7 Eine Fehlerdomäne (Fault Domain) ist eine Gruppe von Infrastrukturkomponenten, die sich einen potenziellen Ausfallpunkt teilen. Tritt in dieser gemeinsamen Abhängigkeit ein Ausfall auf, können alle Systeme innerhalb der Fehlerdomäne gleichzeitig betroffen sein. Fehlerdomänen entstehen, weil Infrastrukturkomponenten oft von denselben zugrunde liegenden Ressourcen abhängen, etwa: Einem Stromkreis Einem Netzwerk-Switch Einem Server-Rack Einem Speichergehäuse Einem Rechenzentrum Fallen diese gemeinsamen Abhängigkeiten aus, kann es bei allen damit verbundenen Systemen zu Störungen kommen. Hängen beispielsweise mehrere Server an derselben Stromverteilereinheit (PDU), würde ein Stromausfall jeden daran angeschlossenen Server treffen. Diese Server gehören zur selben Fehlerdomäne. Wer diese Grenzen versteht, kann Systeme so konzipieren, dass sie die Auswirkungen von Ausfällen begrenzen. Warum Fehlerdomänen wichtig sind Ausfälle gehören zum normalen Betrieb von Infrastruktur. Hardwarekomponenten fallen aus, Netzwerkgeräte haben Störungen, und Wartungsarbeiten erfordern gelegentlich, dass Systeme offline gehen. Fehlerdomänen helfen sicherzustellen, dass solche Ausfälle nicht die gesamte Umgebung betreffen. Unternehmen nutzen Fehlerdomänen zur Unterstützung von: Hochverfügbarkeitsarchitekturen Verteilten Speicherplattformen Cloud-Infrastruktur Datenservices im großen Maßstab Werden Workloads auf mehrere Fehlerdomänen verteilt, können Systeme auch dann weiterlaufen, wenn einzelne Komponenten ausfallen. Zu den wichtigsten Vorteilen gehören: Den Umfang von Ausfällen begrenzen Fehlerdomänen isolieren Ausfälle, sodass sie nur einen Teil des Systems betreffen. Statt einer ganzen Anwendung ist womöglich nur ein kleiner Teil der Infrastruktur betroffen. Die Verfügbarkeit von Services aufrechterhalten Sind Workloads auf mehrere Domänen verteilt, lässt sich der Datenverkehr beim Ausfall einer Domäne auf funktionsfähige Infrastruktur umleiten. Dieser Ansatz ist weit verbreitet in Systemen mit Lastverteilung und verteilten Systemen. Die Langlebigkeit der Daten schützen Speichersysteme replizieren Daten über mehrere Fehlerdomänen, damit ein Ausfall in einer Domäne nicht zu Datenverlust führt. Diese Strategie ist besonders wichtig für Object Storage und verteilte Dateisysteme. Typische Beispiele für Fehlerdomänen Fehlerdomänen können auf mehreren Ebenen der Infrastruktur bestehen. Wer diese Ebenen versteht, kann Systeme mit angemessener Redundanz konzipieren. Fehlerdomänen auf Serverebene Ein einzelner Server kann eine Fehlerdomäne darstellen. Hardwaredefekte wie Festplattenprobleme, Speicherfehler oder Probleme mit dem Netzteil können den Server offline nehmen. Anwendungen, die nur auf diesem Server laufen, wären dann nicht verfügbar. Um das Risiko zu senken, werden Services in der Regel auf mehreren Servern bereitgestellt. Fehlerdomänen auf Rack-Ebene Server in einem Rack teilen sich oft: Eine Stromverteilereinheit Einen Top-of-Rack-Netzwerk-Switch Die Kühlinfrastruktur Verliert das Rack die Stromversorgung oder fällt der Netzwerk-Switch aus, können alle Server in diesem Rack die Verbindung verlieren oder abschalten. Deshalb werden Racks im Rechenzentrumsdesign häufig als Fehlerdomänen behandelt. Fehlerdomänen im Netzwerk Auch die Netzwerkinfrastruktur kann gemeinsame Ausfallgrenzen schaffen. Beispiele sind: Ein Top-of-Rack-Switch Ein Aggregations-Switch Eine Routing-Ebene Fallen diese Komponenten aus, kann die Konnektivität für viele Systeme gleichzeitig verloren gehen. Netzwerkredundanz mindert diese Risiken durch mehrere Netzwerkpfade. Fehlerdomänen im Speicher Verteilte Speicherplattformen definieren Fehlerdomänen häufig rund um Komponenten wie: Festplattenlaufwerke Speicherknoten Speichergehäuse Racks oder Rechenzentrumsreihen Replikationsrichtlinien stellen sicher, dass Kopien der Daten über mehrere Domänen hinweg gespeichert werden. Dieses Design hilft, Datenverlust zu verhindern und Speicherdienste bei Hardwaredefekten verfügbar zu halten. Fehlerdomänen auf Rechenzentrumsebene In größerem Maßstab können ganze Rechenzentren als Fehlerdomänen gelten. Ereignisse wie Stromausfälle, Kühlungsausfälle oder Verbindungsstörungen können alle Systeme innerhalb einer Einrichtung betreffen. Unternehmen mit strengen Verfügbarkeitsanforderungen stellen Services in der Regel über mehrere Rechenzentren bereit, um das Risiko zu senken. Fehlerdomänen in Cloud-Umgebungen Cloud-Anbieter strukturieren ihre Infrastruktur in mehreren Ebenen der Fehlerisolation. Zu diesen Ebenen gehören häufig: Regionen Verfügbarkeitszonen Fehlerdomänen innerhalb von Zonen Eine Verfügbarkeitszone in der Cloud kann mehrere Gebäude oder Infrastrukturcluster umfassen. Innerhalb dieser Umgebungen werden Ressourcen auf mehrere Fehlerdomänen verteilt, damit Hardwaredefekte nicht viele Workloads gleichzeitig treffen. So kann ein Cloud-Anbieter virtuelle Maschinen beispielsweise auf drei getrennte Fehlerdomänen innerhalb einer Zone verteilen. Fällt in einer Domäne Hardware aus, laufen die anderen Instanzen weiter. Fehlerdomäne vs. Verfügbarkeitszone Fehlerdomänen und Verfügbarkeitszonen hängen zusammen, stehen aber für unterschiedliche Ebenen der Infrastrukturisolation. KonzeptUmfangZweckFehlerdomäneInfrastruktursegment innerhalb eines RechenzentrumsIsoliert lokale HardwaredefekteVerfügbarkeitszoneSeparates Rechenzentrum oder Verbund von RechenzentrenSchützt vor größeren Infrastrukturausfällen Eine einzelne Verfügbarkeitszone kann mehrere Fehlerdomänen enthalten. Anwendungen können Workloads auf Fehlerdomänen innerhalb derselben Zone und für zusätzliche Resilienz auf mehrere Verfügbarkeitszonen verteilen. Fehlerdomänen in verteilten Speichersystemen Fehlerdomänen sind besonders wichtig in verteilten Speicherarchitekturen. In diesen Systemen werden Daten auf mehreren Knoten statt auf einem einzelnen Speichergerät abgelegt. Die Replikation stellt sicher, dass Daten bei Hardwaredefekten verfügbar bleiben. Fehlerdomänen bestimmen, wo Replikate platziert werden. Zum Beispiel: Replikat 1 auf Knoten A in Rack 1 Replikat 2 auf Knoten B in Rack 2 Replikat 3 auf Knoten C in Rack 3 Verliert Rack 1 die Stromversorgung, bleiben die Replikate in Rack 2 und 3 verfügbar. Dieser Ansatz unterstützt sowohl die Langlebigkeit der Daten als auch den kontinuierlichen Zugriff auf gespeicherte Objekte oder Dateien. Wie Fehlerdomänen modernen Object Storage unterstützen Object-Storage-Plattformen stützen sich stark auf Fehlerdomänen, um im großen Maßstab zuverlässig zu bleiben. In großen Speicherclustern ist die Infrastruktur typischerweise in hierarchischen Fehlerdomänen organisiert, etwa: Festplatte Speicherknoten Rack Rechenzentrum Geografische Region Richtlinien für Replikation oder Erasure Coding verteilen die Daten über diese Domänen. So wird sichergestellt, dass Ausfälle einzelner Festplatten, Server oder Racks nicht den gesamten Speicherdienst beeinträchtigen. Für Unternehmen, die Speicherumgebungen im Petabyte-Maßstab betreiben, hilft dieses Design, sowohl die Verfügbarkeit als auch die Langlebigkeit der Daten zu wahren. Systeme mit Blick auf Fehlerdomänen konzipieren Bei der Konzeption resilienter Infrastruktur berücksichtigen Architekten Fehlerdomänen sowohl bei der Hardwarebereitstellung als auch bei der Platzierung von Workloads. Mehrere Verfahren tragen zu einer wirksamen Fehlerisolation bei. Redundante Services verteilen Redundante Anwendungsinstanzen sollten in unterschiedlichen Fehlerdomänen platziert werden. So sollten zwei Datenbankknoten beispielsweise nicht im selben Rack liegen, wenn dieses Rack einen Single Point of Failure darstellt. Datenreplikate trennen Datenreplikate sollten auf unabhängige Domänen verteilt werden, um vor gemeinsamen Hardwaredefekten zu schützen. Das ist besonders wichtig für verteilte Speichercluster. Gemeinsame Infrastrukturabhängigkeiten identifizieren Stromkreise, Netzwerk-Switches und Speichergehäuse können verborgene Ausfallgrenzen schaffen. Wer diese Abhängigkeiten kennt, verhindert, dass Workloads unbeabsichtigt in derselben Domäne gebündelt werden. Automatisiertes Failover umsetzen Monitoring-Systeme können Ausfälle erkennen und Workloads automatisch auf funktionsfähige Infrastruktur umleiten. Automatisierung verkürzt die Wiederherstellungszeit und verbessert die Gesamtverfügbarkeit des Systems. Fehlerdomänen und Hochverfügbarkeitsarchitektur Hochverfügbare Systeme zielen darauf ab, Ausfallzeiten zu verringern, indem sie Single Points of Failure beseitigen. Fehlerdomänen sind ein zentrales Werkzeug, um dieses Ziel zu erreichen. Gängige Strategien für Hochverfügbarkeit sind: Mehrere Anwendungsinstanzen über Domänen hinweg betreiben Den Datenverkehr per Load Balancing auf diese Instanzen verteilen Daten über unabhängige Infrastruktur replizieren Workloads bei Ausfällen automatisch umleiten In Kombination ermöglichen diese Verfahren, dass Services weiterlaufen, selbst wenn einzelne Komponenten ausfallen. Beispielarchitektur mit Fehlerdomänen Nehmen wir einen Webservice, der in einem Rechenzentrum bereitgestellt wird. Die Architektur umfasst: Drei Anwendungsserver Einen verteilten Speichercluster Einen Load Balancer Statt die gesamte Infrastruktur in einem einzigen Rack unterzubringen, werden die Ressourcen auf drei Racks verteilt. RackInfrastrukturRack AAnwendungsserver 1 + SpeicherknotenRack BAnwendungsserver 2 + SpeicherknotenRack CAnwendungsserver 3 + Speicherknoten Fällt in Rack B der Strom aus, gilt: Anwendungsserver 2 ist nicht verfügbar Ein Speicherknoten geht offline Allerdings: Die übrigen Server verarbeiten weiterhin Anfragen Speicherreplikate in anderen Racks halten die Daten verfügbar Der Load Balancer leitet den Datenverkehr an funktionsfähige Infrastruktur Diese Architektur isoliert Ausfälle und sichert die Kontinuität des Service. Häufige Missverständnisse über Fehlerdomänen Mehrere Missverständnisse können zu einem unwirksamen Systemdesign führen. Redundanz sorgt immer für Resilienz Redundante Infrastruktur verbessert die Resilienz nur bei Komponenten in unterschiedlichen Fehlerdomänen. Zwei Server am selben Switch teilen sich trotzdem einen potenziellen Ausfallpunkt. Fehlerdomänen beseitigen Ausfälle Fehlerdomänen verhindern keine Ausfälle. Stattdessen begrenzen sie die Auswirkungen von Ausfällen, indem sie diese innerhalb definierter Grenzen isolieren. Fehlerdomänen sind immer physisch Viele Fehlerdomänen beruhen zwar auf physischer Infrastruktur, sie lassen sich aber auch logisch innerhalb von Softwareplattformen und Cloud-Umgebungen definieren. Fehlerdomänen in großen Datenumgebungen Je größer die gespeicherten Datenmengen und je verteilter die Infrastruktur, desto wichtiger werden Fehlerdomänen. Große Umgebungen umfassen häufig: Speichercluster über mehrere Racks Bereitstellungen über mehrere Rechenzentren Hybrid-Cloud-Architekturen Global verteilte Services In diesen Umgebungen hilft das Bewusstsein für Fehlerdomänen, Folgendes zu gewährleisten: Kontinuierliche Datenverfügbarkeit Planbare Systemleistung Schutz vor Hardware- und Infrastrukturausfällen Fazit Eine Fehlerdomäne ist eine Grenze innerhalb der Infrastruktur, an der ein Ausfall mehrere Ressourcen gleichzeitig betreffen kann. Indem Unternehmen diese Grenzen identifizieren und Workloads darüber verteilen, können sie die Auswirkungen von Hardwaredefekten, Netzwerkstörungen oder lokalen Ausfällen verringern. Fehlerdomänen spielen eine wichtige Rolle in Cloud-Plattformen, verteilten Speichersystemen und Hochverfügbarkeitsarchitekturen. Sie tragen dazu bei, dass Services verfügbar bleiben und Daten geschützt sind, selbst wenn einzelne Infrastrukturkomponenten ausfallen. Eine Infrastruktur, die Fehlerdomänen von Anfang an berücksichtigt, ermöglicht resiliente Systeme, die mit wachsenden Datenmengen und Serviceanforderungen zuverlässig skalieren.
