写在前面

redis的主从复制是redis系统的高可用前提，从库宕机依然可以将请求发送给主库或者其他从库，但是 Master 宕机，只能响应读操作，写请求无法再执行。所以主从复制架构面临一个严峻问题，主库挂了，无法执行写操作，无法自动选择一个 Slave 切换为 Master，也就是无法故障自动切换。

例如：我们有 3 台服务器做了主从复制，一个主服务器 A 和两个从服务器 B、C，当 A 发生故障之后，需要人工把 B 服务器设置为主服务器，同时再去 C 服务器设置成从服务器并且从主服务器 B 同步数据，如果是发生在晚上或者从服务器节点很多的情况下，对于人工来说想要立即实现恢复的难度很多，所以我们需要一个自动的工具——Redis Sentinel（哨兵模式）来把手动的过程变成自动的，让 Redis 拥有自动容灾恢复（failover）的能力。哨兵主要负责的任务是：监控整个redis、选择新的master，同时其他redis服务。

原理

哨兵是 Redis 的一种运行模式，它专注于对 Redis 实例（主节点、从节点）运行状态的监控，并能够在主节点发生故障时通过一系列的机制实现选主及主从切换，实现故障转移，确保整个 Redis 系统的可用性。结合 Redis官方文档，可以知道 Redis 哨兵具备的能力有如下几个：

监控：持续监控 master 、slave 是否处于预期工作状态。
自动切换主库：当 Master 运行故障，哨兵启动自动故障恢复流程：从 slave 中选择一台作为新 master。
通知：让 slave 执行 replicaof ，与新的 master 同步；并且通知客户端与新 master 建立连接。

1.每个 Sentinel 以每秒一次的频率向它所知的主服务器、从服务器以及其他 Sentinel 实例发送一个 PING 命令。
2.如果一个实例距离最后一次有效回复 PING 命令的时间超过指定的值，那么这个实例会被 Sentinel 标记为主观下线。
3.正在监视这个主服务器的所有 Sentinel 要以每秒一次的频率确认主服务器的确进入了主观下线状态。
4.有足够数量的 Sentinel 在指定的时间范围内同意这一判断，那么这个主服务器被标记为客观下线。
5.每个 Sentinel 会以每 10 秒一次的频率向它已知的所有主服务器和从服务器发送 INFO 命令。当一个主服务器被 Sentinel 标记为客观下线时， Sentinel 向下线主服务器的所有从服务器发送 INFO 命令的频率会从 10 秒一次改为每秒一次。
6.Sentinel 和其他 Sentinel 协商主节点的状态，如果主节点处于 SDOWN 状态，则投票自动选出新的主节点。将剩余的从节点指向新的主节点进行数据复制。
7.当没有足够数量的 Sentinel 同意主服务器下线时，主服务器的客观下线状态就会被移除。主服务器重新向 Sentinel 的 PING 命令返回有效回复时，主服务器主观下线状态就会被移除

什么是主观下线

主观下线 SDOWN: 如果监控的服务器节点在 down-after-milliseconds
设置的毫秒时效内没有响应检测，则会被判定为主观下线；这个状态适用所有服务器节点

主要的流程:如果监控的服务器节点在 down-after-milliseconds 设置的毫秒时效内没有响应检测，则会被判定为主观下线；这个状态适用所有服务器节点

什么是客观下线

客观下线 ODOWN: 主服务器节点在发生故障的时候，sentinel 会通过 is-master-down-by-addr 命令向其他 sentinel 节点询问该主服务器节点的状态，如果超过 quorum 个数的哨兵节点都认为主服务器节点不可达，则判定为客观下线；这个状态只会针对主服务器节点

如果主服务器被判断为客观下线，则当前sentinel会向其他所有sentinel发送确认，有足够数量的 sentinel 在指定时间范围内同意这个下线判断，那么这个主服务器就要被标记为 ODOWN 客观下线，然后sentinel 向客观下线主服务器的所有从服务器发送 INFO 命令的频率，会从 10 秒一次改为每秒一次

为什么要有主观下线和客观下线

哨兵误判：也就是说主库本身没有故障，但由于哨兵的误判，判断它为下线状态。一旦启动主从切换，后续的选举和通知操作都会带来额外的计算和通信开销。因此，为了不必要开销，我们要严格注意误判的情况。在哨兵集群中，判定主库是否处于下线状态，不是由一个哨兵来决定的，而是只有大多数哨兵认为主库已经”主观下线”，主库才会标记为”客观下线”。这种判断机制为：少数服从多数。同时会触发主从切换模式。