[논문 리뷰] Microreboot -- A Technique for Cheap Recovery

George Candea, Shinichi Kawamoto외 3명|ArXiv.org|2004. 06. 02.

Orthopedic Surgery and Rehabilitation참고 문헌 28인용 수 366

한 줄 요약

이 논문은 전용 상태 저장소를 통해 프로세스 복구와 데이터 복구를 분리하여 개별 애플리케이션 컴포넌트에 대한 미세한 수준의 저비용 복구 기법인 마이크로리부트(microreboot)를 소개한다. 인터넷 경매 시스템에서 평가된 결과, 마이크로리부트는 대부분의 전체 재시작이 필요했던 장애를 치유하여 복구 속도를 10배 빠르게 하고 손실된 작업량을 90% 감소시켰으며, 고가용성 시스템에서 사전적이고 투명하며 비중단적인 재생을 가능하게 했다.

ABSTRACT

A significant fraction of software failures in large-scale Internet systems are cured by rebooting, even when the exact failure causes are unknown. However, rebooting can be expensive, causing nontrivial service disruption or downtime even when clusters and failover are employed. In this work we separate process recovery from data recovery to enable microrebooting -- a fine-grain technique for surgically recovering faulty application components, without disturbing the rest of the application. We evaluate microrebooting in an Internet auction system running on an application server. Microreboots recover most of the same failures as full reboots, but do so an order of magnitude faster and result in an order of magnitude savings in lost work. This cheap form of recovery engenders a new approach to high availability: microreboots can be employed at the slightest hint of failure, prior to node failover in multi-node clusters, even when mistakes in failure detection are likely; failure and recovery can be masked from end users through transparent call-level retries; and systems can be rejuvenated by parts, without ever being shut down.

연구 동기 및 목표

• 대규모 인터넷 서비스에서 전체 시스템 재시작의 높은 비용과 교란을 해결하기 위해.
• 실패가 잦은 기업용 소프트웨어에서 복구 시간과 손실된 작업량을 줄이기 위해 미세한 수준의 컴포넌트 복구를 가능하게 하기 위해.
• 프로세스 복구와 데이터 복구를 분리하여 개별 컴포넌트의 안전하고 빠른 재시작을 가능하게 하기 위해.
• 높은 가짜 양성 탐지 비율을 가진 상태에서도 사전적이고 투명한 복구를 가능하게 하기 위해.
• 전체 종료 없이 부분적인 재생을 허용하여 시스템 가용성을 향상시키기 위해.

제안 방법

• 지속적인 데이터를 위한 전용 상태 저장소에 의존하는 상태 없는, 잘 고립된 단위로 애플리케이션 컴포넌트를 설계한다.
• 특수화된 상태 저장소를 사용하여 데이터 복구를 프로세스 복구에서 분리함으로써 재시작 동안 데이터의 내구성을 보장한다.
• 엔드유저가 마이크로리부트의 영향을 감추기 위해 투명한 콜 레벨 재시도 프레임워크를 구현한다.
• 거의 일정한 시간 내에 자원을 동기식으로 회수하여 빠르고 안전한 마이크로리부트를 가능하게 한다.
• 실제 운영 환경과 유사한 경매 시스템에 프로토타입을 구현하여 복구 효과를 평가한다.
• 장애를 주입하고 실제 워크로드 하에서 복구 시간, 손실된 작업량, 가용성을 측정한다.

실험 결과

연구 질문

• RQ1 미세한 수준의 컴포넌트 재시작(microrebooting)이 전체 프로세스 재시작과 동일한 장애를 복구할 수 있는가? 그리고 비용과 교란을 크게 줄일 수 있는가?
• RQ2 복구 속도와 시스템 가용성 측면에서 마이크로리부팅은 전통적인 전체 노드 장애 전환 및 재시작 방식과 비교해 어떻게 다를까?
• RQ3 투명한 재시도 메커니즘을 통해 마이크로리부팅은 엔드유저에게 장애를 얼마나 효과적으로 가림으로써 비중단적인 복구를 가능하게 할 수 있는가?
• RQ4 대규모 상태 기반 인터넷 서비스에서 안전하고 효율적인 마이크로리부팅을 가능하게 하는 아키텍처 패턴은 무엇인가?
• RQ5 메모리 누수나 히젠버그 버그와 같은 일반적인 장애 유형에서 마이크로리부팅은 얼마나 효과적인가?

주요 결과

• 평가된 경매 시스템에서 마이크로리부팅은 이전에 전체 프로세스 재시작이 필요했던 대부분의 장애를 복구했다.
• 마이크로리부팅은 전체 프로세스 재시작보다 복구 속도가 10배 빠르게 달성되었다.
• 마이크로리부팅은 전체 재부팅 대비 복구 중 손실된 작업량을 10배 감소시켰다.
• 마이크로리부팅은 전체 종료 없이도 시스템 재생을 가능하게 하여 메모리 누수가 있는 환경에서 가용성을 10배 향상시켰다.
• 98%의 가짜 양성 탐지 비율 조건에서도 마이크로리부팅은 전통적인 장애 전환 기반 복구 방식을 능가하는 성능을 유지했다.
• 투명한 콜 레벨 재시도가 성공적으로 마이크로리부트 이벤트를 엔드유저에게 가림으로써 비중단적인 복구를 가능하게 했다.