自2006年發(fā)布了第一款云服務(wù)以來，亞馬遜云科技提供了超過 240 種功能全面的服務(wù)。據(jù)了解，僅去年，亞馬遜云科技每天穩(wěn)定啟動的Amazon EC2實例超過1億個，每秒 API請求數(shù)高達(dá)100萬億次。

那么，亞馬遜云科技如何構(gòu)建如此可靠且強大的云服務(wù)？答案是“韌性”。在充滿變數(shù)的商業(yè)環(huán)境中，韌性成為企業(yè)保持穩(wěn)定、有效抵御各類風(fēng)險與挑戰(zhàn)的重要基石。

亞馬遜CEO Andy Jassy曾講過，“經(jīng)驗沒有壓縮算法”。在過去的18年里，亞馬遜云科技在基礎(chǔ)設(shè)施構(gòu)建、系統(tǒng)架構(gòu)設(shè)計和運營機制優(yōu)化三大核心領(lǐng)域，持續(xù)不斷地積累和迭代，形成了一套行之有效的經(jīng)驗與方法體系。這些寶貴的經(jīng)驗不僅顯著提升了亞馬遜云科技自身的韌性，同時也為眾多企業(yè)用戶提供了強有力的賦能與支持。

近日，亞馬遜云科技大中華區(qū)解決方案架構(gòu)總經(jīng)理代聞分享了亞馬遜云科技的云端韌性之道。

如何提高基礎(chǔ)設(shè)施的韌性？

在基礎(chǔ)設(shè)施構(gòu)建上，亞馬遜云科技設(shè)計了區(qū)域（Region）與可用區(qū)（AZ）的架構(gòu)，以確保數(shù)據(jù)中心的可用性和業(yè)務(wù)連續(xù)性。

區(qū)域是亞馬遜云科技在全球范圍內(nèi)設(shè)立的多個數(shù)據(jù)中心集群的物理位置。而可用區(qū)作為區(qū)域的下一層級單位，是由邏輯數(shù)據(jù)中心組組成，每個區(qū)域都至少包含三個或更多的可用區(qū)。

特別的是，為了確保高可用性，同一區(qū)域內(nèi)的可用區(qū)之間保持了足夠的物理距離。這樣，即便某個可用區(qū)遭遇電力中斷或自然災(zāi)害，其他可用區(qū)也能免受影響，繼續(xù)正常運行。這種安全距離的設(shè)計，不僅有效防止了相關(guān)故障的發(fā)生，還實現(xiàn)了數(shù)據(jù)在可用區(qū)之間以單位毫秒級的延遲進(jìn)行同步復(fù)制。通常情況下，亞馬遜云科技的可用區(qū)間距離控制在約100公里以內(nèi)。

此外，無論是在可用區(qū)內(nèi)部、可用區(qū)之間，還是區(qū)域與區(qū)域之間，亞馬遜云科技都鋪設(shè)了光纖線路，實現(xiàn)兩兩互聯(lián)。這種設(shè)計確保了高速數(shù)據(jù)傳輸?shù)耐瑫r，也保證了任一連接的冗余性，從而提高了整個網(wǎng)絡(luò)的可靠性。

代聞以中國的北京和寧夏兩個區(qū)域為例，詳細(xì)解釋了這一架構(gòu)。在可用區(qū)內(nèi)部，無論是寧夏還是北京，每個可用區(qū)內(nèi)都設(shè)有多個數(shù)據(jù)中心，它們之間通過多條冗余鏈路互聯(lián)，實現(xiàn)了數(shù)據(jù)的直達(dá)傳輸。在可用區(qū)之間，寧夏或北京的每個可用區(qū)都至少通過兩個傳輸中心進(jìn)行互聯(lián)，確保任一可用區(qū)的任一數(shù)據(jù)中心都能通過多條冗余鏈路與傳輸中心相連，從而實現(xiàn)跨可用區(qū)的數(shù)據(jù)互通。此外，在寧夏和北京兩個區(qū)域分別實現(xiàn)多層級互聯(lián)韌性保障后，它們之間還通過冗余的連接中心站點和分布的冗余鏈路進(jìn)行互聯(lián)，進(jìn)一步增強了整個網(wǎng)絡(luò)的穩(wěn)定性和可靠性。這些連接中心站點之間的大帶寬冗余鏈路，共同構(gòu)成了亞馬遜云科技堅實的基建骨干網(wǎng)絡(luò)。

如何提高技術(shù)架構(gòu)韌性？

在技術(shù)架構(gòu)的韌性提升上，亞馬遜云科技總結(jié)出云服務(wù)韌性的四大核心要素：區(qū)域隔離，多可用區(qū)；控制面和數(shù)據(jù)面獨立；單元架構(gòu)；隨機分片。

首先，區(qū)域隔離，多可用區(qū)方面，亞馬遜云科技依據(jù)故障隔離的邊界，將服務(wù)細(xì)分為可用區(qū)級、區(qū)域級及全球級三類，從而精準(zhǔn)控制故障對客戶的影響范圍，確保服務(wù)的連續(xù)性。

其次，在控制面和數(shù)據(jù)面獨立方面，亞馬遜云科技將服務(wù)拆分為控制平面和數(shù)據(jù)平面，確保數(shù)據(jù)平面能夠獨立于控制平面的狀態(tài)持續(xù)穩(wěn)定運行，同時又可以實現(xiàn)獨立擴展互不影響。代聞形象地比喻道，“控制面和數(shù)據(jù)面的隔離，類似于叫車軟件和打車，兩者其實是相對獨立的。當(dāng)你坐上車以后，如果一段時間叫車軟件沒有信號無法響應(yīng)了，也不影響司機將你送到預(yù)定的目的地。很多故障失效的情況關(guān)鍵在于沒有把數(shù)據(jù)面和控制面做到很好的隔離。”

再者，單元架構(gòu)設(shè)計方面，亞馬遜云科技將整個系統(tǒng)拆解為更小的獨立單元。當(dāng)發(fā)生故障時，僅有故障單元會受到影響，避免了整個系統(tǒng)的崩潰，從而提升了系統(tǒng)的整體穩(wěn)定性。

最后，在隨機分片上進(jìn)一步增強了應(yīng)用和系統(tǒng)的可用性，為亞馬遜云科技的服務(wù)提供了額外的韌性保障。

如何建立卓越的運營機制？

為了確保云服務(wù)的韌性，卓越的運營和機制至關(guān)重要，這也是亞馬遜云科技的差異化優(yōu)勢之一。亞馬遜云科技將運營機制精煉為四大模塊：服務(wù)責(zé)任模型、運營就緒審查、持續(xù)安全部署，以及糾錯流程。

亞馬遜云科技采用服務(wù)所有權(quán)模型，激勵團(tuán)隊不斷改進(jìn)運營。工程和產(chǎn)品管理工作由小型、多學(xué)科團(tuán)隊領(lǐng)導(dǎo)，并對其提供的服務(wù)擁有強大的所有權(quán)。這種所有權(quán)不僅要負(fù)責(zé)設(shè)計和啟動服務(wù)，還要在生產(chǎn)期間運營它，并在出現(xiàn)問題時隨叫隨到。

在發(fā)布和更新亞馬遜云科技服務(wù)之前，還需要使用運營就緒性審查（ORR）流程對所有新服務(wù)進(jìn)行審查。發(fā)布團(tuán)隊需要回答一系列關(guān)于復(fù)原力以及其他已知最佳實踐的問題，并遵循標(biāo)準(zhǔn)化的運行手冊，來確保服務(wù)符合標(biāo)準(zhǔn)。服務(wù)部署后，每周還會舉行運營會議，檢查系統(tǒng)的運營性能以及任何懸而未決的問題。

此外，亞馬遜云科技在服務(wù)更新或推出新服務(wù)時，采用了安全、持續(xù)部署管道。通過實施廣泛的生產(chǎn)前測試、自動回滾和交錯生產(chǎn)部署，將自動化部署安全性構(gòu)建到發(fā)布過程中，從而最大限度地減少錯誤部署對生產(chǎn)造成的潛在影響。

最后，亞馬遜云科技利用糾錯（CoE）流程等事件管理機制，幫助團(tuán)隊了解問題的根本原因。在問題得到緩解后推動全公司的工程沖刺，確保該問題在所有服務(wù)中得到解決，從而降低了未來類似事件影響其他服務(wù)的可能性。這些學(xué)習(xí)被記錄下來，并融入ORR過程，確保同類問題不再重復(fù)發(fā)生。

賦能客戶構(gòu)建端到端的韌性

在與客戶及內(nèi)部團(tuán)隊多年的緊密合作中，亞馬遜云科技精煉出韌性構(gòu)建工程的四大寶貴經(jīng)驗。代聞指出，首先，系統(tǒng)韌性的提升是一個持續(xù)不斷的過程，而非一蹴而就；其次，企業(yè)需在業(yè)務(wù)需求、可靠性、成本控制與系統(tǒng)復(fù)雜度之間找到最佳平衡點；第三，借鑒標(biāo)準(zhǔn)的軟件開發(fā)生命周期，可以輕松地將韌性構(gòu)建融入企業(yè)的現(xiàn)有流程；最后，從業(yè)務(wù)戰(zhàn)略、技術(shù)實施到持續(xù)運營，多維度助力企業(yè)全面提升系統(tǒng)韌性。

基于這些經(jīng)驗，亞馬遜云科技開發(fā)了韌性系統(tǒng)建設(shè)生命周期框架，該框架由五個關(guān)鍵階段組成，并配套提供了一系列服務(wù)和工具，幫助企業(yè)打造更具韌性的應(yīng)用。代聞強調(diào)，韌性建設(shè)是一個循環(huán)往復(fù)的生命周期過程，需要不斷重復(fù)這五個階段，以適應(yīng)不斷變化的環(huán)境和業(yè)務(wù)需求。

在設(shè)定目標(biāo)階段，企業(yè)需要明確定義韌性的目標(biāo)和要求，評估現(xiàn)有系統(tǒng)的韌性水平，并制定改進(jìn)計劃。此時，可以利用Amazon Resilience Analysis Framework來獲取指導(dǎo)方案。

進(jìn)入設(shè)計和實施階段，企業(yè)可以基于韌性最佳實踐，構(gòu)建具有適當(dāng)韌性控制措施的工作負(fù)載和系統(tǒng)。亞馬遜云科技提供了多種增強韌性的服務(wù)和功能，如自動擴展、負(fù)載均衡、備份等。

在驗證和測試階段，企業(yè)需要通過常規(guī)的測試以及混沌工程，驗證已知風(fēng)險，積極探索未知風(fēng)險。

在持續(xù)運營階段，企業(yè)應(yīng)采納自動化、監(jiān)控、變更管理等最佳實踐，持續(xù)提高系統(tǒng)的可觀測性和自動化性。

最后，在響應(yīng)和改進(jìn)階段，企業(yè)需要定期回顧韌性策略和措施的有效性，深入分析事故根因，避免問題再次發(fā)生，并持續(xù)進(jìn)行調(diào)整和優(yōu)化。

在數(shù)字化轉(zhuǎn)型的大潮中，云計算已成為企業(yè)提升業(yè)務(wù)韌性與運營效率的關(guān)鍵力量。亞馬遜云科技憑借多年實踐經(jīng)驗以及先進(jìn)的工具方法，助力不同行業(yè)的企業(yè)提升韌性，實現(xiàn)業(yè)務(wù)的平穩(wěn)升級與卓越運營。例如，奇瑞捷豹路虎將SAP系統(tǒng)遷移至亞馬遜云科技，利用其獨有的一個區(qū)域三個可用區(qū)特性增強集群穩(wěn)定性，故障切換提速至3分鐘；紫訊科技通過亞馬遜云科技構(gòu)建多區(qū)域容災(zāi)架構(gòu)，核心業(yè)務(wù)高可用改造，SLA提升至99.995%；FreeWheel依托亞馬遜云實現(xiàn)多區(qū)域多活應(yīng)用，輕松應(yīng)對百倍流量激增，為全球頂級賽事提供穩(wěn)定廣告技術(shù)支持。