Wenn Microservices ausfallen: Mit Leistungsschaltern das Licht am Laufen halten

Sie haben diese wunderschöne Microservices-Architektur erstellt. Alles brummt – bis es nicht mehr da ist. Ein Dienst, vielleicht etwas Kleines wie ein Zahlungsprüfer oder ein Benachrichtigungssender, beschließt, ein Nickerchen zu machen. Ein langes Nickerchen. Plötzlich kommt es zu einer Zeitüberschreitung Ihrer flotten Benutzeroberfläche, Bestellungen bleiben hängen und das sich drehende Laderad wird zur am meisten gehassten Grafik in Ihrer App. Es fühlt sich an, als würde eine einzelne durchgebrannte Glühbirne ein ganzes Gebäude in Dunkelheit tauchen. Warum führt ein Fehler zu systemweiten Kopfschmerzen?

Es ist die Kettenreaktion. Service A ruft Service B an. Service B fühlt sich überfordert oder einfach nur fehlerhaft, wird langsam oder antwortet nicht mehr. Dienst A ist ein guter Soldat und wartet... und wartet... und wartet. Es speichert wertvolle Ressourcen wie Threads und Verbindungen und hofft auf eine Antwort. In der Zwischenzeit staut sich die Warteschlange der Anfragen. Bevor Sie es merken, hat die Verlangsamung von Dienst B Dienst A zum Erliegen gebracht, und auch alle anderen Dienste, die Dienst A aufrufen, beginnen auszufallen. Ihr Armaturenbrett leuchtet wie ein Weihnachtsbaum, aber nicht auf eine gute Art und Weise.

Also, was ist die Lösung? Sie können Fehler nicht einfach verhindern. In einer verteilten Welt sind sie unvermeidlich. Der Trick besteht nicht darin, ein perfektes System aufzubauen; Es geht darum, einen widerstandsfähigen Menschen aufzubauen, der es versteht, anmutig zu stolpern. Hier kommt die Idee eines Leistungsschalters ins Spiel – und dabei geht es weniger um Elektrotechnik als vielmehr um gesunden Menschenverstand.

Stellen Sie sich das so vor. Erinnern Sie sich an den alten Sicherungskasten? Wenn ein Stromkreis überlastet ist, brennt die Sicherung durch. Es unterbricht die Stromversorgung, um zu verhindern, dass die Kabel überhitzen und ein Feuer entsteht. Es ist ein Opferspiel, um das ganze Haus zu schützen. Ein Leistungsschalter in der Software erledigt die gleiche Aufgabe. Er sitzt zwischen den Gottesdiensten und beobachtet das Gespräch.

Wenn Service B anfängt, sich schlecht zu benehmen – zu oft Zeitüberschreitungen verursacht oder Fehler auslöst –, „löst“ der Schutzschalter aus. Es sendet für eine Weile keine Anfragen mehr an den gestörten Dienst. Anstatt Service A hängen zu lassen und zu leiden, gibt der Breaker sofort einen Fallback zurück: vielleicht eine zwischengespeicherte Antwort, eine Standardnachricht oder ein höfliches „Versuchen Sie es später noch einmal.“ Dies gibt Service B die Möglichkeit, sich zu erholen (oder Ihrem Team einen Neustart zu ermöglichen), während Service A und der Rest Ihrer Anwendung reaktionsfähig bleiben. Der Benutzer sieht möglicherweise eine leicht beeinträchtigte Funktion, aber keinen vollständigen Absturz. Es ist der Unterschied zwischen einer „Dienst vorübergehend nicht verfügbar“-Notiz und einem leeren, frustrierenden Fehlerbildschirm.

Aber nicht alle Leistungsschalter sind gleich. Sie fragen sich vielleicht: Was sollte ein guter Mensch eigentlich tun?

Erstens muss der Auslösezeitpunkt intelligent sein. Es geht nicht nur darum, Fehler zu zählen; es geht darum, Muster zu betrachten. Scheitern 50 % der Anfragen in letzter Minute? Reise. Ist die durchschnittliche Reaktionszeit plötzlich zehnmal länger? Wahrscheinlich ist es an der Zeit, diesen Stromkreis zu öffnen. Es sind konfigurierbare Schwellenwerte erforderlich, damit Sie entscheiden können, wie empfindlich es sein soll.

Zweitens braucht es einen Erholungsrhythmus. Nach dem Auslösen sollte es nicht ewig offen bleiben. Es muss in regelmäßigen Abständen eine einzelne Testanforderung durchlassen – einen „Health Check“-Aufruf – um zu sehen, ob der Downstream-Dienst wieder normal ist. Wenn dieser Test erfolgreich ist, wird der Stromkreis vorsichtig geschlossen und der Verkehr kann wieder fließen. Diese Sondierung ist der Schlüssel zur automatischen Wiederherstellung ohne manuelle Eingriffe.

Drittens sollte es gut mit Ihrem bestehenden Setup funktionieren. Es handelt sich nicht um ein sperriges Gerät, das Sie separat anschließen müssen. Die besten Implementierungen wirken wie eine natürliche Ebene in Ihrer Servicekommunikation, die Sie konfigurieren können, ohne Ihre Anwendungslogik neu schreiben zu müssen.

Die Umsetzung dieses Musters ist so, als würde man seinem System ein Immunsystem verleihen. Es stoppt die Kälte nicht, aber es dämmt sie ein. Sie beginnen damit, die kritischen Verbindungen zwischen Ihren Diensten zu identifizieren – diejenigen, bei denen ein Ausfall den größten Schaden verursachen würde. Sie umschließen diese Anrufe mit der Schutzschalterlogik. Sie entscheiden über den Fallback: Was ist eine akzeptable, wenn auch unvollständige Antwort, die dem Benutzer angezeigt werden soll? Anschließend passen Sie die Einstellungen an. Wie viele Fehler sind zu viele? Wie lange sollte der Leistungsschalter geöffnet bleiben? Sie passen diese basierend auf dem realen Datenverkehr an und sie werden Teil Ihres operativen Playbooks.

Die Schönheit liegt im Ergebnis. Ihr System gewinnt eine Art Zähigkeit. Eine fehlerhafte Datenbank oder ein API-Ausfall eines Drittanbieters bedeutet nicht länger einen hektischen Notfall, bei dem alle Mitarbeiter an Deck um 2 Uhr morgens arbeiten. Das System isoliert das Problem, begrenzt den Schaden und hält die Kernfunktionalität aufrecht. Benutzer erhalten Zuverlässigkeit, Ihr Betriebsteam erhält Vernunft und Ihr Unternehmen vermeidet hässliche Ausfallzeiten, die das Vertrauen untergraben.

kpowerBei der Herangehensweise an dieses Muster liegt der Schwerpunkt darauf, es einfach und funktionsfähig zu gestalten. Das Ziel besteht darin, Widerstandsfähigkeit in die Architektur zu integrieren, sodass Stabilität zu einer Standardfunktion und nicht zu einem Feuergefecht wird. Es geht darum, Systeme zu entwerfen, die das Unerwartete erwarten und einen Plan haben, damit umzugehen – leise, im Hintergrund, während alle anderen ein reibungsloses Erlebnis genießen. Denn am Ende ist die beste Technologie die, über die man nicht nachdenken muss, die einfach funktioniert, auch wenn ein paar kleine Teile sich entscheiden, den Tag frei zu nehmen.

Gegründet im Jahr 2005,kpowerist einem professionellen Hersteller kompakter Bewegungseinheiten mit Hauptsitz in Dongguan, Provinz Guangdong, China, gewidmet. Nutzung von Innovationen in der modularen Antriebstechnik,kpowerintegriert Hochleistungsmotoren, Präzisionsgetriebe und Multiprotokoll-Steuerungssysteme, um effiziente und maßgeschneiderte intelligente Antriebssystemlösungen bereitzustellen. Kpower hat weltweit über 500 Unternehmenskunden professionelle Antriebssystemlösungen mit Produkten geliefert, die verschiedene Bereiche abdecken, darunter Smart-Home-Systeme, automatische Elektronik, Robotik, Präzisionslandwirtschaft, Drohnen und industrielle Automatisierung.