4. 故障注入概述
在金融账务系统中，稳定性不是“没有故障”，而是“故障发生时账仍然对、钱仍然准、状态仍然可收敛”。故障注入（Fault Injection）正是验证这一能力的核心手段：它通过人为、可控地向系统引入异常，观察系统在异常下的行为、账务一致性与恢复能力。与传统的功能测试不同，故障注入关注的不是“正常路径能否跑通”，而是“异常路径是否安全”。
一、核心原理：故障注入到底在做什么
故障注入的本质是在受控条件下制造“不完美”。它通常包含三个要素：注入点（在哪里制造异常）、故障模型（制造什么样的异常）、观测指标（如何判断系统是否安全）。在账务场景中，观测指标尤其关键，因为账务系统的正确性往往体现为“借贷平衡、余额守恒、幂等可重、状态可追溯”。
从原理上看，故障注入遵循“假设—注入—观测—判定”的闭环：先假设系统在某类异常下应具备某种保护能力，再注入对应故障，最后通过日志、指标、对账结果判定假设是否成立。它不追求制造混乱，而是追求用最小的破坏成本，暴露最大的风险。
二、故障注入的价值：为什么金融账务必须做
金融账务系统的特殊性决定了故障注入的价值远高于普通业务系统。其价值主要体现在四个层面：
- 验证一致性保障机制：如幂等、重试、补偿、对账、冲正等机制，只有在异常下才能真正被检验。
- 暴露隐藏的资损路径：很多资损不是功能错误，而是异常分支下的状态错乱，例如重复扣款、漏记账、悬挂单。
- 提升故障恢复信心：通过演练验证降级、熔断、切换、回滚是否真的有效，而不是停留在文档上。
- 满足监管与审计要求：金融系统对业务连续性、数据一致性有明确要求，故障注入是证明能力的重要手段。
需要强调的是，故障注入的价值不在于“注入”本身，而在于注入后暴露的问题是否被修复、机制是否被加固。没有复盘的故障注入，只是一次昂贵的表演。
三、常见分类：四类故障与金融场景适配
故障注入可按故障来源分为四大类：基础设施故障、应用故障、数据故障、网络故障。不同类别在金融账务中的表现和验证重点差异很大，下表给出对照清单。
| 故障类别 | 典型注入方式 | 金融账务关注点 | 典型风险 |
|---|---|---|---|
| 基础设施故障 | 节点宕机、磁盘满、CPU/内存打满、时钟漂移 | 主备切换、数据持久化、时钟一致性 | 账务丢失、时序错乱 |
| 应用故障 | 异常抛出、线程池耗尽、依赖超时、版本回滚 | 幂等、重试、补偿、事务边界 | 重复记账、悬挂单 |
| 数据故障 | 脏数据、字段截断、主键冲突、数据延迟 | 对账、冲正、数据校验 | 账实不符、余额错误 |
| 网络故障 | 延迟、丢包、分区、DNS 异常、连接重置 | 超时判定、最终一致性、分区容忍 | 状态不一致、重复提交 |
在金融场景适配时，需要遵循“由外到内、由轻到重、由单到链”的原则：先注入网络延迟等轻量故障，再逐步深入到数据故障和应用异常；先验证单点，再验证跨服务链路。切忌一上来就做节点宕机或数据污染，否则容易造成不可控影响。
四、案例与场景：一次网络分区引发的账务悬挂
某支付系统在跨机房部署下，账务服务与记账服务之间出现网络分区。注入方式为：在账务服务到记账服务的链路上注入 30% 丢包与 5 秒延迟。现象如下：
2024-06-12 10:23:41.882 [order-7f3a] WARN AccountService - 调用记账服务超时, orderId=O20240612001
2024-06-12 10:23:41.883 [order-7f3a] INFO AccountService - 触发本地重试, retry=1
2024-06-12 10:23:47.901 [order-7f3a] WARN AccountService - 重试仍超时, 进入补偿队列
2024-06-12 10:24:02.115 [compensate-2b9c] INFO CompensateJob - 补偿查询记账结果, 发现已记账成功
2024-06-12 10:24:02.116 [compensate-2b9c] INFO CompensateJob - 幂等命中, 跳过重复记账
该案例中，故障注入暴露了两个关键点：一是超时判定与重试策略是否合理，二是补偿任务是否具备幂等查询能力。若没有幂等保护，重试将导致重复记账，形成资损。通过注入网络故障，团队提前发现了补偿队列的幂等校验缺失，并在上线前修复。
五、误区与复盘：故障注入常见的五个坑
- 只注入不观测：没有明确的判定标准，注入后无法判断系统是否安全。
- 在生产环境直接注入重故障：未做隔离和熔断，可能引发真实资损。
- 忽略数据一致性验证：只看服务是否存活，不看账是否平。
- 一次性注入多类故障：无法定位问题根因，复盘困难。
- 没有回归验证：修复后未再次注入验证，机制是否真正生效未知。
综上，故障注入在金融账务中不是可选项，而是验证一致性能力的必要手段。理解其定义、价值与分类，并结合金融场景做适配，是后续开展具体注入实战的基础。