Odwrócona piramida zagłady

Model 3-2-1 architektury systemowej jest dziś niezwykle powszechny i prawie zawsze dokładnie odwrotny od tego, czego potrzebuje lub nawet chce firma, gdyby poświęciła czas na spisanie swoich celów biznesowych zamiast podejścia do architektury z perspektywy technologicznej. Projektowanie rozwiązania wymaga zaczęcia od wymagań biznesowych, w przeciwnym razie nie tylko ryzykujemy, że architektura będzie nieodpowiednio zaprojektowana dla firmy — po prostu tego oczekujemy.

Nazwa odnosi się do trzech (to jest punkt orientacyjny, często jest to dwa lub więcej) redundantnych serwerów hosta wirtualizacji podłączonych do dwóch (lub potencjalnie więcej) redundantnych przełączników podłączonych do jednego urządzenia pamięci masowej, zazwyczaj SAN-u (ale DAS lub NAS są tu równie ważne). To odwrócona piramida, ponieważ najważniejsza część — hosty wirtualizacji — jest całkowicie zależna od sieci, która z kolei jest całkowicie zależna od jednego SAN-u lub alternatywnego urządzenia pamięci masowej. Dlatego wszystko spoczywa na jednym urządzeniu stanowiącym pojedynczy punkt awarii, a cała ochrona i redundancja jest budowana coraz bardziej na szczycie tego kruchego fundamentu. W przeciwieństwie do właściwej piramidy z szeroką, stabilną podstawą i wierzchołkiem na górze, ta jest zbudowana z największą słabością na dole. (Często pojawia się tu marketingowy model “jednorożczych wiatrów” — “SAN-y są magiczne i nie mogą zawieść dzięki podwójnym kontrolerom” — gdy ludzie próbują wyjaśnić, że to nie jest pojedynczy punkt awarii, ale jest nim w każdym możliwym sensie.)

Rozwiązanie, często zwane projektem 3-2-1, można też określić mianem “odwróconej piramidy zagłady”, ponieważ jest to odwrócona do góry nogami piramida, zbyt krucha, by działać, i niezwykle droga jak na to, co oferuje. Dlatego w odróżnieniu od wielu innych kruchych modeli jest bardzo kosztowna, niezbyt elastyczna i mniej niezawodna niż po prostu nierobienie niczego poza posiadaniem jednego dobrego serwera.

Zdarzają się sytuacje, w których model 3-2-1 ma sens, ale są to głównie skrajne przypadki brzegowe, w których pożądane jest kruche środowisko i potrzebna jest wysoka wydajność współdzielonej pamięci masowej z masową mocą obliczeniową — czego nie zobaczyłbyś w środowisku MŚP i bardzo rzadko gdzie indziej.

Odwrócona piramida wygląda świetnie dla osób, które nie są świadome całości architektury, takich jak menedżerowie i osoby biznesowe. Jest wiele skrzynek, wiele kabli, zazwyczaj są komponenty programowe oznaczone etykietą “HA”, co dla zewnętrznego obserwatora sprawia, że całe rozwiązanie musi być wysoce niezawodne. Odwrócone piramidy są popularne, ponieważ oferują “HA” z marketingowego punktu widzenia, sprawiając, że wszystko brzmi wspaniale, a jednocześnie utrzymują ogólny koszt w rozsądnych granicach, co sprawia, że wydaje się to niemal cudem — obietnice wysokiej dostępności bez tradycyjnych kosztów. Dodatkowa “redundancja” niektórych komponentów jest świetna marketingowo. Ponieważ niezawodność jest trudna do zmierzenia, zarówno osoby biznesowe, jak i techniczne często uciekają się do mówienia o redundancji zamiast o niezawodności, bo redundancję łatwo zobaczyć. Odwrócona piramida przemawia dobrze do tych osób, ponieważ zapewnia redundancję bez niezawodności. Redundancja nie jest tam, gdzie ma to największe znaczenie. Absolutnie kluczowe jest zapamiętanie, że redundancja nie jest polem do odznaczenia ani celem — jest narzędziem służącym do uzyskania poprawy niezawodności. Nieprawidłowa redundancja nie ma żadnej wartości. Co da samochód z redundantną kierownicą w bagażniku? Co da redundantny samolot, gdy giniesz przy rozbicia pierwszego? Co da redundantny serwer, jeśli firma stoi i dane są utracone, gdy jedyny SAN doszczętnie spłonął?

Odwrócona piramida jest jednym z najbardziej oczywistych i wszechobecnych przykładów “Nowych ubrań cesarza” stosowanych w sprzedaży technologii. Ponieważ spełnia potrzeby resellerów i dostawców poprzez promowanie sprzedaży o wysokich marżach i minimalizowanie sprzedaży o niskich marżach, i ponieważ niemal każdy dostawca ją promuje ze względu na finansowe korzyści dla sprzedającego, stała się powszechnie akceptowana jako świetne rozwiązanie — jest wystarczająco skomplikowana i techniczna, by powszechne odrzucenie nie następowało, a ogromna presja rynkowa ze strony licznego grona dostawców czerpiących korzyści z tej architektury sprawiła, że stała się ona status quo. Niewielu zatrzymuje się i pyta, czy cała architektura ma jakikolwiek sens. To w połączeniu z faktem, że wszystkie dzisiejsze systemy są wysoce niezawodne w porównaniu z systemami sprzed zaledwie dekady, co powoduje, że awarie są na tyle rzadkie, że ich częstotliwość jest wyższa niż powinna być, a statystyczne wskaźniki awarii nie są wymieniane między firmami MŚP, sprawia, że architektura kwitnie i stała się de facto zestawem rozwiązań dla większości MŚP.

Konkluzja jest taka, że podejście oparte na odwróconej piramidzie nie ma sensu — jest znacznie mniej niezawodne niż prostsze rozwiązania, nawet niż pojedynczy serwer stojący samodzielnie, a kosztuje wielokrotnie więcej. Jeśli kluczowym czynnikiem jest koszt, należy je całkowicie wykluczyć. Jeśli kluczowym czynnikiem jest niezawodność, należy je całkowicie wykluczyć. Tylko wtedy, gdy koszt i niezawodność schodzą bardzo daleko na dalszy plan na rzecz elastyczności, warto w ogóle brać to pod uwagę — i nawet wtedy rzadko zdarza się, by tańsze i bardziej niezawodne rozwiązanie nie dorównało mu w ogólnej elastyczności w przewidywanym zakresie. Najlepiej unikać tego podejścia całkowicie.

Pierwotnie opublikowano na Spiceworks w wersji skróconej: http://community.spiceworks.com/topic/312493-the-inverted-pyramid-of-doom