4. 混沌工程原则与容量实验：稳态假设、最小爆炸半径、持续验证原则在容量场景的应用
混沌工程的三大核心原则——稳态假设、最小爆炸半径、持续验证——在容量水位与基线校准实验中具有直接的指导意义。容量实验不是一次性的压力测试，而是一个围绕系统稳态不断逼近极限、验证假设、缩小风险范围的迭代过程。本节将逐一拆解这三条原则在容量场景中的具体落地方式。
4.1 稳态假设：定义容量可接受状态
稳态假设要求我们在实验前明确“系统正常运行时应该表现为什么样”。在容量实验中，稳态不是“不崩溃”，而是一组可量化的服务等级指标（SLI）与目标（SLO）。只有定义了稳态，才能判断容量水位是否越界。
| 稳态维度 | 典型指标 | 容量场景下的阈值示例 |
|---|---|---|
| 响应延迟 | p50 / p95 / p99 延迟 | p99 < 500ms |
| 吞吐量 | RPS（每秒请求数） | 基线 RPS ± 10% |
| 错误率 | HTTP 5xx / 业务错误码 | 错误率 < 0.1% |
| 资源饱和度 | CPU / 内存 / 连接池使用率 | CPU < 80%，内存 < 75% |
实践要点：稳态假设必须包含业务维度指标。例如，电商下单接口的稳态不仅包括响应时间，还应包括“下单成功率”和“库存扣减一致性”。仅关注基础设施指标容易遗漏容量退化对业务的影响。
4.2 最小爆炸半径：控制容量实验的影响范围
最小爆炸半径原则要求实验设计者将潜在负面影响限制在最小范围内。在容量实验中，这意味着不能直接对全集群施压，而应通过渐进式流量注入、单实例隔离、熔断保护等手段逐步扩大实验边界。
4.2.1 爆炸半径控制策略
- 实例级实验：从单个 Pod 或单台机器开始，观察容量退化是否扩散。
- 分片/分区实验：仅对特定数据分片或用户群体施加额外负载。
- 时间窗口限制：设定实验最大持续时间（如 5 分钟），超时自动回滚。
- 熔断与降级：实验过程中若稳态指标偏离超过预设阈值，立即终止实验并恢复。
常见误区：最小爆炸半径不等于“只做小实验”。容量实验的目标是找到极限水位，但必须通过逐步扩大半径来逼近极限，而不是一步到位。例如，先以 10% 的额外流量测试单实例，再逐步增加到 20%、50%，最后才进行全集群的 80% 水位验证。
4.3 持续验证：容量基线不是一次性的
持续验证原则强调混沌实验应作为常态化机制嵌入研发与运维流程。容量水位会随着代码变更、配置调整、流量模式变化而漂移，因此基线校准必须持续进行。
4.3.1 容量实验的持续验证周期
| 触发时机 | 实验类型 | 验证目标 |
|---|---|---|
| 每次代码发布前 | 快速容量冒烟 | 确认新版本未引入容量退化 |
| 每周/双周 | 基线校准实验 | 更新容量水位基线，发现漂移 |
| 大促/活动前 | 全链路压测 + 混沌 | 验证极限水位下的稳态保持能力 |
| 基础设施变更后 | 定向容量实验 | 评估扩容、缩容、迁移的影响 |
4.4 三原则在容量实验中的协同关系
稳态假设、最小爆炸半径、持续验证并非独立执行，而是形成一个闭环迭代流程。下图展示了三原则如何协同驱动容量水位校准。
4.5 容量实验中的原则落地检查清单
在设计容量水位实验时，可以使用以下清单确保三条原则得到贯彻：
- 稳态假设是否明确？ 是否定义了至少 3 个维度的稳态指标（延迟、吞吐、错误率）？是否包含业务指标？
- 爆炸半径是否可控？ 实验是否从最小范围（单实例/单分片）开始？是否有自动熔断机制？回滚方案是否经过验证？
- 持续验证是否纳入流程？ 实验是否与 CI/CD 流水线集成？基线更新是否有自动化记录？是否定期回顾基线漂移趋势？
- 实验是否可重复？ 实验场景、参数、结果是否以代码形式版本化管理？
关键认知：容量实验不是“压到系统崩溃再修复”，而是通过混沌工程原则，在可控范围内主动发现容量瓶颈，持续校准基线水位，使系统始终运行在已知的、可接受的稳态区间内。稳态假设提供目标，最小爆炸半径提供安全边界，持续验证提供演化动力——三者缺一不可。