マイクロサービス .net コアのサーキット ブレーカー

マイクロサービスが「くしゃみ」をし始めたとき、.NET Core にはどのような「免疫システム」が必要でしょうか?

慎重に構築されたマイクロサービス アーキテクチャがスムーズに実行されているのに、データベースの応答が少し遅いため、突然、特定のサービスが「咳き込み」始めたと想像してください。その直後、他のサービスも「寒い」という声が相次いだ。システム全体の体温が急上昇し、パフォーマンスが急激に低下し、ユーザーは放心状態になってしまいました。この光景は見覚えがありますか？予期せぬ遅れや失敗は、最初のドミノを倒すようなものです。

多くの場合、問題は障害そのものではなく、障害の伝播にあります。マイクロサービスの世界では、サービスは緊密に結合されているため、1 つのノードの障害が雪崩を簡単に引き起こす可能性があります。このとき必要となるのは、単なる監視アラームではなく、内蔵された「サーキットブレーカー機構」です。問題が広がる前に決定的かつ自動的に一時停止ボタンを押すことができ、障害箇所を特定し、システムの他の部分の健全性を保護します。

この「サーキットブレーカー」とは一体何なのでしょうか？

家庭の電気ボックスにある安全スイッチのようなものと考えることができます。回路が過負荷になり、短絡の危険性がある場合、回路は「トリップ」して電流を直ちに遮断し、ワイヤーの過熱や発火を防ぎます。ソフトウェアの世界、特に .NET Core で構築された分散システムでは、その役割はまったく同じで、特定のサービス (注文クエリ API や支払いインターフェイスなど) への呼び出しを継続的に監視します。

失敗したリクエストの数または応答タイムアウト率が設定した安全しきい値を超えたことを検出すると、サーキット ブレーカーは「クローズ」(通常のフロー) 状態から「オープン」状態に切り替わります。現時点では、その後の短期間における後続のすべてのリクエストは、問題が発生したサービスには実際には送信されなくなりますが、事前に設定されたフレンドリーな失敗応答がすぐに返されます。これにより、リクエスト スレッドが無期限にブロックされることが直接的に防止され、貴重なシステム リソース (スレッドや接続など) が応答しないサービスによって過負荷になることが防止されます。

ちょっと待ってください。これではユーザーがエラーを直接確認できるだけではないでしょうか?

良い質問ですね。しかし、別の観点から考えてみましょう。クラッシュ ページが表示されるまでユーザーに 30 秒待つべきでしょうか、それとも、「サービスが一時的にビジーです。後でもう一度お試しください」というプロンプトをすぐに表示して、可能なバックアップ プラン (キャッシュされた履歴データを返すなど) を提供するべきでしょうか。後者の方が明らかにエクスペリエンスが優れています。サーキット ブレーカーの中心となる哲学は、ゆっくりとハングするのではなく早く失敗し、全体を維持するために一部を犠牲にすることです。これにより、障害が発生したサービスが呼吸して回復する機会が与えられ、同時にシステムの他の機能の継続的な可用性が確保されます。

.NET Core のステージ上で、それをエレガントに見せるにはどうすればよいでしょうか?

サーキット ブレーカーの実装は複雑に聞こえますが、.NET Core エコシステムでは、最初から開始する必要がある "ハードコア プロジェクト" ではなくなりました。重要なのは、適切に設計され、統合が容易で、予測どおりに動作するライブラリを選択することです。考慮すべき実際的な点がいくつかあります。

• 十分に「賢い」のでしょうか？優れたサーキットブレーカーは、単に「オン」または「オフ」にするものではありません。通常、これは「ハーフオープン」状態になります。一定期間の分離の後、ターゲット サービスが復元されたかどうかを検出するために少数のリクエストを解放しようとします。成功すると、回路は閉じられます。失敗しても開き続けます。このプローブ メカニズムは、システムの自己修復機能の鍵となります。
• 管理は簡単ですか？10 秒以内に 5 回失敗するとトリップするなど、トリップを引き起こす重要なパラメータを簡単に調整できますか?それともタイムアウトを2秒に設定しますか?構成の柔軟性によって、さまざまなサービスの重要度レベルに適応できるかどうかが決まります。
• それは既存のテクノロジースタックに適合しますか?多くの基本コードを書き直すことなく、一般的に使用されるサービス通信メソッド (HttpClient など) や依存関係注入フレームワークにシームレスに統合できる必要があります。

より回復力のあるシステム設計思考を採用する

サーキットブレーカーの導入は、技術的な要素を追加するだけでなく、「障害は標準である」ことを認識する設計哲学も採用します。これにより、障害への対応から、回復力を備えた積極的な設計に移行することができます。システムは、常に 100% の可用性を期待することはなくなり、一部のコンポーネントが「異常」になった場合に、適切に機能を低下させ、コア機能の活力を維持する方法を学習します。

これは、.NET Core マイクロサービスにスマートな鎧を着るようなものです。攻撃が消えるわけではありませんが、衝撃が発生したときに力が分散され、最も脆弱なコアが保護されます。各サービスが障害を分離するこの機能を備えている場合、アーキテクチャ全体の回復力が質的に向上します。チームの注意が頻繁な「消火活動」から解放され、新しい価値を生み出す機能にもっと集中できることがわかります。

次回のサービスコールポイントでそのような「安全スイッチ」を取り付ける価値があるかどうかを考え始めてください。外部リソースに依存する最も重要なインターフェイスに注目し、そこから最初の一歩を踏み出します。再び失敗の波が来たとき、事前にこのダムを建設しておいて良かったと思うでしょう。

2005年に設立され、キロパワーは、中国広東省東莞に本社を置く、コンパクトモーションユニットの専門メーカーです。モジュラードライブテクノロジーのイノベーションを活用し、キロパワー高性能モーター、精密減速機、マルチプロトコル制御システムを統合し、効率的でカスタマイズされたスマート ドライブ システム ソリューションを提供します。キロパワーは、スマート ホーム システム、自動エレクトロニクス、ロボティクス、精密農業、ドローン、産業オートメーションなどのさまざまな分野をカバーする製品で、世界中の 500 を超える企業クライアントにプロフェッショナルなドライブ システム ソリューションを提供してきました。