Quando os microsserviços ficam "silenciosos" repentinamente, seu sistema está bem?

Imagine o seguinte: às três da tarde, seu telefone vibra de repente. Não é um despertador, mas uma mensagem de texto de alarme. Para a plataforma de pagamento on-line pela qual você é responsável, a resposta de um determinado serviço principal é tão lenta quanto um caracol e a taxa de falhas nas transações disparou. A equipe conduziu uma investigação de emergência e descobriu que o banco de dados estava normal e a rede estava funcionando perfeitamente. Eles descobriram que um serviço de pontos dependentes estava fora do ar, causando o colapso de todo o link de pagamento. Parece familiar?

Este cenário é quase rotineiro na arquitetura de microsserviços. Os serviços ligam entre si para formar uma rede complexa. Mas quando algo dá errado em um determinado link, é como um dominó, e as falhas se propagarão camada por camada até que todo o sistema seja derrubado. Você pode estar pensando: não há como evitar isso?

Por que precisamos de "freios"

Em aplicações monolíticas tradicionais, as falhas geralmente estão localizadas dentro de um módulo. Mas os microsserviços são distribuídos. Se um serviço falhar, o serviço que o chama ainda poderá estar aguardando uma resposta, ocupando threads e recursos. Rapidamente, os recursos esgotaram-se e os serviços de saúde foram sobrecarregados. Isso é chamado de "falha em cascata".

Como resolver isso? Na verdade, a ideia não é nova. Existe um dispositivo chamado “disjuntor” no circuito, que desliga automaticamente quando a corrente é anormal para evitar que o equipamento queime. Mover esse conceito para o código é o disjuntor de microsserviço - monitoramento de chamadas de serviço. Quando a falha atinge o limite, a solicitação é temporariamente interrompida e a resposta predefinida é retornada diretamente para dar tempo ao serviço com falha para respirar.

potênciaPrática: não apenas uma mudança

Um disjuntor parece uma simples chave, mas na prática, o sucesso ou o fracasso são determinados pelos detalhes. Por exemplo, quando devemos “viajar”? Quantas vezes você falha? Quanto tempo após a desconexão devo tentar restaurar? Como fechar suavemente o disjuntor se o teste semiaberto for bem-sucedido?

Vimos muitas equipes escreverem seus próprios disjuntores e ficarem atoladas em monitoramentos mais complexos. Configuração manual de limites, tempo de recuperação estática, falta de perspectiva global... Então,potênciaMuito tempo foi gasto polindo esta peça. Em nossa solução, o disjuntor pode ajustar dinamicamente sua estratégia e aprender automaticamente os limites com base na carga em tempo real e nos padrões de resposta. Ele não apenas bloqueia o tráfego, mas também coopera com estratégias de repetição e downgrade para formar uma camada de proteção elástica.

Alguém perguntou: “Adicionar isso introduzirá uma nova complexidade?” Claro que sim. Mas comparado a ser acordado por um alarme no meio da noite, é obviamente mais econômico gastar duas horas para localizar uma falha em expansão e usar ferramentas para gerenciar antecipadamente essa complexidade. Assim como você não se recusaria a usar um airbag porque ele poderia disparar acidentalmente - a chave não é a perfeição absoluta, mas sim riscos controláveis.

Do código à operação e manutenção: a rede protetora invisível

Para implementar um disjuntor, existem vários padrões técnicos comuns. Alguns estão integrados no lado do cliente e cada chamador de serviço toma sua própria decisão; alguns inserem proteção de forma transparente por meio de proxies secundários; e alguns estão integrados em gateways de API para controle de tráfego unificado.potênciaA melhor opção é fornecer SDK leve e plug-ins de tempo de execução, permitindo que a equipe faça combinações flexíveis de acordo com a arquitetura real.

Mas por melhor que seja a ferramenta, ela deve ser usada no lugar certo. Muitas vezes aconselhamos os clientes a começarem aos poucos: quais serviços são os mais críticos? Quais dependências são mais instáveis? Implante primeiro os disjuntores desses pontos e observe o efeito. Depois de coletar os logs por um período de tempo, promova-os gradualmente para outros serviços. Você descobrirá que alguns serviços são inerentemente “frágeis” e exigem proteção mais rigorosa; alguns são muito robustos e podem ser configurados de forma mais flexível.

Curiosamente, os disjuntores não são apenas à prova de falhas, mas também podem servir como fonte de dados para monitoramento. Cada registro de viagem implica uma mudança na confiabilidade de uma determinada dependência. No longo prazo, esses dados podem ajudá-lo a identificar elos fracos em sua arquitetura e orientar ou refatorar decisões.

Pensando fora da tecnologia: como ela muda os hábitos da equipe

Após a introdução dos disjuntores, ocorre frequentemente um fenômeno: a equipe de desenvolvimento será mais proativa na definição de “planos de downgrade”. Qual valor padrão é retornado quando o serviço está indisponível? Quanto tempo duram os dados armazenados em cache? Como ajustar a interface do usuário? Esses problemas podem ter sido ignorados antes, mas agora eles precisam pensar no futuro devido à necessidade de configurar retornos de chamada do disjuntor.

Isto promove implicitamente uma cultura de design mais resiliente. A equipe começa a se acostumar com a realidade de que “os serviços sempre falharão” e reserva caminhos para enfrentamento no código. No longo prazo, esta mudança de pensamento é mais valiosa do que a própria ferramenta.

escrito em

Os microsserviços dividem o sistema, mas também distribuem o risco de falha. Um disjuntor não é uma solução mágica. Não pode impedir que os serviços caiam, mas pode evitar que falhas locais se transformem em paralisia global. Assim como o cinto de segurança de um carro, você não precisa dele na maioria das vezes, mas em momentos críticos você sabe que ele está lá.

Boas soluções técnicas tendem a ser assim: não exibem complexidade, mas lidam silenciosamente com problemas irritantes, mas importantes. À medida que sua rede de microsserviços se torna cada vez maior, você também pode se perguntar: da próxima vez que uma determinada dependência "silenciar" repentinamente, seu sistema seguirá o silêncio ou mudará graciosamente sua postura e continuará funcionando?

A Kpower acredita que um sistema confiável não significa nunca cometer erros, mas sim ser decente quando cometem erros. E isso requer preparação a partir de cada linha de código.

Fundada em 2005, a Kpower tem se dedicado a ser um fabricante profissional de unidades de movimento compacto, com sede em Dongguan, província de Guangdong, China. Aproveitando inovações em tecnologia de acionamento modular, a Kpower integra motores de alto desempenho, redutores de precisão e sistemas de controle multiprotocolo para fornecer soluções de sistemas de acionamento inteligentes eficientes e personalizadas. A Kpower forneceu soluções profissionais de sistemas de acionamento para mais de 500 clientes empresariais em todo o mundo, com produtos que abrangem vários campos, como sistemas domésticos inteligentes, eletrônica automática, robótica, agricultura de precisão, drones e automação industrial.