從單機到2000萬QPS：知乎Redis平台發展與演進之路

作者簡介：陳鵬，現知乎存儲平台組 Redis 平台技術負責人，2014 年加入知乎技術平台組從事基礎架構相關係統的開發與運維，從無到有建立了知乎 Redis 平台，承載了知乎高速增長的業務流量。

知乎作為知名中文知識內容平台，每日處理的訪問量巨大，如何更好的承載這樣巨大的訪問量，同時提供穩定低時延的服務保證，是知乎技術平台同學需要面對的一大挑戰。

知乎存儲平台團隊基於開源Redis 組件打造的 Redis 平台管理系統，經過不斷的研發迭代，目前已經形成了一整套完整自動化運維服務體系，提供一鍵部署集群，一鍵自動擴縮容, Redis 超細粒度監控，旁路流量分析等輔助功能。

目前，Redis 在知乎規模如下：

● 機器內存總量約70TB，實際使用內存約40TB；

● 平均每秒處理約1500萬次請求，峰值每秒約2000萬次請求；

● 每天處理約1萬億餘次請求；

● 單集群每秒處理最高每秒約400萬次請求；

● 集群實例與單機實例總共約800個；

● 實際運行約16000個Redis 實例；

● Redis 使用官方3.0.7版本，少部分實例採用4.0.11版本。

根據業務的需求，我們將實例區分為單機（Standalone）和集群（Cluster）兩種類型，單機實例通常用於容量與性能要求不高的小型存儲，而集群則用來應對對性能和容量要求較高的場景。

對於單機實例，我們採用原生主從（Master-Slave）模式實現高可用，常規模式下對外僅暴露 Master 節點。由於使用原生 Redis，所以單機實例支持所有 Redis 指令。

對於單機實例，我們使用Redis 自帶的哨兵（Sentinel）集群對實例進行狀態監控與 Failover。Sentinel 是 Redis 自帶的高可用組件，將 Redis 註冊到由多個 Sentinel 組成的 Sentinel 集群後，Sentinel 會對 Redis 實例進行健康檢查，當 Redis 發生故障後，Sentinel 會通過 Gossip 協議進行故障檢測，確認宕機後會通過一個簡化的 Raft 協議來提升 Slave 成為新的 Master。

通常情況我們僅使用1 個 Slave 節點進行冷備，如果有讀寫分離請求，可以建立多個Read only slave 來進行讀寫分離。

如圖所示，通過向Sentinel 集群註冊 Master 節點實現實例的高可用，當提交 Master 實例的連接信息後，Sentinel 會主動探測所有的 Slave 實例並建立連接，定期檢查健康狀態。客戶端通過多種資源發現策略如簡單的 DNS 發現 Master 節點，將來有計劃遷移到如 Consul 或 etcd 等資源發現組件 。

當Master 節點發生宕機時，Sentinel 集群會提升 Slave 節點為新的 Master，同時在自身的 pubsub channel +switch-master 廣播切換的消息，具體消息格式為：

switch-master <master name> <oldip> <oldport> <newip> <newport>

watcher 監聽到消息後，會去主動更新資源發現策略，將客戶端連接指向新的 Master 節點，完成 Failover，具體 Failover 切換過程詳見 Redis 官方文檔。

Redis Sentinel Documentation [1]

實際使用中需要注意以下幾點：

● 只讀Slave 節點可以按照需求設置 slave-priority 參數為0，防止故障切換時選擇了只讀節點而不是熱備 Slave 節點；

● Sentinel 進行故障切換後會執行 CONFIG REWRITE 命令將SLAVEOF 配置落地，如果 Redis 配置中禁用了 CONFIG 命令，切換時會發生錯誤，可以通過修改 Sentinel 代碼來替換 CONFIG 命令；

● Sentinel Group 監控的節點不宜過多，實測超過 500 個切換過程偶爾會進入 TILT 模式，導致Sentinel 工作不正常，推薦部署多個 Sentinel 集群並保證每個集群監控的實例數量小於 300 個；

● Master 節點應與 Slave 節點跨機器部署，有能力的使用方可以跨機架部署，不推薦跨機房部署 Redis 主從實例；

● Sentinel 切換功能主要依賴 down-after-milliseconds 和failover-timeout 兩個參數，down-after-milliseconds 決定了Sentinel 判斷 Redis 節點宕機的超時，知乎使用 30000 作為閾值。而 failover-timeout 則決定了兩次切換之間的最短等待時間，如果對於切換成功率要求較高，可以適當縮短failover-timeout 到秒級保證切換成功，具體詳見Redis 官方文檔[2]；

● 單機網路故障等同於機器宕機，但如果機房全網發生大規模故障會造成主從多次切換，此時資源發現服務可能更新不夠及時，需要人工介入。

當實例需要的容量超過20G 或要求的吞吐量超過 20萬請求每秒時，我們會使用集群（Cluster）實例來承擔流量。集群是通過中間件（客戶端或中間代理等）將流量分散到多個 Redis 實例上的解決方案。

知乎的Redis 集群方案經歷了兩個階段：客戶端分片與 Twemproxy 代理

早期知乎使用redis-shard 進行客戶端分片，redis-shard 庫內部實現了 CRC32、MD5、SHA1三種哈希演算法，支持絕大部分Redis 命令。使用者只需把 redis-shard 當成原生客戶端使用即可，無需關注底層分片。

基於客戶端的分片模式具有如下優點：

● 基於客戶端分片的方案是集群方案中最快的，沒有中間件，僅需要客戶端進行一次哈希計算，不需要經過代理，沒有官方集群方案的MOVED/ASK 轉向；

● 不需要多餘的Proxy 機器，不用考慮 Proxy 部署與維護；

● 可以自定義更適合生產環境的哈希演算法。

但是也存在如下問題：

● 需要每種語言都實現一遍客戶端邏輯，早期知乎全站使用Python 進行開發，但是後來業務線增多，使用的語言增加至 Python，Golang，Lua，C/C++，JVM 系（Java，Scala，Kotlin）等，維護成本過高；

● 無法正常使用MSET、MGET 等多種同時操作多個Key 的命令，需要使用 Hash tag 來保證多個 Key 在同一個分片上；

● 升級麻煩，升級客戶端需要所有業務升級更新重啟，業務規模變大後無法推動；

● 擴容困難，存儲需要停機使用腳本Scan 所有的 Key 進行遷移，緩存只能通過傳統的翻倍取模方式進行擴容；

● 由於每個客戶端都要與所有的分片建立池化連接，客戶端基數過大時會造成Redis 端連接數過多，Redis 分片過多時會造成 Python 客戶端負載升高。

具體特點詳見zhihu/redis-shard[3]。早期知乎大部分業務由Python 構建，Redis 使用的容量波動較小， redis-shard 很好地應對了這個時期的業務需求，在當時是一個較為不錯解決方案。

2015 年開始，業務上漲迅猛，Redis 需求暴增，原有的 redis-shard 模式已經無法滿足日益增長的擴容需求，我們開始調研多種集群方案，最終選擇了簡單高效的 Twemproxy 作為我們的集群方案。

由Twitter 開源的 Twemproxy 具有如下優點：

● 性能很好且足夠穩定，自建內存池實現Buffer 復用，代碼質量很高；

● 支持fnv1a_64、murmur、md5 等多種哈希演算法；

● 支持一致性哈希（ketama），取模哈希（modula）和隨機（random）三種分散式演算法。

具體特點詳見twitter/twemproxygithub.com[4]

但是缺點也很明顯：

● 單核模型造成性能瓶頸；

● 傳統擴容模式僅支持停機擴容。

對此，我們將集群實例分成兩種模式，即緩存（Cache）和存儲（Storage）：

如果使用方可以接收通過損失一部分少量數據來保證可用性，或使用方可以從其餘存儲恢復實例中的數據，這種實例即為緩存，其餘情況均為存儲。

我們對緩存和存儲採用了不同的策略：

存儲

對於存儲我們使用fnv1a_64 演算法結合modula 模式即取模哈希對Key 進行分片，底層 Redis 使用單機模式結合 Sentinel 集群實現高可用，默認使用 1 個 Master 節點和 1 個 Slave 節點提供服務，如果業務有更高的可用性要求，可以拓展 Slave 節點。

當集群中Master 節點宕機，按照單機模式下的高可用流程進行切換，Twemproxy 在連接斷開後會進行重連，對於存儲模式下的集群，我們不會設置 auto_eject_hosts, 不會剔除節點。

同時，對於存儲實例，我們默認使用noeviction 策略，在內存使用超過規定的額度時直接返回OOM 錯誤，不會主動進行 Key 的刪除，保證數據的完整性。

由於Twemproxy 僅進行高性能的命令轉發，不進行讀寫分離，所以默認沒有讀寫分離功能，而在實際使用過程中，我們也沒有遇到集群讀寫分離的需求，如果要進行讀寫分離，可以使用資源發現策略在 Slave 節點上架設 Twemproxy 集群，由客戶端進行讀寫分離的路由。

考慮到對於後端（MySQL/HBase/RPC 等）的壓力，知乎絕大部分業務都沒有針對緩存進行降級，這種情況下對緩存的可用性要求較數據的一致性要求更高，但是如果按照存儲的主從模式實現高可用，1 個 Slave 節點的部署策略在線上環境只能容忍 1 台物理節點宕機，N 台物理節點宕機高可用就需要至少 N 個 Slave 節點，這無疑是種資源的浪費。

所以我們採用了Twemproxy 一致性哈希（Consistent Hashing）策略來配合 auto_eject_hosts 自動彈出策略組建Redis 緩存集群。

對於緩存我們仍然使用使用fnv1a_64 演算法進行哈希計算，但是分布演算法我們使用了ketama 即一致性哈希進行Key 分布。緩存節點沒有主從，每個分片僅有 1 個 Master 節點承載流量。

Twemproxy 配置 auto_eject_hosts 會在實例連接失敗超過server_failure_limit 次的情況下剔除節點，並在server_retry_timeout 超時之後進行重試，剔除後配合ketama 一致性哈希演算法重新計算哈希環，恢復正常使用，這樣即使一次宕機多個物理節點仍然能保持服務。

在實際的生產環境中需要注意以下幾點：

● 剔除節點後，會造成短時間的命中率下降，後端存儲如MySQL、HBase 等需要做好流量監測；

● 線上環境緩存後端分片不宜過大，建議維持在20G 以內，同時分片調度應儘可能分散，這樣即使宕機一部分節點，對後端造成的額外的壓力也不會太多；

● 機器宕機重啟後，緩存實例需要清空數據之後啟動，否則原有的緩存數據和新建立的緩存數據會衝突導致臟緩存。直接不啟動緩存也是一種方法，但是在分片宕機期間會導致周期性server_failure_limit 次數的連接失敗；

● server_retry_timeout 和server_failure_limit 需要仔細敲定確認，知乎使用10min 和 3 次作為配置，即連接失敗 3 次後剔除節點，10 分鐘後重新進行連接。

在方案早期我們使用數量固定的物理機部署Twemproxy，通過物理機上的 Agent 啟動實例，Agent 在運行期間會對 Twemproxy 進行健康檢查與故障恢復，由於 Twemproxy 僅提供全量的使用計數，所以 Agent 運行時還會進行定時的差值計算來計算 Twemproxy 的 requests_per_second 等指標。

後來為了更好地故障檢測和資源調度，我們引入了Kubernetes，將 Twemproxy 和 Agent 放入同一個 Pod 的兩個容器內，底層 Docker 網段的配置使每個 Pod 都能獲得獨立的 IP，方便管理。

最開始，本著簡單易用的原則，我們使用DNS A Record 來進行客戶端的資源發現，每個 Twemproxy 採用相同的埠號，一個 DNS A Record 後面掛接多個 IP 地址對應多個 Twemproxy 實例。

初期，這種方案簡單易用，但是到了後期流量日益上漲，單集群Twemproxy 實例個數很快就超過了 20 個。由於 DNS 採用的 UDP 協議有 512 位元組的包大小限制，單個 A Record 只能掛接 20 個左右的 IP 地址，超過這個數字就會轉換為 TCP 協議，客戶端不做處理就會報錯，導致客戶端啟動失敗。

當時由於情況緊急，只能建立多個Twemproxy Group，提供多個 DNS A Record 給客戶端，客戶端進行輪詢或者隨機選擇，該方案可用，但是不夠優雅。

之後我們修改了Twemproxy 源碼， 加入 SO_REUSEPORT 支持。

Twemproxy with SO_REUSEPORT on Kubernetes

同一個容器內由Starter 啟動多個 Twemproxy 實例並綁定到同一個埠，由操作系統進行負載均衡，對外仍然暴露一個埠，但是內部已經由系統均攤到了多個 Twemproxy 上。

同時Starter 會定時去每個 Twemproxy 的 stats 埠獲取 Twemproxy 運行狀態進行聚合，此外 Starter 還承載了信號轉發的職責。

原有的Agent 不需要用來啟動 Twemproxy 實例，所以 Monitor 調用 Starter 獲取聚合後的 stats 信息進行差值計算，最終對外界暴露出實時的運行狀態信息。

我們在2015 年調研過多種集群方案，綜合評估多種方案後，最終選擇了看起來較為陳舊的 Twemproxy 而不是官方 Redis 集群方案與 Codis，具體原因如下：

● MIGRATE 造成的阻塞問題

Redis 官方集群方案使用 CRC16 演算法計算哈希值並將 Key 分散到 16384 個 Slot 中，由使用方自行分配 Slot 對應到每個分片中，擴容時由使用方自行選擇 Slot 並對其進行遍歷，對 Slot 中每一個 Key 執行 MIGRATE 命令進行遷移。

調研後發現，MIGRATE 命令實現分為三個階段：

1. DUMP 階段：由源實例遍歷對應 Key 的內存空間，將 Key 對應的 Redis Object 序列化，序列化協議跟 Redis RDB 過程一致；

2. RESTORE 階段：由源實例建立 TCP 連接到對端實例，並將 DUMP 出來的內容使用RESTORE 命令到對端進行重建，新版本的 Redis 會緩存對端實例的連接；

3. DEL 階段（可選）：如果發生遷移失敗，可能會造成同名的 Key 同時存在於兩個節點，

此時 MIGRATE 的REPLACE 參數決定是是否覆蓋對端的同名Key，如果覆蓋，對端的 Key 會進行一次刪除操作，4.0 版本之後刪除可以非同步進行，不會阻塞主進程。

經過調研，我們認為這種模式並不適合知乎的生產環境。Redis 為了保證遷移的一致性， MIGRATE 所有操作都是同步操作，執行MIGRATE 時，兩端的Redis 均會進入時長不等的 BLOCK 狀態。

對於小Key，該時間可以忽略不計，但如果一旦 Key 的內存使用過大，一個 MIGRATE 命令輕則導致 P95 尖刺，重則直接觸發集群內的 Failover，造成不必要的切換

同時，遷移過程中訪問到處於遷移中間狀態的Slot 的 Key 時，根據進度可能會產生 ASK 轉向，此時需要客戶端發送 ASKING 命令到Slot 所在的另一個分片重新請求，請求時延則會變為原來的兩倍。

同樣，方案初期時的Codis 採用的是相同的 MIGRATE 方案，但是使用 Proxy 控制 Redis 進行遷移操作而非第三方腳本（如 redis-trib.rb），基於同步的類似 MIGRATE 的命令，實際跟 Redis 官方集群方案存在同樣的問題。

對於這種Huge Key 問題決定權完全在於業務方，有時業務需要不得不產生 Huge Key 時會十分尷尬，如關注列表。一旦業務使用不當出現超過 1MB 以上的大 Key 便會導致數十毫秒的延遲，遠高於平時 Redis 亞毫秒級的延遲。有時，在 slot 遷移過程中業務不慎同時寫入了多個巨大的 Key 到 slot 遷移的源節點和目標節點，除非寫腳本刪除這些 Key ，否則遷移會進入進退兩難的地步。

對此，Redis 作者在 Redis 4.2 的 roadmap[5] 中提到了Non blocking MIGRATE 但是截至目前，Redis 5.0 即將正式發布，仍未看到有關改動，社區中已經有相關的 Pull Request [6]，該功能可能會在5.2 或者 6.0 之後併入 master 分支，對此我們將持續觀望。

● 緩存模式下高可用方案不夠靈活

還有，官方集群方案的高可用策略僅有主從一種，高可用級別跟Slave 的數量成正相關，如果只有一個 Slave，則只能允許一台物理機器宕機， Redis 4.2 roadmap 提到了 cache-only mode，提供類似於Twemproxy 的自動剔除後重分片策略，但是截至目前仍未實現。

● 內置Sentinel 造成額外流量負載

另外，官方Redis 集群方案將 Sentinel 功能內置到 Redis 內，這導致在節點數較多（大於 100）時在 Gossip 階段會產生大量的 PING/INFO/CLUSTER INFO 流量，根據 issue 中提到的情況，200 個使用 3.2.8 版本節點搭建的 Redis 集群，在沒有任何客戶端請求的情況下，每個節點仍然會產生 40Mb/s 的流量，雖然到後期 Redis 官方嘗試對其進行壓縮修復，但按照 Redis 集群機制，節點較多的情況下無論如何都會產生這部分流量，對於使用大內存機器但是使用千兆網卡的用戶這是一個值得注意的地方。

● slot 存儲開銷

最後，每個Key 對應的 Slot 的存儲開銷，在規模較大的時候會佔用較多內存，4.x 版本以前甚至會達到實際使用內存的數倍，雖然 4.x 版本使用 rax 結構進行存儲，但是仍然佔據了大量內存，從非官方集群方案遷移到官方集群方案時，需要注意這部分多出來的內存。

總之，官方Redis 集群方案與 Codis 方案對於絕大多數場景來說都是非常優秀的解決方案，但是我們仔細調研發現並不是很適合集群數量較多且使用方式多樣化的我們，場景不同側重點也會不一樣，但在此仍然要感謝開發這些組件的開發者們，感謝你們對 Redis 社區的貢獻。

對於單機實例，如果通過調度器觀察到對應的機器仍然有空閑的內存，我們僅需直接調整實例的maxmemory 配置與報警即可。同樣，對於集群實例，我們通過調度器觀察每個節點所在的機器，如果所有節點所在機器均有空閑內存，我們會像擴容單機實例一樣直接更新maxmemory 與報警。

但是當機器空閑內存不夠，或單機實例與集群的後端實例過大時，無法直接擴容，需要進行動態擴容：

● 對於單機實例，如果單實例超過30GB 且沒有如 sinterstore 之類的多Key 操作我們會將其擴容為集群實例；

● 對於集群實例，我們會進行橫向的重分片，我們稱之為Resharding 過程。

Resharding 過程

原生Twemproxy 集群方案並不支持擴容，我們開發了數據遷移工具來進行 Twemproxy 的擴容，遷移工具本質上是一個上下游之間的代理，將數據從上游按照新的分片方式搬運到下游。

原生Redis 主從同步使用 SYNC/PSYNC 命令建立主從連接，收到SYNC 命令的Master 會 fork 出一個進程遍歷內存空間生成 RDB 文件並發送給 Slave，期間所有發送至 Master 的寫命令在執行的同時都會被緩存到內存的緩衝區內，當 RDB 發送完成後，Master 會將緩衝區內的命令及之後的寫命令轉發給 Slave 節點。

我們開發的遷移代理會向上游發送SYNC 命令模擬上游實例的Slave，代理收到 RDB 後進行解析，由於 RDB 中每個 Key 的格式與 RESTORE 命令的格式相同，所以我們使用生成 RESTORE 命令按照下游的Key 重新計算哈希並使用 Pipeline 批量發送給下游。

等待RDB 轉發完成後，我們按照新的後端生成新的 Twemproxy 配置，並按照新的 Twemproxy 配置建立 Canary 實例，從上游的 Redis 後端中取 Key 進行測試，測試 Resharding 過程是否正確，測試過程中的 Key 按照大小，類型，TTL 進行比較。

測試通過後，對於集群實例，我們使用生成好的配置替代原有Twemproxy 配置並 restart/reload Twemproxy 代理，我們修改了 Twemproxy 代碼，加入了 config reload 功能，但是實際使用中發現直接重啟實例更加可控。而對於單機實例，由於單機實例和集群實例對於命令的支持不同，通常需要和業務方確定後手動重啟切換。

由於Twemproxy 部署於 Kubernetes ，我們可以實現細粒度的灰度，如果客戶端接入了讀寫分離，我們可以先將讀流量接入新集群，最終接入全部流量。

這樣相對於Redis 官方集群方案，除在上游進行 BGSAVE 時的fork 複製頁表時造成的尖刺以及重啟時造成的連接閃斷，其餘對於 Redis 上游造成的影響微乎其微。

這樣擴容存在的問題：

• 對上游發送SYNC 後，上游fork 時會造成尖刺；

• 對於存儲實例，我們使用Slave 進行數據同步，不會影響到接收請求的 Master 節點；

• 對於緩存實例，由於沒有Slave 實例，該尖刺無法避免，如果對於尖刺過於敏感，我們可以跳過 RDB 階段，直接通過 PSYNC 使用最新的SET 消息建立下游的緩存。

• 切換過程中有可能寫到下游，而讀在上游；

• 對於接入了讀寫分離的客戶端，我們會先切換讀流量到下游實例，再切換寫流量。

• 一致性問題，兩條具有先後順序的寫同一個Key 命令在切換代理後端時會通過 1）寫上游同步到下游 2）直接寫到下游兩種方式寫到下游，此時，可能存在應先執行的命令卻通過 1）執行落後於通過 2）執行，導致命令先後順序倒置。

• 這個問題在切換過程中無法避免，好在絕大部分應用沒有這種問題，如果無法接受，只能通過上游停寫排空Resharding 代理保證先後順序；

• 官方Redis 集群方案和 Codis 會通過 blocking 的 migrate 命令來保證一致性，不存在這種問題。

實際使用過程中，如果上游分片安排合理，可實現數千萬次每秒的遷移速度，1TB 的實例 Resharding 只需要半小時左右。另外，對於實際生產環境來說，提前做好預期規劃比遇到問題緊急擴容要快且安全得多。

由於生產環境調試需要，有時會需要監控線上Redis 實例的訪問情況，Redis 提供了多種監控手段，如 MONITOR 命令。

但由於Redis 單線程的限制，導致自帶的 MONITOR 命令在負載過高的情況下會再次跑高 CPU，對於生產環境來說過於危險，而其餘方式如 Keyspace Notify 只有寫事件，沒有讀事件，無法做到細緻的觀察。

對此我們開發了基於libpcap 的旁路分析工具，系統層面複製流量，對應用層流量進行協議分析，實現旁路 MONITOR，實測對於運行中的實例影響微乎其微。

同時對於沒有MONITOR 命令的 Twemproxy，旁路分析工具仍能進行分析，由於生產環境中絕大部分業務都使用 Kubernetes 部署於 Docker 內 ，每個容器都有對應的獨立 IP，所以可以使用旁路分析工具反向解析找出客戶端所在的應用，分析業務方的使用模式，防止不正常的使用。

由於Redis 5.0 發布在即，4.0 版本趨於穩定，我們將逐步升級實例到 4.0 版本，由此帶來的如 MEMORY 命令、Redis Module 、新的 LFU 演算法等特性無論對運維方還是業務方都有極大的幫助。

知乎架構平台團隊是支撐整個知乎業務的基礎技術團隊，開發和維護著知乎幾乎全量的核心基礎組件，包括容器、Redis、MySQL、Kafka、LB、HBase 等核心基礎設施，團隊小而精，每個同學都獨當一面負責上面提到的某個核心系統。

隨著知乎業務規模的快速增長，以及業務複雜度的持續增加，我們團隊面臨的技術挑戰也越來越大，歡迎對技術感興趣、渴望技術挑戰的小夥伴加入我們，一起建設穩定高效的知乎雲平台。有意向可移步知乎網站招聘頁投遞簡歷。

1. Redis Official site https://redis.io/

2. Twemproxy Github Page twitter/twemproxy

3. Codis Github Page CodisLabs/codis

4. SO_REUSEPORT Man Page socket(7) - Linux manual page

5. Kubernetes Production-Grade Container Orchestration

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！