Роли Raft, term и почему majority-кворум предотвращает split brain

Задача: одна машина из многих

Сложнейшая проблема распределённых систем — это согласие. Если пять нод независимо принимают записи, у тебя получится пять противоречивых историй. Задача Raft — заставить эти пять нод вести себя как одна: одинаковый порядок изменений, одинаковое состояние, никаких потерянных записей. Для этого в каждый момент времени выбирается ровно один лидер, и все изменения направляются через него.

Три роли

Понимание трёх ролей — это то, что позволяет читать status page Raft или post-mortem и сразу понимать, какой инвариант устоял, а какой сломался.

Каждая Raft-нода находится ровно в одном из трёх состояний:

• Follower — состояние по умолчанию. Принимает и хранит log entry от лидера. Клиентские записи напрямую не принимает.
• Candidate — follower, переставший слышать лидера и теперь баллотирующийся на лидерство. Временное состояние до разрешения выборов.
• Leader — нода, которой клиенты отправляют записи. Управляет репликацией на всех follower-ах. В здоровом кластере существует максимум один лидер на term.

Нода стартует как follower. Становится candidate, когда срабатывает election timeout. Становится лидером, если выигрывает голосование большинства.

Term: монотонные логические часы

Raft отслеживает время не настенными часами, а term-ами — монотонно возрастающими целыми числами. Каждый term начинается с выборов. Если лидер побеждает, он ведёт весь term. Если лидер не определился (split vote), term заканчивается и начинается новый.

Term выполняет две задачи:

1. Дедупликация. При получении сообщения ноды сравнивают term отправителя со своим. Больший term всегда побеждает — получатель обновляет свой term и понижается до follower при необходимости. Это мгновенно разрешает путаницу со stale-лидерами.
2. Упорядочение. Каждый log entry тегируется term-ом, в котором он был записан. Этот тег используется позже для обнаружения расхождений лога.

Вместе эти две задачи делают term единственными общими часами, позволяющими всегда ответить на вопрос «кто сейчас главный?» — без какого-либо соглашения по настенным часам. Убери любую из задач — получишь либо зомби-лидера, либо необнаруживаемое расхождение лога.

Term-ы никогда не повторяются. Если ты видишь term 7, каждое сообщение из term 6 — stale.

Majority-кворум: барьер против split brain

Raft требует большинства (больше половины кластера) для двух операций: выборов и коммитов. В 5-нодовом кластере большинство — 3.

Почему именно большинство? Ключевое свойство — пересечение: любые два большинства одного множества имеют хотя бы один общий элемент. В 5-нодовом кластере, если одна тройка коммитит entry, а другая тройка выбирает нового лидера, эти два множества не могут не пересекаться — у них есть общая нода. Через эту общую ноду новый лидер гарантированно видел закоммиченное entry.

Если бы Raft использовал простое plurality (2 из 5) вместо большинства, две отдельные группы по 2 могли бы каждая считать себя авторитетной — split brain (состояние, когда два узла одновременно уверены, что они лидер, и независимо коммитят записи). Большинство это предотвращает.

Tolerance отказов: кластер из N нод переносит floor((N-1)/2) одновременных отказов. 5 нод → 2 отказа. 3 ноды → 1 отказ. Поэтому Raft-кластеры по 3, 5 или 7 нод — нечётные числа максимизируют tolerance для данного размера.