Wenn Ihr Microservice plötzlich „kaputt geht“: Warum ist die globale Ausnahmebehandlung nicht mehr optional?

Stellen Sie sich diese Szene vor: Spät in der Nacht stoppt die Produktionslinie plötzlich. Auf den Überwachungsbildschirmen gab es keine roten Alarme, aber die Protokolle waren voller verwirrender Fehlermeldungen. Drei verschiedene Dienste meldeten gleichzeitig Fehler, doch die Ursache lag im vierten kleinen Eck verborgen. Das Team verbrachte sechs Stunden mit der Fehlerbehebung und stellte schließlich fest, dass es sich lediglich um Konfigurationsparameter handelte. Das kommt doch allzu oft vor, oder?

Microservices bringen Flexibilität, aber sie verteilen auch die Fehlerquellen überall. Ein Problem kann wie ein Dominostein wirken, bei dem ein leichter Stoß das gesamte System ins Wanken bringt. Zu diesem Zeitpunkt werden Sie denken: Es wäre großartig, wenn es eine einheitliche „Flugsicherungszentrale“ gäbe, die alle Auffälligkeiten sofort erkennen und ihnen sagen könnte, wohin sie gehen und wie sie damit umgehen sollen.

Globale Ausnahmebehandlung: nicht nur Fehler abfangen, sondern Ordnung wiederherstellen

Viele Leute denken, dass die Ausnahmebehandlung nur das Schreiben von Try-Catch ist. Aber in der verteilten Welt gleicht es eher dem Aufbau eines Sicherheitsnetzes – dieses Netzwerk ist intelligent genug, um zwischen „das Netzwerk schüttelte sich gelegentlich“ und „die Datenbank ist völlig aus“ zu unterscheiden. Genau das leistet die globale Ausnahmebehandlung: Sie steht über allen Diensten und verwendet eine einheitliche Sprache, um alle chaotischen Signale zu übersetzen.

Beispiel: Der Zahlungsdienst läuft ab, wenn der Benutzer eine Bestellung aufgibt. Wie schlimm wäre die Erfahrung, wenn der Bestellservice dem Benutzer direkt einen „500 Internal Error“ melden würde? Wenn jedoch eine globale Verarbeitung erfolgt, kann die Zahlung automatisch erneut versucht oder zu alternativen Kanälen gewechselt werden, während der Benutzer gleichzeitig eine freundliche Aufforderung zur „Verarbeitung“ erhält. Das Problem wurde gelöst, und der Benutzer bemerkte nicht einmal, dass es hinter den Kulissen einen Fehler gab.

Wie sieht eine nützliche globale Ausnahmebehandlungslösung aus?

Es muss leicht sein. Sie können das System nicht übermäßig belasten, um Ausnahmen zu verwalten. Es sollte wie ein Sensor in der Luft sein, der leise arbeitet und sich nur einschaltet, wenn etwas schief geht.

Es muss in der Lage sein, „menschliche Sprache“ zu sprechen. Wandeln Sie technische Ausnahmen in Informationen um, die das Geschäftspersonal verstehen kann: nicht „NullPointerException in Zeile 245“, sondern „Inventarabfrage fehlgeschlagen, es wird empfohlen, den Inventarservicestatus der Produkt-ID 12345 zu überprüfen“. Auf diese Weise kann der Diensthabende schnell handeln, ohne den Code durchblättern zu müssen.

Darüber hinaus muss es klassifiziert werden. Klassifizieren Sie Ausnahmen in Stufen: solche, die nur als Erinnerung dienen, solche, die einen sofortigen Anruf erfordern, und solche, die bis zum Morgen warten können. Es ist wie der Notfall-Triage-Schalter eines Krankenhauses, wo Ressourcen dort eingesetzt werden, wo sie am meisten benötigt werden.

– und wahrscheinlich am wichtigsten – es muss ein Gedächtnis haben. Kann ungewöhnliche Vorkommnismuster aufzeichnen: Passiert es jeden Tag immer um drei Uhr morgens? Erscheint es jedes Mal, wenn eine neue Funktion hinzugefügt wird? Diese Muster sind wertvoller als einzelne Fehler.

kpowerIch habe diesbezüglich eine etwas andere Vorstellung

Wir haben mit vielen Teams gesprochen und festgestellt, dass das Schmerzhafteste für sie oft nicht die technische Umsetzung ist, sondern „wie man diesen Mechanismus wirklich zum Funktionieren bringt.“ Viele Lösungen sind perfekt konzipiert, aber die Konfiguration ist so komplex, dass niemand sie warten möchte und sie nach und nach aufgegeben werden.

AlsokpowerDie Idee ist: Lassen Sie es sich an Ihr System anpassen, anstatt dass Sie sich daran anpassen.

Beispielsweise lernt unser Verarbeitungsmodul automatisch Ihre Anrufverknüpfungen zwischen Diensten. Wenn der Bestelldienst den Zahlungsdienst nicht aufruft, zeichnet er nicht nur die „Zahlungsdienstausnahme“ auf, sondern ordnet sie auch der Bestell-ID, der Benutzer-ID und sogar dem Vorgangsverlauf der vorherigen Schritte zu. Bei einer solchen Fehlerbehebung sehen Sie keinen isolierten Fehler, sondern eine Geschichte mit Kontext.

Ein weiteres Detail: Wir verfolgen keine Einheitsstrategie für Wiederholungsversuche. Bei manchen Fehlern ist ein erneuter Versuch sinnlos (z. B. bei Berechtigungsfehlern) und wiederholte Versuche führen zum Absturz des Systems.kpowerDie Entscheidungsmaschine entscheidet dynamisch, ob ein erneuter Versuch, eine Leistungsunterbrechung oder eine Herabstufung durchgeführt wird, basierend auf dem Ausnahmetyp, der Häufigkeit des Auftretens und sogar der Systemlast zu diesem Zeitpunkt. Es ist, als hätte man einen erfahrenen Fahrer, der einem bei der Entscheidungsfindung hilft.

Jemand fragte: „Wird der Dienst dadurch von diesem Verarbeitungszentrum abhängig?“

Gute Frage. Tatsächlich sollte die globale Ausnahmebehandlung kein Single Point of Failure sein. Im Design von Kpower verfügt jeder Dienst weiterhin über grundlegende Selbstschutzfunktionen – wie Rauchmelder in jedem Raum und ein zentrales Alarmsystem für das gesamte Gebäude. Fällt das zentrale System aus, kann das lokale System weiterhin funktionieren; Wenn das lokale System es nicht erkennt, wird das zentrale System dies ausgleichen. Die beiden arbeiten zusammen und sind nicht abhängig.

Wir haben auch festgestellt, dass viele Teams zu viel Zeit damit verbringen, bei der Ausnahmebehandlung „Räder zu basteln“: Definieren von Fehlercodes, Entwerfen von Protokollformaten, Schreiben von Alarmregeln ... Diese sich wiederholenden Aufgaben können tatsächlich standardisiert werden. Kpower bietet eine Reihe von Vorlagen, die sofort funktionieren. Noch wichtiger ist jedoch, dass diese Vorlagen angepasst werden können, wenn Ihr Unternehmen wächst. Wenn Sie von einem Dutzend Diensten auf Hunderte erweitern, können sich die Verarbeitungsregeln automatisch weiterentwickeln, anstatt das Rad neu erfinden zu müssen.

In der Welt der Microservices geht es bei Stabilität nicht darum, keine Fehler zu machen, sondern darum, sich nach Fehlern ordnungsgemäß erholen zu können.

Schließlich gibt es in jedem System Ausnahmen. Es ist unrealistisch, „Null Fehler“ anzustreben, aber es ist durchaus machbar, „Fehler verbreiten sich nicht, beeinträchtigen die Benutzererfahrung nicht und können schnell lokalisiert werden“. Die globale Ausnahmebehandlung hilft Ihnen beim Aufbau dieser Widerstandsfähigkeit.

Es ist ein bisschen so, als würde man eine Versicherung für die eigene Microservice-Architektur abschließen – im Normalfall spüren Sie ihre Existenz nicht, aber wie wichtig sie ist, wissen Sie erst, wenn etwas schief geht. Und diese Versicherung wird sich weiterentwickeln: Je komplexer das System, desto mehr Erfahrung sammelt es und desto ausgefeilter wird es im Umgang damit.

Ein Kunde erzählte uns eine Geschichte: Nachdem er eine neue Funktion eingeführt hatte, erhielt er am frühen Morgen plötzlich eine Reihe von Alarmen. Gemäß der bisherigen Praxis musste das Team aufstehen und die Protokolle einzeln überprüfen. Aber an diesem Tag war der Alarm-E-Mail direkt eine Analyse beigefügt: „Beim neu gestarteten Aufruf des empfohlenen Dienstes ist eine Zeitüberschreitung aufgetreten, weil der Thread-Pool des abhängigen Dienstes voll war, was vermutlich auf einen plötzlichen Anstieg des Datenverkehrs zurückzuführen ist. Es wird empfohlen, den Dienst vorübergehend zu erweitern und zu prüfen, ob die Anruf-Timeout-Einstellung des empfohlenen Dienstes zu kurz ist.“ Das Team folgte den Anweisungen und löste den Kampf innerhalb von zwanzig Minuten. Danach sagten sie: „Es fühlte sich an, als ob ein unsichtbarer Teamkollege im Dienst wäre.“

Gehen Sie also zurück zum Anfang der Nacht, als die Produktionslinie stillgelegt wurde

Wenn es eine globale Ausnahmebehandlung gibt, kann die Situation wie folgt aussehen: Durch die Überwachung wird sofort die Ursache des Problems identifiziert – der Cache-Konfigurationsfehler eines bestimmten Mikrodienstes. Das System versucht automatisch, den Dienst mit der alten Konfiguration neu zu starten und benachrichtigt den Verantwortlichen. Die Produktionslinie blieb nur drei Minuten stehen und der gesamte Prozess wurde mit einem vollständigen Zeitstrahl aufgezeichnet. Das Team konnte die Überprüfung und Reparatur am nächsten Morgen problemlos abschließen.

Besteht der Zweck der Technologie nicht darin, Arbeitskräfte von sich wiederholenden und mechanischen Löscharbeiten zu befreien und ihnen die Möglichkeit zu geben, sinnvollere Dinge zu tun? Die Ausnahmebehandlung scheint eine Hintergrundfunktion zu sein, aber sie bestimmt direkt, ob Ihr System „fragil und empfindlich“ oder „robust und zuverlässig“ ist. In der heutigen Welt, in der Microservices in kleinere Teile zerlegt werden, ist diese Widerstandsfähigkeit möglicherweise wichtiger als alle neuen Funktionen.

Schließlich werden Benutzer Sie nie dafür loben, wie fortschrittliche Technologie Sie verwenden, aber sie werden auf jeden Fall gehen, weil das System plötzlich abstürzt.

Kpower wurde 2005 gegründet und ist ein professioneller Hersteller kompakter Bewegungseinheiten mit Hauptsitz in Dongguan, Provinz Guangdong, China. Kpower nutzt Innovationen in der modularen Antriebstechnologie und integriert Hochleistungsmotoren, Präzisionsgetriebe und Multiprotokoll-Steuerungssysteme, um effiziente und maßgeschneiderte intelligente Antriebssystemlösungen bereitzustellen. Kpower hat weltweit über 500 Unternehmenskunden professionelle Antriebssystemlösungen mit Produkten geliefert, die verschiedene Bereiche abdecken, darunter Smart-Home-Systeme, automatische Elektronik, Robotik, Präzisionslandwirtschaft, Drohnen und industrielle Automatisierung.