gydtep

基于软硬一体设计的机密计算容器开始展露头角。比如，阿里云安全、系统软件、容器服务团队和蚂蚁可信原生团队共同推出了面向机密计算场景的开源容器运行时技术栈 inclavare-containers 支持基于 Intel SGX 机密计算技术的机密容器实现，如蚂蚁的 Occlum，开源社区的 Graphene 等 Libary OS。降低机密计算的技术门槛，简化可信应用的开发、交付和管理。

gydtep

一是云原生技术，包括容器、K8s、微服务、DevOps。而这些技术只是一个工具，要想真正地用好这些技术，还需要一些最佳的实践和组合，也就是云原生架构。

gydtep

云原生架构是基于云原生技术的一种架构原则和设计模式的集合，是一些指导原则，比如要求做好可观测，只有在做好可观测的前提下才能做好后续的弹性，包括高可用相关的建设及基础设施的下沉，希望对非业务代码的部分进行最大化的剥离，在这样的技术和架构设计的指导下，就可以设计出云原生应用。

gydtep

我们已经实现了端到端的 15 秒，也就是 15 秒内可以创建出一个 pod，让用户的应用开始启动。在弹性能力上，我们具有基础指标弹性（如 CPU、Memory 等）、业务指标条件弹性（如 QPS、RT 等）和定时弹性。如果手动设置弹性指标，仍有一些门槛和负担，因为客户不知道指标应该设成多少，在这个背景下，我们也在考虑智能弹性，自动帮用户算出弹性指标推荐给用户，进一步降低门槛。

gydtep

SAE 免去了资源托管和运维成本，在此之前客户需要运维大量的 ECS 服务器，当需要安全升级、漏洞修复，特别是高密部署时，成本会很高。另外 SAE 计费模式是以分钟计费，用户完全可以实现精益成本，比如在业务高峰的 1 小时扩容到 10 个实例，在高峰结束后变成 2 个实例。

gydtep

SAE 采用了 Kata 安全容器技术，从时间和开源界的事实来说，Kata 是 runV 和 Clear Container 两个项目的结合，相比于 Firecracker 以及 gVisor 方案更加成熟。

gydtep

云原生存储
蚂蚁的大部分业务已经实现云盘存储，也就是将日志存储到远方磁盘。此前，单体应用通常将数据存储于本机磁盘，并且不提供其它冗余备份；而云盘则默认提供数据冗余，这在基于日志不可靠假设进行应用设计时带来了很多变化。

gydtep

蚂蚁的大部分业务已经实现云盘存储，也就是将日志存储到远方磁盘。此前，单体应用通常将数据存储于本机磁盘，并且不提供其它冗余备份；而云盘则默认提供数据冗余，这在基于日志不可靠假设进行应用设计时带来了很多变化。

gydtep

总的来说，对于一个给定的业务场景，高可用设计需要分析它的业务特点，可用性的要求，从而设计对应高可用设计的节点。比如，如何设计以查询功能为主的节点，特别是当其所依赖的数据库不被信任时。

gydtep

除了数据需要进行异构处理外，一些计算规则也需要迁移到信息流处理中，比如商家的店铺信息处理等。数据和计算规则的异构使我们能够实现解耦，这种设计对应着一个标准化的范式。几乎在所有的业务场景都能看到这种设计。