[计算机软件及应用]第6章 分布式数据库中的可靠性.pptVIP

第六章 分布式数据库中的可靠性 6．1 分布式数据库可靠性的概念及其度量 6．1．1 分布式数据库可靠性的概念 我们曾多次提及数据库的“可靠性”和”可用性” ，在许多时候，这两个词在文献中的使用是不严格的。甚至在可靠性计算系统领域的研究者，对它们的定义也不一致。有的认为可靠性包括正确性和可用性，而有的却认为可用性包括可靠性和正确性。 一般，数据库可靠性是指数据库在一个给定的时间间隔内不产生任何失败的概率。它强调数据库的正确性，要求数据库正确地运行，即符合某种规格化要求；可用性强调的是当需要访问数据库时，它是可用的，指的是在给定的时间t，数据库按照说明能正常运行的概率。即使在时间t之前有许多故障发生，但是如果它们在时间t都已经被修复了，系统在时间t仍是可用的。可用性暗示数据库可以被修复。如果让时间趋向无穷，考察数据库的可用性，它所表明的是数据库执行有用操作的时间所期望的百分比。可用性可以用作评估那些可以被修复，并且可以允许在修复时，有一段时间停止工作的数据库的 “好坏”的一种尺度。影响可用性的关键因素是鲁棒性（Robustness）和易管理性（manageability）。通常认为创建高可用性的系统要比创建高可靠性的系统容易。 在有些场合下，可靠性和可用性这两个方面是统一的。一般来说，可靠性高的系统其可用性也好。因为可靠性高的系统故障少且容易修复，修复得快，自然可用性就好。但在另一些场合下，可靠性和可用性这两个方面又是有矛盾的。例如，我们可以在增加获得错误结果的风险下，允许系统继续工作来提高其可用性；另一方面，采用太谨慎的策略会降低可用性。例如，一旦有出错的危险时就停止系统的工作。 在某些应用系统中，如银行系统，可靠性（正确性）是一个绝对的要求，任何可能破坏数据库一致性的错误都是不能容忍的；而在其他一些应用系统中，为了获得较高的可用性而可以容忍暂时不一致性的风险。数据库和信息系统的设计者必须要权衡这两方面的利弊得失。 下面的例子说明在分布式数据库系统中这种矛盾的情况。 例6．1 考虑由两个站点1和2组成的分布式数据库。令X1和 X2是同一数据项X分别在站点1和站点2上的副本。考虑一更新X的事务T 。假定采用两阶段封锁协议来保证事务执行的可串行性，采用两阶段提交协议保证事务的原子性，T在其最后的阶段执行如下：锁定X1和X2，预备更新，执行两阶段提交。假设站点1是该事务的原发站点，并且是两阶段提交的协调者。 现在，假定两个站点都决定提交以后，通信网络发生故障。但是，这个故障发生在从协调者站点1发送提交命令给站点2以前，此时系统应如何行动？在站点1协调者可以提交该事务；但是，在站点2不知道协调者做了什么决定。可以有两种可能的策略。第一个策略把正确性作为绝对的要求，它使X2保持在锁定状态直到故障修复时为止；当重新建立起通信时，该事务将正确地结束。这种方法牺牲了可用性，因为数据项X的副本X2不能给在站点2处执行的其他事务使用。第二个策略是在数据库中引入不一致性的风险下尽量提高其可用性，它使X2解锁，让其他事务使用其值。此时如果假定提交比撤销更常发生，则在解锁X2以前进行提交（更新），好像提交命令已到达一样。如果采用这第二种策略，则在两站点之间重新建立起通信以后，检查有无发生不一致情况，如有的话就试图改正它。 两阶段提交协议实现了例6.1的第一个策略，所以它牺牲了可用性来获得高可靠性。如果我们要得到高可用性，就要考虑使用第二个策略。 6．1．2 平均故障间隔时间和平均修复时间 由于计算可靠性与可用性的公式，往往是十分令人厌烦的。所以,通常就使用两个单参数的指标来度量一个分布式数据库的可靠性程度，这两个指标是平均故障间隔时（MTBF）和平均修复时间（MTTR） 。 MTBF是在可以自我修复的系统中相继失败之间的期望时间。 MTBF可以由经验数据或从可靠性函数计算: MTBF=∫o∞ R(t)dt 这里的可靠性函数R﹝t﹞与系统的失败概率相关，所以MTBF与系统的失败概率有直接的关系。 MTTR是修复一个失败的系统所需要的期望的时间。类似MTBF和失败概率相关一样，MTTR与修复概率相关。对于指数型失败和修复概率的系统的可用性可以描述为 A＝ MTBR/ MTTR+MTBR 在分布