📚 课程目录第2章混沌工程基础

混沌工程基础：混沌工程原则、实验假设、稳态定义、爆炸半径控制

混沌工程并非随机的系统破坏，而是一套严谨的、以实验验证为核心的工程方法论。其目标是在生产环境中主动引入故障，以暴露系统弱点，从而提升系统的韧性。理解其核心原则、实验假设、稳态定义及爆炸半径控制，是实施任何混沌实验的前提。

混沌工程遵循一套明确的指导原则，确保实验的科学性与安全性。这些原则将混沌实验与随意的“破坏测试”区分开来。

原则	描述	实践要点
1. 建立稳态假设	在实验前，必须定义系统“正常”运行的可测量指标（如延迟、吞吐量、错误率）。	使用可观测性工具（Prometheus、Datadog）定义基线。
2. 多样化现实世界事件	实验应模拟真实世界中可能发生的故障，而非理论上的极端情况。	优先模拟硬件故障、网络分区、资源耗尽、服务依赖中断等。
3. 在生产环境中运行	只有生产环境才能真实反映系统的复杂性与流量模式。实验应在受控范围内进行。	从非关键业务或影子流量开始，逐步扩大范围。
4. 自动化持续运行	混沌实验应作为持续集成/持续部署（CI/CD）流水线的一部分，自动执行。	将实验编排为自动化任务，定期或按事件触发。
5. 最小化爆炸半径	必须严格控制故障影响范围，避免对用户或核心业务造成不可逆损害。	使用熔断、限流、隔离机制，并设置明确的终止条件。

实践提示： 在自助服务门户中，这些原则应转化为可配置的策略模板。用户创建实验时，系统自动校验其是否满足“稳态假设已定义”和“爆炸半径已设置”等前置条件。

每个混沌实验都始于一个明确的实验假设。这个假设不是“系统会崩溃”，而是“系统在注入故障X后，其稳态指标Y仍能保持在可接受范围内”。

实验假设公式： 当 [注入故障类型] 作用于 [目标服务] 时，[稳态指标] 仍能维持在 [阈值范围] 内。
稳态定义： 系统在正常运行时的一组可观测、可量化的业务与技术指标。例如：
- 业务指标： 订单成功率 > 99.9%，支付完成时间 < 2秒。
- 技术指标： API P99延迟 < 500ms，CPU使用率 < 80%，错误率 < 0.1%。

  关键区别： 稳态是实验的“对照组”，实验假设是“实验组”的预期结果。如果实验后稳态指标偏离了假设，则说明系统存在韧性缺陷。

下图展示了从假设到验证的完整实验循环：

爆炸半径（Blast Radius）是指混沌实验可能影响的资源、服务或用户范围。控制爆炸半径是混沌工程安全性的核心保障。在自助服务门户中，爆炸半径控制应作为一项强制性的安全门禁。

以下是爆炸半径控制的关键策略与实现方式：

控制策略	描述	自助门户实现示例
1. 环境隔离	限制实验只能在特定环境（如预发、灰度）或特定命名空间执行。	用户创建实验时，必须选择已授权的“实验目标环境”。
2. 目标限定	精确指定实验目标，例如仅针对某个Pod、某个API端点或某类用户流量。	支持通过标签选择器（Label Selector）或IP范围限定目标。
3. 熔断与终止条件	预设自动熔断条件，当稳态指标超出阈值或错误率飙升时，自动停止实验。	用户必须配置“自动回滚”策略，如“错误率超过5%持续10秒则终止”。
4. 流量控制	仅对部分流量（如1%的请求）注入故障，或仅影响非核心业务。	提供流量镜像、请求采样比例配置。
5. 权限与审批	高风险实验需要多级审批，且执行者权限需与爆炸半径匹配。	集成IAM系统，根据实验范围动态计算所需权限等级。

安全警告： 爆炸半径控制不是可选项。任何绕过爆炸半径限制的实验都应被系统拒绝。在自助服务门户中，后端必须对前端传入的实验参数进行二次校验，防止恶意篡改。

下图展示了爆炸半径控制的分层模型：

通过上述分层控制，自助服务门户能够确保即使实验失败，其影响也被限制在一个预先定义好的、安全的“沙箱”内，从而保护生产环境的整体稳定性。