Alta disponibilidade
Atualizar a versão de uma aplicação web sem interrupção para os usuários é um grande desafio. Ter uma alta disponibilidade significa aumentar custos e o trabalho.
Pense, por exemplo nos seguintes cenários:
- E se houver mudanças incompatíveis do banco de dados? Duas versões não podem co-existir.
- E se as estruturas de dados ou objetos armazenados na sessão do usuário forem incompatíveis entre as versões?
- E se a nova versão apresentar um problema pior e você precisar fazer um rollback?
- E se houver um processo crítico executando em segundo plano na versão antiga?
- E se a aplicação travar ou ocorrer um OOME (
OutOfMemoryError
) mesmo quando não há atualização?
Tudo isso e muito mais deve ser levado em conta se você quer ter alta disponibilidade. Então, primeiro você precisa ver o quanto de disponibilidade você realmente almeja.
Alternativa simples
Uma alternativa simples poderia ser uma política determinando uma janela de atualização noturna (que pode ser automatizada) ou algo do tipo.
Digo isso porque muitas vezes o custo de manter alta disponibilidade contínua simplesmente não vale a pena.
As pessoas acham que é algo simples, mas não é se considerar as múltiplas facetas. Cada funcionalidade da aplicação precisa ser projetada de forma a permitir funcionamento ininterrupto.
Outra política alternativa é que somente correções muito urgentes possam ser atualizadas durante o dia, sem entretanto afetar o banco de dados. As atualizações normais do sistema entrariam na janela de manutenção.
Lembre-se de que mesmo os gigantes como Facebook, Google e Amazon possuem janelas de manutenção e não é raro você ter alguma falha devido à migração. Então mais do que servidor os clientes de forma ininterrupta, você pode almejar simplesmente por ter uma janela curta de manutenção em horários que não prejudiquem os usuários (necessitando assim de estatísticas de uso do sistema).
Como resolver os problemas
Atualização do banco de dados
Como a outra resposta já mencionou, você pode usar uma ferramenta de versionamento e migração de banco de dados, tal como Liquibase ou Flyway. Essas ferramentas permitem você especificar gradualmente cada mudança no banco de dados via código, SQL ou XML (cada ferramenta tem diferentes formas). Então o sistema é capaz de se atualizar automaticamente.
Enteetanto, você precisa projetar as consultas e funcionalidades de forma a não ter duas versões consecutivas que sejam incompatíveis. Fazer isso não é simples e exige que você pense caso a caso, adicionando um grande overhead no desenvolvimento.
Uma forma de mitigar isso é fazer com que cada nova versão consiga funcionar com a versão anterior do banco de dados e somente aplicar as mudanças depois que a versão anterior for completamente desativada.
Sessão (Session)
Objetos colocados na sessão podem apresentar problemas porque a classe daqueles objetos podem mudar de uma versão para outra ou mesmo valores que a nova versão espera encontrar num determinado atributo podem ser algo diferente que a versão anterior colocou.
Outro problem com sessão é que isso atrapalha em muito que você possa colocar o sistema em cluster ou mesmo que cada nó do cluster seja tenantless, isto é, seja independente do cliente.
Enfim, em todos os casos que eu conheço de sistemas que precisa escalar e ter alta disponibilidade, a sessão é abolida sempre que possível.
Alternativas para armazenar dados do usuário são caches distribuídos como memcached e ehcache. Entretanto, é preferível que o sistema seja stateless tanto quanto possível, o que significa que ele *não deve armazenar dados do usuário em memória.
Transação de versões e proteção contra travamentos
A única forma confiável de você fazer a transição entre duas versões e de continuar a servir os usuários sem interrupção no caso de um travamento é ter mais de um servidor por cliente.
Para alcançar isso, a melhor forma é fazer com que o sistema seja multi-tenant, isto é, que cada instância do sistema seja capaz de atender requisições de qualquer cliente.
Dessa forma, você deve montar um cluster com no mínimo dois servidores atendendo seus clientes.
No momento da atualização, geralmente quando há pouco acesso, você deve mover todos os clientes para um dos nós, isolando o outro. Então você atualiza o nó isolado e aplica testes de sanidade, por exemplo, com Web Driver. Após a nova versão estar correta, então você move todos os clientes para o novo nó e executa a atualização no outro nó após algum tempo.
Lembrando que, se houver mudanças incompatíveis no banco de dados, a nova versão do sistema deve conseguir funcionar com o banco antigo até que os dois nós sejam atualizados.
No final, você tem os dois nós atualizados. Se um deles, por exemplo começar a usar muita memória por causa de algum defeito da aplicação (vazamento de memória, carregar muitos dados do banco ao invés de paginar, etc.) então você pode ter uma ferramenta de monitoramento que automaticamente reiniciar o nó, enquanto os clientes são atendidos pelo outro nó que não apresentaram o problema de memória naquele momento.
Considerações
Tudo o que escrevi ainda é superficial considerando todos os desafios de atualizar um sistema com alta disponibilidade.
Outros aspetos seriam:
- Versionamento de assets: scripts, imagens e estilos atualizados precisam ser invalidados a cada nova versão.
- Cache: se for necessário uso de caches, como eles devem ser corretamente usados em um cluster?
- Se o sistema falhar, um proxy pode apresentar uma página amigável ao usuário ao invés de um "error 500". Além disso, ferramentas precisam notificar os responsáveis automaticamente.
- Se o usuário estiver finalizando um texto ou ação complexa numa tela grande, como você pode garantir que ele não vai perder tudo o que fez se ocorrer algum erro justamente no momento em que ele submeter os dados?
E por aí vai...