一、背景
天云趋势在2012年下半年开始为某大型国有银行的历史交易 数据备份及查询提供基于Hadoop的技术解决方案，由于行业的特殊性，客户对服 务的可用性有着非常高的要求，而HDFS长久以来都被单点故障的问题所困扰，直 到Apache Hadoop在2012年5月发布了2.0的alpha版本，其中MRv2还很不成熟，可 HDFS的新功能已经基本可用，尤其是其中的的High Availability(以下简称HA) 和Federation。Cloudera也于7月制作了CDH4.0.1，包含了Hadoop 2.0的诸多新 功能和组件，于是我们就基于CDH4.0.1进行了HA和Federation的测试。
此工作由我和同事张军、钱兴会共同完成。
二、为什么需要HA和 Federation
1. 单点故障
在Hadoop 2.0之前，也有若干技术试图 解决单点故障的问题，我们在这里做个简短的总结
Secondary NameNode。它不是HA，它只是阶段性的合并edits和fsimage，以 缩短集群启动的时间。当NameNode(以下简称NN)失效的时候，Secondary NN并无 法立刻提供服务，Secondary NN甚至无法保证数据完整性：如果NN数据丢失的话 ，在上一次合并后的文件系统的改动会丢失。
Backup NameNode (HADOOP-4539)。它在内存中复制了NN的当前状态，算是 Warm Standby，可也就仅限于此，并没有failover等。它同样是阶段性的做 checkpoint，也无法保证数据完整性。
手动把name.dir指向NFS。这是安全的Cold Standby，可以保证元数据不丢失 ，但集群的恢复则完全靠手动。
Facebook AvatarNode。Facebook有强大的运维做后盾，所以Avatarnode只是 Hot Standby，并没有自动切换，当主NN失效的时候，需要管理员确认，然后手 动把对外提供服务的虚拟IP映射到Standby NN，这样做的好处是确保不会发生脑 裂的场景。其某些设计思想和Hadoop 2.0里的HA非常相似，从时间上来看， Hadoop 2.0应该是借鉴了Facebook的做法。
还有若干解决方案，基本都是依赖外部的HA机制，譬如DRBD，Linux HA， VMware的FT等等。
2. 集群容量和集群性能
单NN的架构使得HDFS在集群扩展性和性能上 都有潜在的问题，当集群大到一定程度后，NN进程使用的内存可能会达到上百G ，常用的估算公式为1G对应1百万个块，按缺省块大小计算的话，大概是64T (这 个估算比例是有比较大的富裕的，其实，即使是每个文件只有一个块，所有元数 据信息也不会有1KB/block)。同时，所有的元数据信息的读取和操作都需要与NN 进行通信，譬如客户端的addBlock、getBlockLocations，还有DataNode的 blockRecieved、sendHeartbeat、blockReport，在集群规模变大后，NN成为了 性能的瓶颈。Hadoop 2.0里的HDFS Federation就是为了解决这两个问题而开发 的。
三、Hadoop 2.0里HA的实现方式
图片来源： HDFS-1623 设计文档
图片作者： Sanjay Radia, Suresh Srinivas
在这个图里，我们可以看出HA的大致架构，其设计上的考虑包 括：
利用共享存储来在两个NN间同步edits信息。 以前的HDFS是 share nothing but NN，现在NN又share storage，这样其实是转移了单点故障 的位置，但中高端的存储设备内部都有各种RAID以及冗余硬件包括电源以及网卡 等，比服务器的可靠性还是略有提高。通过NN内部每次元数据变动后的flush操 作，加上NFS的close-to-open，数据的一致性得到了保证。社区现在也试图把元 数据存储放到BookKeeper上，以去除对共享存储的依赖，Cloudera也提供了 Quorum Journal Manager的实现和代码，这篇中文的blog有详尽分析：基于 QJM/Qurom Journal Manager/Paxos的HDFS HA原理及代码分析
DataNode(以下简称DN)同时向两个NN汇报块信息。 这是让 Standby NN保持集群最新状态的必需步骤，不赘述。
用于监视和控制NN进程的FailoverController进程 显然，我 们不能在NN进程内进行心跳等信息同步，最简单的原因，一次FullGC就可以让NN 挂起十几分钟，所以，必须要有一个独立的短小精悍的watchdog来专门负责监控 。这也是一个松耦合的设计，便于扩展或更改，目前版本里是用ZooKeeper(以下 简称ZK)来做同步锁，但用户可以方便的把这个ZooKeeper FailoverController( 以下简称ZKFC)替换为其他的HA方案或leader选举方案。
隔离(Fencing))，防止脑裂)，就是保证在任何时候只有一个主NN，包括三个 方面：
共享存储fencing，确保只有一个NN可以写入edits。
客户端fencing，确保只有一个NN可以响应客户端的请求。
DataNode fencing，确保只有一个NN可以向DN下发命令，譬如删除块，复制 块，等等。
四、Hadoop 2.0里Federation的实现方式
图片来源： HDFS-1052 设计文档
图片作者： Sanjay Radia, Suresh Srinivas