferentes requisitos de energía o UPS modular por rack refrigeración, diferentes tomacorrientes, etcétera. Es posible expandir o reconfigurar la NCPI modular fácilmente para contemplar los requisitos de IT cambiantes. 10

11 Tolerancia a las fallas. Así como los equipos informáticos tolerantes a fallas permiten la operación continua del centro de datos cuando falla un componente informático, los equipos tolerantes a fallas de la NCPI permiten la operación continua de los sistemas de energía o refrigeración cuando falla un componente de la NCPI. La tolerancia a las fallas se logra mediante la implementación de unidades de NCPI redundantes, o mediante la redundancia interna de los componentes que integran esas unidades de NCPI, por ejemplo, trabajando con módulos de potencia adicionales en una UPS. Al igual que en los estudios de casos anteriores, los primeros cuatro atributos precedentes son necesarios para el éxito del diseño, pero el quinto la tolerancia a las fallas es esencial. Más aun, como el centro de datos depende absolutamente de la energía y la refrigeración para su funcionamiento, es tan importante contar con niveles de confiabilidad basados en la tolerancia a las fallas en la NCPI como en los equipos informáticos que esta protege. Un centro de datos tolerante a fallas que no cuente con el respaldo de una NCPI tolerante a las fallas no tendría más sentido que un puente colgante con un pedestal sólido pero con cables débiles. Conclusión La transición del diseño monolítico al modular constituye un camino evolutivo natural para los sistemas complejos, a causa de las ventajas que ofrece el segundo en cuanto a eficiencia, flexibilidad y confiabilidad. El análisis de casos de éxito permite advertir más fácilmente las posibilidades que ofrece la modularidad para introducir mejoras importantes, incluso revolucionarias en sistemas que fueron monolíticos desde su concepción y que nunca fueron comprendidos de otra forma. La tolerancia a las fallas y otros atributos clave de la modularidad escalabilidad, adaptabilidad, y capacidad de especialización y duplicación son tan evidentes, e inevitables, en los sistemas modulares creados por el hombre como lo eran en los naturales. El mundo informático ya ha sido testigo de las ventajas mencionadas con el surgimiento de diseños modulares para esquemas de almacenamiento y tareas computacionales: sistemas RAID y servidores Blade. Y más importante aun, los centros de datos ya están preparados para seguir el ejemplo de industrias como la aeroespacial, e implementar en todos sus sistemas la ventaja de la modularidad que se aplica a los sistemas de misión crítica desde la década de 1970: la tolerancia a las fallas. En la noción de tolerancia a las fallas se admite el hecho de que el control cuidadoso de la calidad de los componentes es solo el primer paso hacia la confiabilidad de los sistemas, y que la operación continua de los sistemas ante la falla de componentes es la táctica más importante en materia de confiabilidad. 11

12 A medida que la modularidad y la tolerancia a las fallas se convierten en el nuevo modelo de diseño de centros de datos, la infraestructura física para redes críticas debe avanzar en la misma dirección, tanto para proteger los centros de datos con eficacia como para aprovechar los beneficios de la modularidad a fin de mejorar sus propios niveles de eficiencia, flexibilidad y confiabilidad. Informes internos relacionados Informe interno de APC Nº 117, Infraestructura física para redes críticas: Optimización del valor de negocio Informe interno de APC Nº 116, Estandarización y modularidad en la Infraestructura física para redes críticas Acerca de los autores Neil Rasmussen es uno de los fundadores y Director de Tecnología de American Power Conversion. En APC, administra el mayor presupuesto mundial de Investigación y Desarrollo dedicado al tema de la infraestructura de energía, refrigeración y racks para redes críticas; los principales centros de desarrollo de productos se ubican en Massachusetts, Missouri, Dinamarca, Rhode Island, Taiwán e Irlanda. En la actualidad, lidera los proyectos de APC para el desarrollo de soluciones modulares escalables para centros de datos. Antes de fundar APC en el año 1981, Neil recibió los títulos de Bachelor y Master en Ingeniería Eléctrica del MIT, donde realizó su tesis sobre el análisis de una fuente de potencia de 200 mw para un reactor de fusión Tokamak. Desde 1979 hasta 1981, trabajó para MIT Lincoln Laboratories en sistemas de almacenamiento energético de volante y sistemas de energía eléctrica solar. Suzanne Niles es autora de informes internos para el Centro de Estudios de la Infraestructura Física para Redes Críticas (NCPI) de APC. Estudió matemáticas en el Wellesley College y obtuvo el título de Bachelor en Ciencias Informáticas en el MIT, con una tesis sobre reconocimiento de caracteres manuscritos. Ha contribuido a la formación de públicos diversos por más de 25 años utilizando diferentes medios, desde manuales de software hasta fotografías y canciones para niños. 12