淺談分佈式一致性：Raft 與 SOFAJRaft

作者 | 家純
來源 | 阿里技術公眾號

一 分佈式共識算法 (Consensus Algorithm)

1 如何理解分佈式共識?

多個參與者針對某一件事達成完全一致：一件事，一個結論。

已達成一致的結論，不可推翻。

2 有哪些分佈式共識算法?

• Paxos：被認為是分佈式共識算法的根本，其他都是其變種，但是 paxos 論文中只給出了單個提案的過程，並沒有給出複製狀態機中需要的 multi-paxos 的相關細節的描述，實現 paxos 具有很高的工程複雜度（如多點可寫，允許日誌空洞等）。
• Zab：被應用在 zookeeper 中，業界使用廣泛，但沒用抽象成通用 library。
• Raft：以容易理解著稱，業界也湧現出很多 raft 實現，比如 etcd、braft、tikv 等。

二 Raft 介紹

1 特點：Strong Leader

• 系統中必須存在且同一時刻只能有一個 leader，只有 leader 可以接受 clients 發過來的請求。
• Leader 負責主動與所有 followers 通信，負責將“提案”發送給所有followers，同時收集多數派的 followers 應答。
• Leader 還需向所有 followers 主動發送心跳維持領導地位（保持存在感）。

另外，身為 leader 必須保持一直 heartbeat 的狀態。

2 複製狀態機

對於一個無限增長的序列a[1, 2, 3…]，如果對於任意整數i， a[i]的值滿足分佈式一致性， 這個系統就滿足一致性狀態機的要求。

基本上所有的真實系統都會有源源不斷的操作，這時候單獨對某個特定的值達成一致顯然是不夠的。為了讓真實系統保證所有的副本的一致性，通常會把操作轉化為 write-ahead-log(WAL)。然後讓系統中所有副本對 WAL 保持一致，這樣每個副本按照順序執行 WAL 裡的操作，就能保證最終的狀態是一致的。

• Client 向 leader 發送寫請求。
• Leader 把“操作”轉化為 WAL 寫本地 log 的同時也將 log 複製到所有 followers。
• Leader 收到多數派應答，將 log 對應的“操作”應用到狀態機。
• 回覆 client 處理結果。

3 Raft 中的基本概念

Raft-node 的 3 種角色/狀態

• Follower：完全被動，不能發送任何請求, 只接受並響應來自 leader 和 candidate 的 message, node啟動後的初始狀態必須是 follower。
• Leader：處理所有來自客戶端的請求，以及複製 log 到所有 followers。
• Candidate：用來競選一個新 leader (candidate 由 follower 觸發超時而來)。

Message 的 3 種類型

• RequestVote RPC：Candidate 發出。
• AppendEntries (Heartbeat) RPC：Leader 發出。
• InstallSnapshot RPC：Leader 發出。

任期邏輯時鐘

• 時間被劃分為一個個任期(term)，term id 按時間軸單調遞增。
• 每一個任期的開始都是 leader 選舉，選舉成功之後，leader在任期內管理整個集群, 也就是“選舉 + 常規操作”。
• 每個任期最多一個 leader，可以沒有 leader (spilt-vote 導致)。

4 Raft 功能分解

Leader 選舉

超時驅動：Heartbeat / Election timeout

隨機的超時時間：降低選舉碰撞導致選票被瓜分的概率

選舉流程：Follower --> Candidate (選舉超時觸發)

• 贏得選舉：Candidate --> Leader
• 另一個節點贏得選舉：Candidate --> Follower
• 一段時間內沒有任何節點器贏得選舉：Candidate --> Candidate

選舉動作：

• Current term++
• 發送 RequestVote RPC

New Leader 選取原則 (最大提交原則)

• Candidates include log info in RequestVote RPCs(index & term of last log entry)
• During elections, choose candidate with log most likely to contain all committed entries
• Voting server V denies vote if its log is “more complete”：(lastTermV > lastTermC) ||((lastTermV == lastTermC) && (lastIndexV > lastIndexC))
• Leader will have “most complete” log among electing majority

安全性：一個 term，最多選出一個 leader，可以沒 leader，下一個 term 再選。

影響 raft 選舉成功率的幾個時間參數

• RTT(Round Trip Time)：網絡延時
• Heartbeat timeout：心跳間隔，通常應該比 election timeout 小一個數量級，目的是讓 leader 能夠持續發送心跳來阻止 followers 觸發選舉
• Election timeout：Leader 與 followers 間通信超時觸發選舉的時間
• MTBF(Meantime Between Failure)：Servers 連續常規故障時間間隔 RTT << Heartbeat timeout < Election timeout(ET) << MTBF

隨機選主觸發時間：Random(ET, 2ET)

日誌複製

Raft 日誌格式

• (TermId, LogIndex, LogValue)
• 其中 (TermId, LogIndex) 能確定唯一一條日誌

Log replication關鍵點

• 連續性：日誌不允許出現空洞

• 有效性：

  • 不同節點，擁有相同 term 和 logIndex 的日誌 value 一定相同
  • Leader 上的日誌一定是有效的
  • Follower 上的日誌是否有效，通過 leader 日誌對比判斷 (How?)

Followers 日誌有效性檢查

• AppendEntries RPC 中還會攜帶前一條日誌的唯一標識 (prevTermId, prevLogIndex)
• 遞歸推導

Followers 日誌恢復

• Leader 將 nextIndex 遞減並重發 AppendEntries，直到與 leader 日誌一致

Commit Index 推進

CommitIndex (TermId, LogIndex)

• 所謂 commitIndex，就是已達成多數派，可以應用到狀態機的最新的日誌位置
• 日誌被複制到 followers 後，先持久化，並不能馬上被應用到狀態機
• 只有 leader 知道日誌是否達成多數派，是否可以應用到狀態機
• Followers 記錄 leader 發來的當前 commitIndex，所有小於等於 commitIndex 的日誌均可以應用到狀態機

CommitIndex推進

• Leader 在下一個 AppendEntries RPC (也包括 Heartbeat)中攜帶當前的 commitIndex
• Followers 檢查日誌有效性通過則接受 AppendEntries 並同時更新本地 commitIndex, 最後把所有小於等於 commitIndex 的日誌應用到狀態機

AppendEntries RPC

• 完整信息：(currentTerm, logEntries[], prevTerm, prevLogIndex, commitTerm, commitLogIndex)
• currentTerm, logEntries[]：日誌信息，為了效率，日誌通常為多條
• prevTerm, prevLogIndex：日誌有效性檢查
• commitTerm, commitLogIndex：最新的提交日誌位點(commitIndex)

階段小結：現在我們能用 raft 做什麼?

• 連續確定多個提案，確保集群中各個系統節點狀態完全一致
• 自動選主，保證在只有少數派宕機的情況下持續可用
• 日誌強同步，宕機後零數據丟失

三 SOFAJRaft

一個純 Java 的 raft 算法實現庫，使用 Java 重寫了所有功能，並有一些改進和優化。

1 SOFAJRaft 整體功能

功能支持

Leader election：選主。

Log replication and recovery：日誌複製和日誌恢復，log recovery就是要保證已經被 commit 的數據一定不會丟失，log recovery 包含兩個方面

• Current term 日誌恢復，主要針對一些 follower 節點重啟加入集群或者是新增 follower 節點
• Prev term 日誌恢復，主要針對 leader 切換前後的日誌一致性

Snapshot and log compaction：定時生成 snapshot，實現 log compaction加速啟動和恢復，以及InstallSnapshot 給 followers 拷貝數據。

Membership change：集群線上配置變更，增加節點、刪除節點、替換節點等。

Transfer leader：主動變更 leader，用於重啟維護，leader 負載平衡等。

Symmetric network partition tolerance：對稱網絡分區容忍性。

Pre-Vote：如上圖 S1 為當前 leader，網絡分區造成 S2 不斷增加本地 term，為了避免網絡恢復後S2發起選舉導致正在良心工作的 leader step-down, 從而導致整個集群重新發起選舉，在 request-vote 之前會先進行 pre-vote(currentTerm + 1，lastLogIndex, lastLogTerm)，多數派成功後才會轉換狀態為 candidate 發起真正的 request-vote，所以分區後的節點，pre-vote不會成功，也就不會導致集群一段時間內無法正常提供服務。

Asymmetric network partition tolerance：非對稱網絡分區容忍性。

如上圖 S1 為當前 leader，S2 不斷超時觸發選主，S3 提升 term 打斷當前 lease，從而拒絕 leader 的更新，這個時候可以增加一個 trick 的檢查，每個 follower 維護一個時間戳記錄收到 leader 上數據更新的時間(也包括心跳)，只有超過 election timeout 之後才允許接受 request-vote 請求。

Fault tolerance: 容錯性，少數派故障，不影響系統整體可用性：

• 機器掉電
• 強殺應用
• 慢節點(GC, OOM等)
• 網絡故障
• 其他各種奇葩原因導致 raft 節點無法正常工作

Workaround when quorate peers are dead：多數派故障時整個 grop 已不具備可用性, 安全的做法是等待多數節點恢復，只有這樣才能保證數據安全，但是如果業務更追求可用性，放棄數據一致性的話可以通過手動 reset_peers 指令迅速重建整個集群，恢復集群可用。

Metrics：SOFAJRaft 內置了基於 metrics 類庫的性能指標統計，具有豐富的性能統計指標。

Jepsen：除了單元測試之外，SOFAJRaft 還使用 jepsen 這個分佈式驗證和故障注入測試框架模擬了很多種情況，都已驗證通過：

• 隨機分區，一大一小兩個網絡分區
• 隨機增加和移除節點
• 隨機停止和啟動節點
• 隨機 kill -9 和啟動節點
• 隨機劃分為兩組，互通一箇中間節點，模擬分區情況
• 隨機劃分為不同的 majority 分組

性能優化

Batch：SOFAJRaft 中整個鏈路都是 batch 的，依靠 disruptor 中的 MPSC 模型批量消費，包括但不限於：

• 批量提交 task
• 批量網絡發送
• 本地 IO batch 寫入，要保證日誌不丟，一般每一條 log entry 都要進行 fsync, 比較耗時，SOFAJRaft 中做了合併寫入的優化
• 批量應用到狀態機

Replication pipeline：流水線複製，leader 跟 followers 節點的 log 同步是串行 batch 的方式，每個 batch 發送之後需要等待 batch 同步完成之後才能繼續發送下一批(ping-pong), 這樣會導致較長的延遲。可以通過 leader 跟 followers 節點之間的 pipeline 複製來改進，有效降低更新的延遲, 提高吞吐。

Append log in parallel：Leader 持久化 log entries 和向 followers 發送 log entries 是並行的。

Fully concurrent replication：Leader 向所有 follwers 發送 log 也是完全併發的。

Asynchronous：Jraft 中整個鏈路幾乎沒有任何阻塞，完全異步的，是一個 callback 編程模型。

ReadIndex：優化 raft read 走 raft log 的性能問題，每次 read，僅記錄 commitIndex，然後發送所有 peers heartbeat 來確認 leader 身份，如果 leader 身份確認成功，等到 applied index >= commitIndex，就可以返回 client read 了，基於 ReadIndex 可以很方便的提供線性一致讀，不過 commitIndex 是需要從 leader 那裡獲取的，多了一輪RPC。

Lease Read：通過租約(lease)保證 leader 的身份，從而省去了 readIndex 每次 heartbeat 確認 leader 身份，性能更好, 但是通過時鐘維護 lease 本身並不是絕對的安全(jraft 中默認配置是 readIndex，因為 readIndex 性能已足夠好)。

2 SOFAJRaft 設計

SOFAJRaft - Raft Node

Node：Raft 分組中的一個節點，連接封裝底層的所有服務，用戶看到的主要服務接口，特別是 apply(task) 用於向 raft group 組成的複製狀態機集群提交新任務應用到業務狀態機。

存儲

• Log 存儲，記錄 raft 用戶提交任務的日誌，將從 leader 複製到其他節點上。LogStorage 是存儲實現, LogManager 負責對底層存儲的調用，對調用做緩存、批量提交、必要的檢查和優化。
• Metadata 存儲，元信息存儲，記錄 raft 實現的內部狀態，比如當前 term、投票給哪個節點等信息。
• Snapshot 存儲，用於存放用戶的狀態機 snapshot 及元信息，可選. SnapshotStorage 用於 snapshot 存儲實現，SnapshotExecutor 用於 snapshot 實際存儲、遠程安裝、複製的管理。

狀態機

• StateMachine：用戶核心邏輯的實現，核心是 onApply(Iterator) 方法，應用通過 Node#apply(task) 提交的日誌到業務狀態機。
• FSMCaller：封裝對業務 StateMachine 的狀態轉換的調用以及日誌的寫入等，一個有限狀態機的實現, 做必要的檢查、請求合併提交和併發處理等。

複製

• Replicator：用於 leader 向 followers 複製日誌，也就是 raft 中的 AppendEntries 調用，包括心跳存活檢查等。
• ReplicatorGroup：用於單個 raft group 管理所有的 replicator，必要的權限檢查和派發。

RPC 模塊用於節點之間的網絡通訊

• RPC Server：內置於 Node 內的 RPC 服務器，接收其他節點或者客戶端發過來的請求, 轉交給對應服務處理。
• RPC Client：用於向其他節點發起請求，例如投票、複製日誌、心跳等。

KV Store：SOFAJRaft 只是一個 lib，KV Store 是 SOFAJRaft 的一個典型的應用場景，把它放進圖中以便更好的理解 SOFAJRaft。

SOFAJRaft - Raft Group

SOFAJRaft - Multi Raft Group

3 SOFAJRaft 實現細節

高效的線性一致讀

什麼是線性一致讀?

所謂線性一致讀，一個簡單的例子就是在 t1 的時刻我們寫入了一個值, 那麼在 t1 之後， 我們一定能讀到這個值，不可能讀到 t1 之前的舊值 (想想 java 中的 volatile 關鍵字，說白了線性一致讀就是在分佈式系統中實現 volatile 語義)。

上圖Client A、B、C、D均符合線性一致讀，其中 D 看起來是 stale read，其實並不是， D 請求橫跨了3個階段，而讀可能發生在任意時刻，所以讀到 1 或 2 都行。

重要：接下來的討論均基於一個大前提，就是業務狀態機的實現必須是滿足線性一致性的, 簡單說就是也要具有 java volatile 的語義。

1）直接點，是否可以直接從當前 leader 節點讀？

怎麼確定當前的 leader 真的是 leader(網絡分區)？

2）最簡單的實現方式：讀請求走一遍 raft 協議

有什麼問題?

• 不僅有日誌寫盤開銷，還有日誌複製的 RPC 開銷，在讀比重較大的系統中是無法接受的
• 還多了一堆的 raft “讀日誌”

3）ReadIndex Read

這是 raft 論文中提到過的一種優化方案，具體來說：

• 將當前自己 log 的 commit index 記錄到一個 local 變量 ReadIndex 裡面。
• 向其他節點發起一次 heartbeat，如果大多數節點返回了對應的 heartbeat response，那麼 leader 就能夠確定現在自己仍然是 leader (證明了自己是自己)。
• Leader 等待自己的狀態機執行，直到 apply index 超過了 ReadIndex，這樣就能夠安全的提供 Linearizable Read 了, 也不必管讀的時刻是否 leader 已飄走 (思考：為什麼需要等到 apply index 超過了 ReadIndex 才可以執行讀請求？)。
• Leader 執行 read 請求，將結果返回給 Client。

通過ReadIndex，也可以很容易在 followers 節點上提供線性一致讀：

• Follower 節點向 leader 請求最新的 ReadIndex。
• Leader執行上面 i ~ iii 的過程(確定自己真的是 leader)，並返回 ReadIndex 給 follower。
• Follower 等待自己的 apply index 超過了 ReadIndex (有什麼問題？慢節點？)。
• Follower 執行 read 請求，將結果返回給 client。

ReadIndex小結：

• 相比較於走 raft log 的方式，ReadIndex 讀省去了磁盤的開銷，能大幅度提升吞吐，結合 SOFAJRaft 的 batch + pipeline ack + 全異步機制，三副本的情況下 leader 讀的吞吐接近於 RPC 的上限。
• 延遲取決於多數派中最慢的一個 heartbeat response，理論上對於降低延時的效果不會非常顯著。

4）Lease Read

Lease read 與 ReadIndex 類似，但更進一步，不僅省去了 log，還省去了網絡交互。它可以大幅提升讀的吞吐也能顯著降低延時。

基本的思路是 leader 取一個比 election timeout 小的租期(最好小一個數量級)，在租約期內不會發生選舉，這就確保了 leader 不會變，所以可以跳過 ReadIndex 的第二步， 也就降低了延時。可以看到, Lease read 的正確性和時間是掛鉤的，因此時間的實現至關重要，如果漂移嚴重，這套機制就會有問題。

實現方式：

• 定時 heartbeat 獲得多數派響應, 確認 leader 的有效性 (在 SOFAJRaft 中默認的 heartbeat 間隔是 election timeout 的十分之一)。
• 在租約有效時間內，可以認為當前 leader 是 raft group 內的唯一有效 leader，可忽略 ReadIndex 中的 heartbeat 確認步驟(2)。
• Leader 等待自己的狀態機執行，直到 apply index 超過了 ReadIndex，這樣就能夠安全的提供 Linearizable Read 了。

5）更進一步：Wait Free

到此為止 lease 省去了 ReadIndex 的第 2 步(heartbeat)，實際上還能再進一步，省去第 3 步。

我們想想前面的實現方案的本質是什麼? 當前節點的狀態機達到“讀”這一刻的時間點 相同或者更新的狀態。

那麼更嚴格一點的約束就是：當前時刻，當前節點的狀態機就是最新的。

問題來了，leader 節點的狀態機能保證一定是最新的嗎？

• 首先 leader 節點的 log 一定是最新的，即使新選舉產生的 leader，它也一定包含全部的 commit log，但它的狀態機卻可能落後於舊的 leader。
• 但是在 leader 應用了自己當前 term 的第一條 log 之後，它的狀態機就一定是最新的。
• 所以可以得出結論：當 leader 已經成功應用了自己 term 的第一條 log 之後，不需要再取 commit index，也不用等狀態機，直接讀，一定是線性一致讀。

小結：Wait Free 機制將最大程度的降低讀延遲，SOFAJRaft 暫未實現 wait free 這一優化，不過已經在計劃中。

在 SOFAJRaft 中發起一次線性一致讀請求：

// KV 存儲實現線性一致讀
public void readFromQuorum(String key, AsyncContext asyncContext) {
    // 請求 ID 作為請求上下文傳入
    byte[] reqContext = new byte[4];
    Bits.putInt(reqContext, 0, requestId.incrementAndGet());
    // 調用 readIndex 方法, 等待回調執行
    this.node.readIndex(reqContext, new ReadIndexClosure() {

        @Override
        public void run(Status status, long index, byte[] reqCtx) {
            if (status.isOk()) {
                try {
                    // ReadIndexClosure 回調成功, 可以從狀態機讀取最新數據返回
                    // 如果你的狀態實現有版本概念, 可以根據傳入的日誌 index 編號做讀取
                    asyncContext.sendResponse(new ValueCommand(fsm.getValue(key)));
                } catch (KeyNotFoundException e) {
                    asyncContext.sendResponse(GetCommandProcessor.createKeyNotFoundResponse());
                }
            } else {
                // 特定情況下, 比如發生選舉, 該讀請求將失敗
                asyncContext.sendResponse(new BooleanCommand(false, status.getErrorMsg()));
            }
        }
    });
}

四 SOFAJRaft 應用場景

1 SOFAJRaft 可以做什麼

• 選舉
• 分佈式鎖服務，比如 zookeeper
• 高可靠的元信息管理

分佈式存儲系統，如分佈式消息隊列、分佈式文件系統、分佈式塊系統等等。

2 用戶案例

• AntQ Streams QCoordinator：使用 SOFAJRaft 在 coordinator 集群內做選舉、元信息存儲等功能。
• Schema Registry：高可靠 schema 管理服務，類似 kafka schema registry。
• SOFA 服務註冊中心元信息管理模塊：IP 數據信息註冊，要求寫數據達到各個節點一致， 並且在少數派節點掛掉時保證不影響數據正常存儲。
• RheaKV：基於 SOFAJRaft 和 rocksDB 實現的嵌入式、分佈式、高可用、強一致的 KV 存儲類庫。

3 簡單實踐：基於 SOFAJRaft 設計一個簡單的 KV Store

到目前為止，我們似乎還沒看到 SOFAJRaft 作為一個 lib 有什麼特別之處, 因為 SOFAJRaft 能辦到的 zk，etcd 似乎基本上也都可以辦到, 那麼 SOFAJRaft 算不算重複造輪子？

為了說明 SOFAJRaft 具有很好的想象空間以及擴展能力，下面再介紹一個基於 SOFAJRaft 的複雜一些的實踐。

4 複雜一點的實踐：基於 SOFAJRaft 的 Rhea KV 的設計

功能名詞

• PD：全局的中心總控節點, 負責整個集群的調度, 不需要自管理的集群可不啟用 PD (一個PD可管理多個集群，基於 clusterId 隔離)。
• Store：集群中的一個物理存儲節點，一個 store 包含一個或多個 region。
• Region：最小的 KV 數據單元，每個 region 都有一個左閉右開的區間 [startKey, endKey)，可根據請求流量/負載/數據量大小等指標自動分裂以及自動副本搬遷。

特點

• 嵌入式
• 強一致性
• 自驅動：自診斷，自優化，自決策，自恢復。以上幾點(尤其2, 3)基本都是依託於 SOFAJRaft 自身的功能來實現。

招聘

我們是螞蟻智能監控技術中臺的存儲團隊，我們正在使用 Rust/Go/Java 構建高性能、低成本具備實時分析能力的新一代時序數據庫，歡迎轉崗或者推薦，聯繫人家純：[email protected]

參考資料
https://raft.github.io/
https://raft.github.io/slides/raftuserstudy2013.pdf
https://github.com/brpc/braft/blob/master/docs/cn/raft_protocol.md
https://pingcap.com/blog-cn/linearizability-and-raft/
https://aphyr.com/posts/313-strong-consistency-models
https://zhuanlan.zhihu.com/p/51063866
Github 代碼倉庫：https://github.com/sofastack/sofa-jraft

---

免費領取電子書

《阿里雲技術面試紅寶書》

本書公開30道阿里雲技術面試真題，含雲原生、大數據、IoT、數據庫等領域，精準回顧相關知識點及考察要點，間接地與技術大牛們學習，溫故知新！

掃碼加阿里妹好友，回覆“紅寶書”獲取吧~(若掃碼無效，可直接添加alimei4、alimei5、alimei6、alimei7)