3. 混沌工程核心原理：五大原则、稳态假设与爆炸半径控制

混沌工程并非随机的破坏行为，而是一套严谨的工程方法论。其核心原理围绕三个关键概念展开：五大原则定义了实验的纪律性，稳态假设提供了实验的度量基准，爆炸半径控制则保障了实验的安全性。理解这三者是设计有效容量水位实验的前提。

3.1 混沌工程五大原则

Netflix 在其混沌工程实践中提炼出五大原则，这些原则确保了实验的科学性与可操作性，避免混沌工程退化为“混乱工程”。

3.2 稳态假设：实验的度量基准

稳态假设是混沌工程的“锚点”。它定义了系统在未受干扰时的健康状态，并通过一组可量化的服务等级指标（SLI）和服务等级目标（SLO）来表征。在容量水位实验中，稳态假设直接决定了“水位是否过高”的判断标准。

3.2.1 稳态假设的构成要素

• 吞吐量指标： 每秒请求数（RPS）、每秒事务数（TPS）。
• 延迟指标： P50、P95、P99 延迟。
• 错误率指标： HTTP 5xx 比例、业务异常码比例。
• 资源饱和度指标： CPU 使用率、内存使用率、连接池占用率。

3.2.2 稳态假设的验证流程

1. 基线采集： 在无故障注入时，连续采集 5-10 分钟的稳态指标数据。
2. 阈值设定： 基于基线数据，设定“稳态偏离”的告警阈值（例如：P99 延迟超过基线 2 倍）。
3. 实验执行： 注入容量压力或故障，持续监控指标变化。
4. 假设判定： 若指标始终在阈值范围内，则稳态假设成立；否则，系统存在薄弱点。

3.3 爆炸半径控制：实验的安全护栏

爆炸半径控制是混沌工程中最具工程实践价值的原则。它确保实验的破坏性被限制在可接受范围内，避免对真实用户产生显著影响。在容量水位实验中，爆炸半径控制通常通过以下技术手段实现：

3.3.1 控制策略对比

3.3.2 爆炸半径控制设计原则

• 渐进式注入： 从 1 个实例开始，逐步扩大范围，而非一次性全量注入。
• 可观测性先行： 在实验开始前，确保所有关键指标的监控和告警已就绪。
• “停止按钮”机制： 实验平台必须提供一键停止并回滚的能力。
• 时间窗口限制： 设置实验最大持续时间（例如 10 分钟），超时自动终止。

3.4 核心原理关系图

下图展示了五大原则、稳态假设与爆炸半径控制在混沌工程实验中的协同关系。稳态假设提供度量基准，五大原则定义实验纪律，爆炸半径控制提供安全保障，三者共同构成实验的闭环。

3.5 容量水位实验中的原理应用案例

假设我们要对一个微服务“订单服务”进行容量水位测试，以确定其安全承载上限。应用上述原理的步骤如下：

1. 建立稳态假设： 定义“正常”状态为：QPS 500 时，P99 延迟 < 80ms，错误率 < 0.1%。
2. 多样化事件： 设计实验包括“逐步增加 QPS”、“突发 QPS 翻倍”、“CPU 资源争抢”三种场景。
3. 生产环境运行： 在低峰期（凌晨 2:00）的生产集群中，选择 1 个 Pod 作为实验目标。
4. 爆炸半径控制：
   • 设置自动熔断：当该 Pod 错误率 > 1% 时，立即停止注入并摘除流量。
   • 设置时间窗口：实验最长持续 15 分钟。
   • 使用流量染色：仅对携带 X-Experiment: capacity-test 的请求生效。
5. 持续自动化： 将实验脚本集成到 CI/CD 流水线，每次代码变更后自动执行。