Flink-状态一致性(如何保证exactly-once、flink+kafka端到端保证exactly-once)

当在分布式系统中引入状态时，自然也引入了一致性问题。一致性实际上是"正确性级别"的另一种说法，也就是说在成功处理故障并恢复之后得到的结果，与没有发生任何故障时得到的结果相比，前者到底有多正确？举例来说，假设要对最近一小时登录的用户计数。在系统经历故障之后，计数结果是多少？如果有偏差，是有漏掉的计数还是重复计数？

1.一致性级别

在流处理中，一致性可以分为3个级别：

(1)at-most-once：这其实是没有正确性保障的委婉说法，故障发生之后，计数结果可能丢失，同样的还有UDP(这种传输层的协议其实保证的就是最多一次消息投递,消息的发送者只会尝试发送该消息一次,并不会关心该消息是否得到了远程节点的响应)

(2)at-least-once：这表示计数结果可能大于正常值，但绝对不会小于正确值。也就是说，计数程序在发生故障后可能多算，但是绝不会少算。

(3)exactly-once：这指的是系统保证在发生故障后得到的计数结果与正确值一致。

曾经，at-least-once 非常流行。第一代流处理器(如 Storm 和 Samza)刚问世时只保证 at-least-once，原因有二。

A.保证 exactly-once 的系统实现起来更复杂。这在基础架构层(决定什么代表正确，以及 exactly-once 的范围是什么)和实现层都很有挑战性。

B.流处理系统的早期用户愿意接受框架的局限性，并在应用层想办法弥补(例如使应用程序具有幂等性，或者用批量计算层再做一遍计算)。

最先保证 exactly-once 的系统(Storm Trident 和 Spark Streaming)在性能和表现力这两个方面付出了很大的代价。为了保证 exactly-once，这些系统无法单独地对每条记录运用应用逻辑，而是同时处理多条(一批)记录，保证对每一批的处理要么全部成功，要么全部失败。这就导致在得到结果前，必须等待一批记录处理结束。因此，用户经常不得不使用两个流处理框架(一个用来保证 exactly-once，另一个用来对每个元素做低延迟处理)，结果使基础设施更加复杂。曾经，用户不得不在保证exactly-once 与获得低延迟和效率之间权衡利弊。Flink 避免了这种权衡。

Flink 的一个重大价值在于，它既保证了 exactly-once，也具有低延迟和高吞吐的处理能力。

Flink使用了一种轻量级快照机制—检查点(checkpoint)来保证exactly-once语义

有状态流应用的一致检查点，其实就是：所有任务的状态，在某个时间点的一份拷贝(一份快照)。而这个时间点，应该是所有任务都恰好处理完一个相同的输入数据的时候

2.端到端(end-to-end)状态一致性

目前我们看到的一致性保证都是由流处理器实现的，也就是说都是在 Flink 流处理器内部保证的；而在真实应用中，流处理应用除了流处理器以外还包含了数据源(例如 Kafka)和输出到持久化系统。

端到端的一致性保证，意味着结果的正确性贯穿了整个流处理应用的始终；每一个组件都保证了它自己的一致性，整个端到端的一致性级别取决于所有组件中一致性最弱的组件。具体可以划分如下：

 内部保证 —— 依赖 checkpoint

 source 端 —— 需要外部源可重设数据的读取位置(可指定数据读取位置)

 sink 端 —— 需要保证从故障恢复时，数据不会重复写入外部系统而对于 sink 端，又有两种具体的实现方式：幂等(Idempotent)写入和事务性(Transactional)写入。

A.幂等写入(Idempotent Writes)

所谓幂等操作，是说一个操作，可以重复执行很多次，但只导致一次结果更改，也就是说，后面再重复执行就不起作用了。

某些场景下无法保证exactly-once，举例：

大屏显示传感器温度变化，数据如下10 -> 15 -> 20 -> 25，10写入库表后，做了一次checkpoint，但是大屏已经显示到了25，再次重启任务，会从温度10开始恢复，大屏会再次显示10 -> 15 -> 20 -> 25，如果是要监控温度的连续变化，就会出现问题。

B.事务写入(Transactional Writes)

应用程序中一系列严密的操作，所有操作必须成功完成，否则在每个操作中所作的所有更改都会被撤销；具有原子性：一个事务中的一系列的操作要么全部成功，要么一个都不做

实现思想：需要构建事务来写入外部系统，构建的事务对应着 checkpoint，等到 checkpoint真正完成的时候，才把所有对应的结果写入 sink 系统中。

对于事务性写入，具体又有两种实现方式：预写日志(WAL)和两阶段提交(2PC)。DataStream API 提供了 GenericWriteAheadSink 模板类和TwoPhaseCommitSinkFunction 接口，可以方便地实现这两种方式的事务性写入。

B.1预写日志(Write-Ahead-Log, WAL)

把结果数据先当成状态保存，然后在收到checkpoint完成的通知时，一次性写入sink系统

简单易于实现，由于数据提前在状态后端中做了缓存，所以无论什么sink系统，都能用这种方式一批搞定；这样就会导致数据的轻微延迟，因为只有checkpoint成功之后才会往sink系统中进行写入。

DataStream API提供了一个模板类：GenericWriteAheadSink，来实现这种事务性sink

B.2 两阶段提交(Two-Phase-Commit, 2PC)

对于每个checkpoint，sink任务会启动一个事务，并将接下来所有接收的数据添加到事务里

然后将这些数据写入外部sink系统，但不提交它们—这时只是“预提交”

当它收到checkpoint完成的通知时，它才正式提交事务，实现结果的真正写入

这种方式真正实现了exactly-once，它需要一个提供事务支持的外部sink系统。Flink提供了TwoPhaseCommitSinkFunction接口

2PC对外部sink系统的要求

外部sink系统必须提供事务支持，或者sink任务必须能够模拟外部系统上的事务

在checkpoint的间隔期间里，必须能够开启一个事务并接受数据写入

在收到checkpoint完成的通知之前，事务必须是”等待提交“的状态。在故障恢复的情况下，这可能需要一些时间。如果这个时候sink系统关闭事务(例如超时了)，那么未提交的数据就会丢失

sink任务必须能够在进程失败后恢复事务

提交事务必须是幂等操作

3.不同source和sink的一致性保证

4.Flink+Kafka端到端状态一致性的保证

内部：利用checkpoint机制，把状态存盘，发生故障的时候可以恢复，保证内部的状态一致性

source：kafka consumer作为source，可以将偏移量保存下来，如果后续任务出现了故障，恢复的时候可以又连接器重置偏移量，重新消费数据，保证一致性

sink：kafka producer作为sink，采用两阶段提交sink，需要实现一个TwoPhaseCommitSinkFunction

public class FlinkKafkaProducer<IN> extends TwoPhaseCommitSinkFunction<IN,FlinkKafkaProducer.KafkaTransactionState,FlinkKafkaProducer.KafkaTransactionContext>

JobManager协调各个TaskManager进行checkpoint存储

checkpoint保存在StateBackend中，默认StateBackend是内存级的，也可以改为文件级的进行持久化保存

当checkpoint启动时，JobManager会将检查点分界线(barrier)注入数据流

barrier会在算子间传递下去

每个算子会对当前的状态做个快照，保存到状态后端。对于 source 任务而言，就会把当前的 offset 作为状态保存起来。下次从 checkpoint 恢复时，source 任务可以重新提交偏移量，从上次保存的位置开始重新消费数据。

当所有算子任务的快照完成，也就是这次的 checkpoint 完成时，JobManager 会向所有任务发通知，确认这次 checkpoint 完成。

当 sink 任务收到确认通知，就会正式提交之前的事务，kafka 中未确认的数据就改为“已确认”，数据就真正可以被消费了。

所以我们看到，执行过程实际上是一个两段式提交，每个算子执行完成，会进行“预提交”，直到执行完 sink 操作，会发起“确认提交”，如果执行失败，预提交会放弃掉。

具体的两阶段提交步骤总结如下：

 第一条数据来了之后，开启一个 kafka 的事务(transaction)，正常写入kafka 分区日志但标记为未提交，这就是“预提交”

 jobmanager 触发 checkpoint 操作，barrier 从 source 开始向下传递，遇到barrier 的算子将状态存入状态后端，并通知 jobmanager

 sink 连接器收到 barrier，保存当前状态，存入 checkpoint，通知jobmanager，并开启下一阶段的事务，用于提交下个检查点的数据

 jobmanager 收到所有任务的通知，发出确认信息，表示 checkpoint 完成

 sink 任务收到 jobmanager 的确认信息，正式提交这段时间的数据

 外部 kafka 关闭事务，提交的数据可以正常消费了。

所以我们也可以看到，如果宕机需要通过 StateBackend 进行恢复，只能恢复所有确认提交的操作。