📚 课程目录第2章 Event Trigger定义与角色

2. Event Trigger 定义与角色：什么是 Event Trigger、在告警自愈剧本中的位置、触发器的生命周期

2.1 什么是 Event Trigger

Event Trigger（事件触发器） 是告警自愈剧本的“启动按钮”。它负责监听外部或内部的事件源，当匹配到预定义的事件模式时，立即触发对应的自愈剧本执行。没有 Event Trigger，剧本就是一个静态的流程定义，无法响应任何故障。

在 SRE 实践中，Event Trigger 通常对接以下事件源：

监控告警：Prometheus Alertmanager、Zabbix、Grafana 等发出的告警通知。
日志关键字：ELK/Loki 日志平台检测到的异常模式。
指标阈值：自定义指标（如 P99 延迟、错误率）超过动态阈值。
变更事件：Kubernetes 资源状态变化、配置变更、发布事件。
外部 Webhook：第三方系统（如 PagerDuty、OpsGenie）的回调。

  核心原则：Event Trigger 只负责“是否触发”，不负责“如何恢复”。它将事件上下文（如告警名称、标签、严重级别）传递给剧本引擎，由剧本决定后续的恢复动作。

2.2 在告警自愈剧本中的位置

Event Trigger 位于整个自愈流程的最前端，是连接“事件产生”与“剧本执行”的桥梁。下图展示了 Event Trigger 在告警自愈剧本架构中的核心位置：

从上图可以看出，Event Trigger 处于事件源与剧本引擎之间，承担着以下关键职责：

职责	说明
事件接收	统一接收来自不同事件源的原始事件，屏蔽底层协议差异（HTTP、gRPC、消息队列）。
规则匹配	根据预定义的触发规则（如告警名称包含 "HighCpu"、严重级别为 critical）判断是否触发。
去重与抑制	避免同一事件在短时间内重复触发，防止剧本被频繁执行导致资源浪费或误操作。
上下文封装	将原始事件转换为标准化的触发上下文（TriggerContext），传递给剧本引擎。

2.3 触发器的生命周期

一个 Event Trigger 从创建到销毁，会经历以下五个阶段。理解生命周期有助于排查触发失败、重复触发等常见问题。

2.4 生命周期各阶段详解

阶段	触发条件	关键动作	常见问题
① 注册	运维人员创建触发器配置	校验规则语法、绑定事件源、关联剧本 ID	规则格式错误、剧本 ID 不存在
② 监听	注册成功，引擎启动监听	建立连接（如 WebSocket、消息队列消费）、心跳保活	连接超时、事件源不可达
③ 匹配	事件到达引擎	解析事件、执行规则表达式、去重检查、抑制检查	规则表达式错误、去重窗口配置不当
④ 触发	匹配成功	构建 TriggerContext、调用剧本引擎、记录触发日志	上下文缺失关键字段、剧本执行超时
⑤ 销毁	触发器被删除或引擎关闭	关闭监听连接、释放内存、清理缓存	资源泄漏、连接未正常关闭

最佳实践：在注册阶段为每个触发器设置唯一的 trigger_id，并在触发日志中记录该 ID。这样在排查“为什么没有触发”或“为什么重复触发”时，可以快速定位到具体的触发器配置。

2.5 触发上下文（TriggerContext）结构

当 Event Trigger 匹配成功并决定触发时，它会生成一个标准化的触发上下文传递给剧本引擎。以下是一个典型的 TriggerContext 结构：

{
  "trigger_id": "trg-20240521-001",
  "trigger_name": "high_cpu_auto_recovery",
  "event_source": "prometheus_alertmanager",
  "event_type": "alert_firing",
  "severity": "critical",
  "matched_rules": [
    "alertname == 'HighCpuUsage'",
    "severity == 'critical'"
  ],
  "event_payload": {
    "alertname": "HighCpuUsage",
    "instance": "web-server-01:9100",
    "value": "95.3",
    "labels": {
      "env": "production",
      "region": "us-east-1"
    }
  },
  "triggered_at": "2024-05-21T14:30:00Z",
  "dedup_key": "high_cpu_web-server-01:9100_critical"
}

剧本引擎根据 TriggerContext 中的 event_payload 和 matched_rules 决定执行哪个恢复动作。例如，如果 instance 是 Kubernetes Pod，则执行 Pod 重启；如果是虚拟机，则执行服务重启或扩容。

注意：TriggerContext 中的 dedup_key 是去重机制的核心。引擎会缓存最近 N 分钟的 dedup_key，如果相同 key 再次到达，则直接丢弃，避免同一告警反复触发剧本。