面向5GC的容器部署及演进探讨

基于容器的微服务架构是5GC演进方向

3GPP R15的5G网络规范在5G控制面引入了基于服务的体系架构（SBA），每个网络功能（Network Function）对外提供服务化的接口。该网络规范定义了网络功能服务（NF service），这些网络功能服务可以通过服务化的接口被其他NF访问。网络功能服务本身需自包含、可重用，且同一个网络功能的服务管理相互独立（如弹性、自愈）。通信运营商欲借鉴IT行业云原生、微服务架构以实现自身网络功能重构。

云原生是一个思想的集合，包括DevOps、持续交付（Continuous Delivery）、微服务（MicroServices）、敏捷基础设施（Agile Infrastructure）等技术与方法，而微服务作为云原生的关键特征之一，是一种软件“架构”组织的方法，用一组小的服务来开发一个应用（在CT域“应用”对应VNF），服务划分的粒度的大小根据需要决定。每个服务有如下特点：第一，在自己的进程中运行（running in its own process）；第二，相互之间通过轻量级通信机制（lightweight mechanisms），通常是HTTP API；第三，围绕商业逻辑构建，并且能够独立部署（independently deployable）。

基于微服务架构的软件设计已经在IT领域规模商用。IT应用采用微服务架构，主要有两方面原因：一方面是由互联网业务特点驱动，用户需求变化快、访问量大，软件架构必须适应业务需求。另一方面，单体架构维护成本高、持续交付周期长、可扩展性差，必须采用新架构来解决这些问题。

CT领域应用也存在类似的痛点，而且CT是在标准的网络架构下定义网络功能、协议接口，系统稳定但缺乏灵活性，限制了业务迭代速度。这需要借助IT目前广泛应用的微服务架构解决这些场景下的问题。基于SBA 5GC网元需要实现微服务解耦，将紧耦合的单体结构拆分为松耦合的多个微服务，这些微服务可以独立部署、升级和扩展，有利于实现业务快速迭代和创新。

容器技术作为微服务的实践技术，是未来实现5GC服务按需功能调用和灵活编排所需的云化NFV平台能力。

容器技术分析

虚拟机和容器技术并非替代关系。相比于虚拟机技术，容器技术一方面具有轻量化、敏捷性等优势；而另一方面，也存在标准不成熟、安全隔离性较差等劣势，需要具体分析。

标准化程度

ETSI NFV中虚拟机标准化程度较高，而容器标准仍不成熟。2018年6月，ETSI  NFV开始在IFA研究容器相关内容，目前已完成容器用例和模块功能，而信息模型以及架构影响仍在讨论中。标准组织后续还会开展架构、接口、信息模型、安全等方面标准的研究。

资源占用率

相比于虚机，容器直接在裸机操作系统上运行应用进程，省去了客户操作系统和hypervisor层，资源的利用率比较高，可达95％以上，接近裸机，从而减少运营商对基础设施的投资成本。

安全隔离性

容器实例与主机共享操作系统内核，通过内核提供的运行时隔离能力为服务提供独立的用户域、文件系统、网络和进程运行空间。虚拟机每个实例自带操作系统，是一种硬件级的隔离 ，因而安全隔离性高于容器。

弹性伸缩

弹性伸缩时间取决于应用的启动速度，因电信应用启动时间较长（分钟级），容器＋APP弹缩时间比起VM＋APP弹缩时间不具备太大优势。

运维方面

无论是虚拟机还是容器，都可以引入DevOps，DevOps自动拉通了设备商与运营商的开发和运维流程，将敏捷开发、自动测试、快速部署、灰度升级等环节贯通，实现从设计、开发、测试到发布全流程的自动化，帮助运营商进一步实现网络业务的高效运维，节约运维成本。

5GC网元部署与演进建议

如何采用NFV技术快速部署一张基于SBA 架构的5GC，对运营商是一项重大挑战。

网络的基础设施正在从传统虚拟机向基于容器的轻型虚拟化逐步演进。传统的虚拟机适于面向底层硬件的生产环境，可用性高、管理性好、技术成熟，但架构复杂、性能较差、成本偏高；基于容器的轻型虚拟化，适用于面向上层应用进程的环境，架构简单、部署灵活、适用任意平台，但管理性、可用性、标准化等方面尚未成熟。因此可能的应用前景是基于容器的虚拟化面向上层应用进程、基于虚拟机的虚拟化面向底层硬件等。

容器的引入原则建议遵循由易到难，按需部署，分步骤引入。具体部署建议如下：

第一阶段：基于虚机容器方案，容器对外不可见（2019～2020），如图1。

图1 虚机容器方案（容器不可见）

当前NFV技术标准基于Hypervisor，以支持虚机部署为主，因此5G核心网部署初期，可采用虚机容器方案。

考虑到5G核心网VNF对性能的要求，容器一般是嵌入在厂家提供的VNF内，NFVO不必感知容器的存在。这一方案的最大好处是可直接沿用现有ETSI NFV架构，无需进行改造。各个容器共享所属虚机的Guest OS内核，而不需要获取Host OS的管理权限，安全隔离性更高。