标题: Replica Set 选举过程 [打印本页] 作者: shengnan007 时间: 2012-9-18 12:59 标题: Replica Set 选举过程 在MongoDB中，为了提高系统的可用性（availability）和数据的安全性，每一个shard被存储多份，每个备份所在的servers，组成了一个replica set。 ) [. ~8 c; J+ h! ~5 F, j! u1 H2 @. V4 P ' c1 O: ]1 f$ A- ~ 这个replica set包括一个primary DB和多个secondary DBs。Primary DB由replica set中的所有servers，共同选举产生。当这个primaryDB server出错的时候，可以从replica set中重新选举一个新的primaryDB，从而避免了单点故障。. V" ~9 n. [) ^$ k
# P0 T9 _2 v2 j. D9 t
因此，了解replica set的运行机制，首先就要了解，在replica set中，primary是如何被选举出来的。3 s( k; c! y9 h- ?9 ?+ g- G
" e5 B z) c0 M. B" d 假设我们的replica set有三个节点：X，Y和Z。这三个节点每2秒会各自向其它两个节点发送一个心跳检测请求。比如X节点向Y和Z节点各发送了一个心跳检测请求，在正常情况下，Y、Z会做出回复，这个回复包含了Y和Z的自身信息，这个信息主要包括：它们现在是什么角色（primary 还是 secondary)，他们是否能够成为 primary，他们当前时钟时间等等。 ! R8 D7 D9 m$ f) p) F& T- }. U$ S2 z 0 z3 A; \. P2 Y4 D" v/ L X节点在收到回复后，会更新自己的一个状态映射表，更新的内容包括：是否有新的节点加入或有老的节点宕机了，这个请求的网络传输时间等等。 ! Y5 j! H# C* q8 p+ [2 | 4 @/ g' l. g1 t2 F4 X 这个时候，如果X的映射表发生了变化，X会进行如下一些判断：如果X是 primary，而replica set中的某个节点出现了故障，X要确认它是否可以和replica set中的大多数节点通信，如果不能与大多数节点通信，那么存在如下两种可能，一种是绝大多数的servers都出现了故障，比如宕机了；另外一种，就是replica set中网络断开，形成多个节点集群，每个集群都不知道自己被孤立了，这种情况下，每个节点集群，都会选出自己的primary，从而导致整个replica set中，出现数据不一致。为了防止第二种情况的出现，一旦X发现自己不能与大多数节点通信，那么它会把自己从 primary 降级为 secondary。: b+ R3 O5 g q4 I# H# D1 E3 [: P
! i) ]0 r$ \& P; w. V+ ]
降级 / J+ {6 R5 l6 K9 x) K' e ) `) V( a# h4 ?) p/ w/ j 在 MongoDB 中，写操作默认是 fire-and-forget 模式，也就是说执行写操作的时候不关心是否写入成功，用户发完写操作的请求后，就认为操作成功了。 - x, N v2 A+ l! b4 _7 A. F2 \ # H; r7 P9 \2 c6 F4 h; a9 Q 在X节点从 primary 降级为 secondary 的时候，会存在一些问题：如果用户正在执行fire-and-forget 模式下的写操作，这个时候 primary 降级了，但是用户并不知道primary 已经降级成为 secondary 了，继续不停的发送写操作请求给这个primary节点。这个刚刚从primary降级为 secondary 的节点，本来可以发送一个信息给用户，“我是secondary，不能执行写操作了”，但是由于当前的写操作是在fire-and-forget 模式下，用户不会接收回复消息，所以用户不知道这次写入已经失败了。4 c& R+ v. [& k; z1 }/ u
5 ?- r0 _1 H$ K) ]4 v' G }2 R' w
你可能会说，“那我们使用安全写入不就行了”，安全写入意思是说等待服务器返回成功后用户才认为写成功了，但是这对写操作的性能是有损失的。! z3 g) p T6 X4 B5 r* R
. n* P& b# u( {5 e# X- A' u
所以，在一个 primary 降级成为 secondary 后，它会将和用户之间的所有连接关闭，这样用户在下一次写入的时候就会出现 socket 错误。而客户端在发现这个错误之后，就会重新向replica set获取新的 primary 的地址，并将后续的写操作都往新的primary上写入。 8 L1 Q$ X, j, y4 |+ W# Y$ O+ K% S4 U8 b9 i, B
选举 3 |, q4 u7 L1 @! }7 o$ {* b5 C1 y* r' p; h) u) O/ X C% C# S$ Z- F
我们回头再来看心跳检测：如果X是一个 secondary节点，就算X上的状态映射表没有发生变化， X也会定时向replica set中的其他节点发消息，检测是否需要选举自己成为 primary。检测的内容包括：replica set集群中，是否有其它节点认为自己是 primary？X节点自己是否已经是 primary？X节点是不是没有资格被选举为 primary？如果以上问题中的任何一个回答是否定的，X节点就不会把自己变成primary，然后隔一段时间继续向replica set中的其他节点发消息，检测上述问题。" Y! O# d& Y9 M
; Y/ a8 `# v: T+ b# m5 W; ^
当确实需要选举一个primary时，X就会发起选举的第一个步骤，X节点会向Y、Z节点发出一条消息，“我想竞选primary，你们觉得怎么样？”* F r$ }7 D: W/ ^4 V3 L N5 Z
4 @! N. t. e: K+ L( a" N 当Y和Z收到X发送的消息时，它们会进行下面几项检测：Y和Z是否已经知道replica set集群中有一个 primary了？Y和Z自己的数据是否比X节点的数据更新？Y和Z是否知道有其它节点的数据比X节点的数据更新？如果每一项检测都不满足，就说明X最适合作为primary，Y和Z暂时回复一条消息，“继续进行”。如果Y和Z发现上述的问题，有任何一条满足，就说明X不能作为primary，它们会回复“停止选举。”% t" l j4 p5 t# n. J O
0 r" E3 n& e' h2 R/ l& G X从Y和Z收到的回复消息，如果其中任何一个节点发送的是“停止选举”，那么X会立刻取消选举，继续作为secondary节点运行。 1 Z, L$ w9 t0 p3 C 0 V2 }# p+ g5 _% G+ m7 ~ X从Y和Z收到的回复消息，如果全都是“继续进行”，X就会进入选举的第二阶段（也是最后一个阶段）。 4 H7 _# n9 f6 L0 I 0 e, z, O. F" c1 ^& [$ O2 L# _! W1 i 在第二阶段中，X向其它节点发送一条消息，“我正式宣布我当选了，已经是primary了”，这时，Y和Z节点会进行最后一轮确认：之前验证过的所有条件现在还成立么？如果确实如此，Y和Z节点投出赞成票，允许X当选为primary，同时X得到了election lock。Election lock会限制Y和Z在30秒内不会再做其它投票决定。 0 G: M) F8 C+ J& F9 } . t8 Q9 l) a. {/ l4 G 如果Y或者Z节点的最后一轮确认没有通过，它们会投一个否决票。只要有一个否决票，选举就失败了。 8 ~" h* l5 e- T9 y6 T* A& ?/ W4 B: n) x7 H% q2 q8 E
假设Y赞成X成为primary，但是Z投了否决票，那么X就不能当选为primary了。这时，如果Z想发起选举，选自己担任primary，那么Z就必须获得X的赞成票才可以当选。Z必须获得X的赞成票的原因是，Y给X投了赞成票之后，得到了election lock，因此，30秒内Y不能再为其他选举投票了，也就是说30秒内不能为Z发起的选举进行投票。这时，只剩下X能为Z的选举请求进行投票了。' Q Z/ f$ _6 @4 Z, A: I5 Y6 h7 _
1 t" C6 G: v4 B# _ 所以投票的规则是这样的：如果没有人投否决票，并且选举对象获得的赞成票超过半数，那么选举对象就能够成为 primary。 ! m6 e ]3 I& d0 g& i/ E1 A, c* g: N& c
3 Y) l2 |# h z( `% PReference， / B4 f2 `+ v( h9 s3 S# v& z% k( x, w & y: E; u; }* O, H[0] Replica Set Internals Bootcamp: Part I – Elections6 V, Z( C8 t* J% n& \% N http://www.kchodorow.com/blog/20 ... p-part-i-elections/2 F0 C: E' k) ]4 T- p) X. \