自2006年發(fā)布了第一款云服務(wù)以來，亞馬遜云科技提供了超過 240 種功能全面的服務(wù)。據(jù)了解，僅去年，亞馬遜云科技每天穩(wěn)定啟動(dòng)的Amazon EC2實(shí)例超過1億個(gè)，每秒 API請(qǐng)求數(shù)高達(dá)100萬億次。

那么，亞馬遜云科技如何構(gòu)建如此可靠且強(qiáng)大的云服務(wù)？答案是“韌性”。在充滿變數(shù)的商業(yè)環(huán)境中，韌性成為企業(yè)保持穩(wěn)定、有效抵御各類風(fēng)險(xiǎn)與挑戰(zhàn)的重要基石。

亞馬遜CEO Andy Jassy曾講過，“經(jīng)驗(yàn)沒有壓縮算法”。在過去的18年里，亞馬遜云科技在基礎(chǔ)設(shè)施構(gòu)建、系統(tǒng)架構(gòu)設(shè)計(jì)和運(yùn)營機(jī)制優(yōu)化三大核心領(lǐng)域，持續(xù)不斷地積累和迭代，形成了一套行之有效的經(jīng)驗(yàn)與方法體系。這些寶貴的經(jīng)驗(yàn)不僅顯著提升了亞馬遜云科技自身的韌性，同時(shí)也為眾多企業(yè)用戶提供了強(qiáng)有力的賦能與支持。

近日，亞馬遜云科技大中華區(qū)解決方案架構(gòu)總經(jīng)理代聞分享了亞馬遜云科技的云端韌性之道。

如何提高基礎(chǔ)設(shè)施的韌性？

在基礎(chǔ)設(shè)施構(gòu)建上，亞馬遜云科技設(shè)計(jì)了區(qū)域（Region）與可用區(qū)（AZ）的架構(gòu)，以確保數(shù)據(jù)中心的可用性和業(yè)務(wù)連續(xù)性。

區(qū)域是亞馬遜云科技在全球范圍內(nèi)設(shè)立的多個(gè)數(shù)據(jù)中心集群的物理位置。而可用區(qū)作為區(qū)域的下一層級(jí)單位，是由邏輯數(shù)據(jù)中心組組成，每個(gè)區(qū)域都至少包含三個(gè)或更多的可用區(qū)。

特別的是，為了確保高可用性，同一區(qū)域內(nèi)的可用區(qū)之間保持了足夠的物理距離。這樣，即便某個(gè)可用區(qū)遭遇電力中斷或自然災(zāi)害，其他可用區(qū)也能免受影響，繼續(xù)正常運(yùn)行。這種安全距離的設(shè)計(jì)，不僅有效防止了相關(guān)故障的發(fā)生，還實(shí)現(xiàn)了數(shù)據(jù)在可用區(qū)之間以單位毫秒級(jí)的延遲進(jìn)行同步復(fù)制。通常情況下，亞馬遜云科技的可用區(qū)間距離控制在約100公里以內(nèi)。

此外，無論是在可用區(qū)內(nèi)部、可用區(qū)之間，還是區(qū)域與區(qū)域之間，亞馬遜云科技都鋪設(shè)了光纖線路，實(shí)現(xiàn)兩兩互聯(lián)。這種設(shè)計(jì)確保了高速數(shù)據(jù)傳輸?shù)耐瑫r(shí)，也保證了任一連接的冗余性，從而提高了整個(gè)網(wǎng)絡(luò)的可靠性。

代聞以中國的北京和寧夏兩個(gè)區(qū)域?yàn)槔?，詳?xì)解釋了這一架構(gòu)。在可用區(qū)內(nèi)部，無論是寧夏還是北京，每個(gè)可用區(qū)內(nèi)都設(shè)有多個(gè)數(shù)據(jù)中心，它們之間通過多條冗余鏈路互聯(lián)，實(shí)現(xiàn)了數(shù)據(jù)的直達(dá)傳輸。在可用區(qū)之間，寧夏或北京的每個(gè)可用區(qū)都至少通過兩個(gè)傳輸中心進(jìn)行互聯(lián)，確保任一可用區(qū)的任一數(shù)據(jù)中心都能通過多條冗余鏈路與傳輸中心相連，從而實(shí)現(xiàn)跨可用區(qū)的數(shù)據(jù)互通。此外，在寧夏和北京兩個(gè)區(qū)域分別實(shí)現(xiàn)多層級(jí)互聯(lián)韌性保障后，它們之間還通過冗余的連接中心站點(diǎn)和分布的冗余鏈路進(jìn)行互聯(lián)，進(jìn)一步增強(qiáng)了整個(gè)網(wǎng)絡(luò)的穩(wěn)定性和可靠性。這些連接中心站點(diǎn)之間的大帶寬冗余鏈路，共同構(gòu)成了亞馬遜云科技堅(jiān)實(shí)的基建骨干網(wǎng)絡(luò)。

如何提高技術(shù)架構(gòu)韌性？

在技術(shù)架構(gòu)的韌性提升上，亞馬遜云科技總結(jié)出云服務(wù)韌性的四大核心要素：區(qū)域隔離，多可用區(qū)；控制面和數(shù)據(jù)面獨(dú)立；單元架構(gòu)；隨機(jī)分片。

首先，區(qū)域隔離，多可用區(qū)方面，亞馬遜云科技依據(jù)故障隔離的邊界，將服務(wù)細(xì)分為可用區(qū)級(jí)、區(qū)域級(jí)及全球級(jí)三類，從而精準(zhǔn)控制故障對(duì)客戶的影響范圍，確保服務(wù)的連續(xù)性。

其次，在控制面和數(shù)據(jù)面獨(dú)立方面，亞馬遜云科技將服務(wù)拆分為控制平面和數(shù)據(jù)平面，確保數(shù)據(jù)平面能夠獨(dú)立于控制平面的狀態(tài)持續(xù)穩(wěn)定運(yùn)行，同時(shí)又可以實(shí)現(xiàn)獨(dú)立擴(kuò)展互不影響。代聞形象地比喻道，“控制面和數(shù)據(jù)面的隔離，類似于叫車軟件和打車，兩者其實(shí)是相對(duì)獨(dú)立的。當(dāng)你坐上車以后，如果一段時(shí)間叫車軟件沒有信號(hào)無法響應(yīng)了，也不影響司機(jī)將你送到預(yù)定的目的地。很多故障失效的情況關(guān)鍵在于沒有把數(shù)據(jù)面和控制面做到很好的隔離?！?/span>

再者，單元架構(gòu)設(shè)計(jì)方面，亞馬遜云科技將整個(gè)系統(tǒng)拆解為更小的獨(dú)立單元。當(dāng)發(fā)生故障時(shí)，僅有故障單元會(huì)受到影響，避免了整個(gè)系統(tǒng)的崩潰，從而提升了系統(tǒng)的整體穩(wěn)定性。

最后，在隨機(jī)分片上進(jìn)一步增強(qiáng)了應(yīng)用和系統(tǒng)的可用性，為亞馬遜云科技的服務(wù)提供了額外的韌性保障。

如何建立卓越的運(yùn)營機(jī)制？

為了確保云服務(wù)的韌性，卓越的運(yùn)營和機(jī)制至關(guān)重要，這也是亞馬遜云科技的差異化優(yōu)勢(shì)之一。亞馬遜云科技將運(yùn)營機(jī)制精煉為四大模塊：服務(wù)責(zé)任模型、運(yùn)營就緒審查、持續(xù)安全部署，以及糾錯(cuò)流程。

亞馬遜云科技采用服務(wù)所有權(quán)模型，激勵(lì)團(tuán)隊(duì)不斷改進(jìn)運(yùn)營。工程和產(chǎn)品管理工作由小型、多學(xué)科團(tuán)隊(duì)領(lǐng)導(dǎo)，并對(duì)其提供的服務(wù)擁有強(qiáng)大的所有權(quán)。這種所有權(quán)不僅要負(fù)責(zé)設(shè)計(jì)和啟動(dòng)服務(wù)，還要在生產(chǎn)期間運(yùn)營它，并在出現(xiàn)問題時(shí)隨叫隨到。

在發(fā)布和更新亞馬遜云科技服務(wù)之前，還需要使用運(yùn)營就緒性審查（ORR）流程對(duì)所有新服務(wù)進(jìn)行審查。發(fā)布團(tuán)隊(duì)需要回答一系列關(guān)于復(fù)原力以及其他已知最佳實(shí)踐的問題，并遵循標(biāo)準(zhǔn)化的運(yùn)行手冊(cè)，來確保服務(wù)符合標(biāo)準(zhǔn)。服務(wù)部署后，每周還會(huì)舉行運(yùn)營會(huì)議，檢查系統(tǒng)的運(yùn)營性能以及任何懸而未決的問題。

此外，亞馬遜云科技在服務(wù)更新或推出新服務(wù)時(shí)，采用了安全、持續(xù)部署管道。通過實(shí)施廣泛的生產(chǎn)前測(cè)試、自動(dòng)回滾和交錯(cuò)生產(chǎn)部署，將自動(dòng)化部署安全性構(gòu)建到發(fā)布過程中，從而最大限度地減少錯(cuò)誤部署對(duì)生產(chǎn)造成的潛在影響。

最后，亞馬遜云科技利用糾錯(cuò)（CoE）流程等事件管理機(jī)制，幫助團(tuán)隊(duì)了解問題的根本原因。在問題得到緩解后推動(dòng)全公司的工程沖刺，確保該問題在所有服務(wù)中得到解決，從而降低了未來類似事件影響其他服務(wù)的可能性。這些學(xué)習(xí)被記錄下來，并融入ORR過程，確保同類問題不再重復(fù)發(fā)生。

賦能客戶構(gòu)建端到端的韌性

在與客戶及內(nèi)部團(tuán)隊(duì)多年的緊密合作中，亞馬遜云科技精煉出韌性構(gòu)建工程的四大寶貴經(jīng)驗(yàn)。代聞指出，首先，系統(tǒng)韌性的提升是一個(gè)持續(xù)不斷的過程，而非一蹴而就；其次，企業(yè)需在業(yè)務(wù)需求、可靠性、成本控制與系統(tǒng)復(fù)雜度之間找到最佳平衡點(diǎn)；第三，借鑒標(biāo)準(zhǔn)的軟件開發(fā)生命周期，可以輕松地將韌性構(gòu)建融入企業(yè)的現(xiàn)有流程；最后，從業(yè)務(wù)戰(zhàn)略、技術(shù)實(shí)施到持續(xù)運(yùn)營，多維度助力企業(yè)全面提升系統(tǒng)韌性。

基于這些經(jīng)驗(yàn)，亞馬遜云科技開發(fā)了韌性系統(tǒng)建設(shè)生命周期框架，該框架由五個(gè)關(guān)鍵階段組成，并配套提供了一系列服務(wù)和工具，幫助企業(yè)打造更具韌性的應(yīng)用。代聞強(qiáng)調(diào)，韌性建設(shè)是一個(gè)循環(huán)往復(fù)的生命周期過程，需要不斷重復(fù)這五個(gè)階段，以適應(yīng)不斷變化的環(huán)境和業(yè)務(wù)需求。

在設(shè)定目標(biāo)階段，企業(yè)需要明確定義韌性的目標(biāo)和要求，評(píng)估現(xiàn)有系統(tǒng)的韌性水平，并制定改進(jìn)計(jì)劃。此時(shí)，可以利用Amazon Resilience Analysis Framework來獲取指導(dǎo)方案。

進(jìn)入設(shè)計(jì)和實(shí)施階段，企業(yè)可以基于韌性最佳實(shí)踐，構(gòu)建具有適當(dāng)韌性控制措施的工作負(fù)載和系統(tǒng)。亞馬遜云科技提供了多種增強(qiáng)韌性的服務(wù)和功能，如自動(dòng)擴(kuò)展、負(fù)載均衡、備份等。

在驗(yàn)證和測(cè)試階段，企業(yè)需要通過常規(guī)的測(cè)試以及混沌工程，驗(yàn)證已知風(fēng)險(xiǎn)，積極探索未知風(fēng)險(xiǎn)。

在持續(xù)運(yùn)營階段，企業(yè)應(yīng)采納自動(dòng)化、監(jiān)控、變更管理等最佳實(shí)踐，持續(xù)提高系統(tǒng)的可觀測(cè)性和自動(dòng)化性。

最后，在響應(yīng)和改進(jìn)階段，企業(yè)需要定期回顧韌性策略和措施的有效性，深入分析事故根因，避免問題再次發(fā)生，并持續(xù)進(jìn)行調(diào)整和優(yōu)化。

在數(shù)字化轉(zhuǎn)型的大潮中，云計(jì)算已成為企業(yè)提升業(yè)務(wù)韌性與運(yùn)營效率的關(guān)鍵力量。亞馬遜云科技憑借多年實(shí)踐經(jīng)驗(yàn)以及先進(jìn)的工具方法，助力不同行業(yè)的企業(yè)提升韌性，實(shí)現(xiàn)業(yè)務(wù)的平穩(wěn)升級(jí)與卓越運(yùn)營。例如，奇瑞捷豹路虎將SAP系統(tǒng)遷移至亞馬遜云科技，利用其獨(dú)有的一個(gè)區(qū)域三個(gè)可用區(qū)特性增強(qiáng)集群穩(wěn)定性，故障切換提速至3分鐘；紫訊科技通過亞馬遜云科技構(gòu)建多區(qū)域容災(zāi)架構(gòu)，核心業(yè)務(wù)高可用改造，SLA提升至99.995%；FreeWheel依托亞馬遜云實(shí)現(xiàn)多區(qū)域多活應(yīng)用，輕松應(yīng)對(duì)百倍流量激增，為全球頂級(jí)賽事提供穩(wěn)定廣告技術(shù)支持。