2. 混沌工程基础概念
混沌工程并非随意的破坏性测试，而是一套严谨的、以发现系统脆弱性为目标的实验科学。在质量门禁的驱动下，理解其核心概念是进行有效容量水位校验的前提。本节将深入剖析混沌工程的四大基石：定义、稳态假设、爆炸半径及最小化原则。
2.1 混沌工程的定义
根据 Netflix 的官方定义，混沌工程是“在分布式系统上进行实验的学科，旨在建立对系统承受生产环境中湍流条件能力的信心”。它通过主动注入故障，观察系统行为，从而提前发现并修复潜在的稳定性问题。
核心区别：混沌工程 ≠ 传统故障注入。传统故障注入验证“已知的未知”，而混沌工程探索“未知的未知”，即系统在面对未曾预料的复杂故障组合时的表现。
2.2 稳态假设
稳态假设是混沌实验的“锚点”。在注入故障前，必须先定义系统在正常状态下的可测量行为指标，即“稳态”。实验的目标是验证系统在经受混沌扰动后，是否仍能维持或迅速恢复到该稳态。
| 维度 | 稳态指标示例 | 说明 |
|---|---|---|
| 可用性 | 请求成功率 ≥ 99.99% | 核心API或用户请求的成功率 |
| 延迟 | P99 延迟 ≤ 200ms | 99%的请求在200ms内完成 |
| 吞吐量 | QPS ≥ 10,000 | 系统每秒处理的请求数 |
| 错误率 | 5xx 错误率 ≤ 0.1% | 服务端内部错误的比例 |
| 资源水位 | CPU 使用率 ≤ 70% | 关键节点的资源消耗上限 |
实践要点：稳态假设必须可量化、可观测，并且与用户体验强相关。在容量水位校验中，稳态假设通常直接对应“容量水位阈值”。
2.3 爆炸半径
爆炸半径定义了混沌实验可能造成的影响范围。它是实验设计中最关键的风险控制参数。一个设计良好的实验，其爆炸半径应该是有限、可控且可观测的。
- 实例级别：杀死单个Pod或虚拟机，影响最小。
- 可用区级别：模拟一个AZ（可用区）整体故障，影响范围扩大。
- 区域级别：模拟整个Region（区域）的网络中断，影响范围最大。
- 功能级别：对特定微服务（如用户服务、订单服务）注入延迟或错误。
- 依赖级别：模拟对下游数据库、缓存或第三方API的调用失败。
2.4 最小化爆炸半径原则
最小化爆炸半径是混沌工程的核心安全准则。它要求实验设计者始终将潜在影响控制在最小范围内，确保即使实验失败，也不会对生产环境造成灾难性后果。在质量门禁的语境下，这直接决定了实验是否被允许进入下一阶段。
⚠️ 关键红线：任何未经“最小化爆炸半径”评估的混沌实验，都不得通过质量门禁。这是从“实验”走向“事故”的分水岭。
2.4.1 实施策略
- 从小开始：先在预发或灰度环境执行，再逐步推广到生产环境。
- 限制范围：使用流量染色、用户白名单、实例标签等方式，将故障影响限定在特定子集。
- 设置熔断：定义自动化“熔断”条件（如错误率飙升、延迟激增），一旦触发立即停止实验并回滚。
- 逐步暴露：先注入低风险故障（如网络延迟），再尝试高风险故障（如节点宕机）。
- 可观测性先行：确保实验期间所有关键指标都有实时监控和告警。
2.4.2 质量门禁中的校验点
| 门禁阶段 | 爆炸半径校验项 | 通过标准 |
|---|---|---|
| 实验设计 | 是否明确标注了爆炸半径的边界（实例/AZ/Region）？ | 是，且边界定义清晰 |
| 环境准入 | 实验是否先在非生产环境执行并通过？ | 是，且结果符合预期 |
| 熔断机制 | 是否配置了自动化熔断条件？ | 是，且阈值合理 |
| 容量水位 | 实验是否会导致目标系统容量水位超过安全阈值？ | 否，水位在可控范围内 |
| 回滚预案 | 是否有明确的回滚步骤和负责人？ | 是，且已演练 |
2.5 概念关联：从稳态到容量水位
在《质量门禁驱动混沌工程容量水位口径校验》课程中，上述概念被串联成一个完整的校验链路：
- 稳态假设定义了“正常”的容量水位基线（如CPU≤70%）。
- 混沌实验通过注入故障，模拟流量突增或资源降级场景。
- 爆炸半径确保实验不会导致水位失控，影响全局。
- 最小化原则通过门禁校验，确保实验风险可接受。
- 最终目标：验证系统在混沌扰动下，容量水位是否仍能维持在稳态假设范围内。