Quando seu microsserviço "quebra" repentinamente: por que o tratamento de exceções globais não é mais opcional?

Imagine esta cena: tarde da noite, a linha de produção para repentinamente. Não havia alertas vermelhos nas telas de monitoramento, mas os logs estavam cheios de mensagens de erro confusas. Três serviços diferentes relataram erros ao mesmo tempo, mas a causa raiz estava escondida no quarto cantinho. A equipe passou seis horas solucionando problemas e finalmente descobriu que era apenas uma questão de parâmetros de configuração. Isso acontece com muita frequência, certo?

Os microsserviços trazem flexibilidade, mas também espalham os pontos de falha por toda parte. Um problema pode ser como um dominó, com um leve empurrão e todo o sistema estremece. Neste momento, você pensará: seria ótimo se houvesse um “centro de controle de tráfego aéreo” unificado que pudesse detectar instantaneamente todas as anormalidades e dizer-lhes para onde ir e como lidar com elas.

Tratamento global de exceções: não apenas capturando erros, mas reconstruindo a ordem

Muitas pessoas pensam que o tratamento de exceções é apenas escrever try-catch. Mas no mundo distribuído, é mais como construir uma rede de segurança - esta rede é inteligente o suficiente para distinguir entre “a rede ocasionalmente treme” e “o banco de dados está completamente fora do ar”. Isto é o que o tratamento global de exceções faz: ele está no topo de todos os serviços e usa uma linguagem unificada para traduzir todos os sinais caóticos.

Por exemplo: o serviço de pagamento expira quando o usuário faz um pedido. Quão ruim seria a experiência se o serviço de pedidos lançasse diretamente um “500 Erro Interno” para o usuário? Mas se houver processamento global, ele poderá tentar novamente o pagamento automaticamente ou mudar para canais alternativos, ao mesmo tempo em que fornece ao usuário um aviso amigável de “processamento”. O problema foi resolvido e o usuário nem percebeu que havia uma falha nos bastidores.

Qual é a aparência de uma solução útil de tratamento de exceções globais?

Tem que ser leve. Você não pode sobrecarregar muito o sistema para gerenciar exceções. Deveria ser como um sensor no ar, funcionando silenciosamente e só ligando quando algo dá errado.

Precisa ser capaz de falar a “linguagem humana”. Converta exceções técnicas em informações que o pessoal de negócios possa entender: não "NullPointerException na linha 245", mas "Falha na consulta de inventário, é recomendado verificar o status do serviço de inventário do ID do produto 12345". Dessa forma, o plantonista pode agir rapidamente, sem folhear o código.

Além disso, precisa ser classificado. Classifique as exceções em níveis: aquelas que são apenas lembretes, aquelas que exigem uma ligação imediata e aquelas que podem esperar até de manhã. É como o balcão de triagem de emergência de um hospital, onde os recursos são utilizados onde são mais necessários.

- e provavelmente o mais importante - tem que ter memória. Pode registrar padrões de ocorrência anormais: Isso sempre acontece às três horas da manhã todos os dias? Ele aparece sempre que um novo recurso é adicionado? Esses padrões são mais valiosos do que erros individuais.

potênciaEu tenho uma ideia um pouco diferente sobre esse assunto

Conversamos com muitas equipes e descobrimos que o mais doloroso para elas muitas vezes não é a implementação técnica, mas “como fazer esse mecanismo realmente funcionar”. Muitas soluções são perfeitamente desenhadas, mas a configuração é tão complexa que ninguém quer mantê-las e são gradualmente abandonadas.

entãopotênciaA ideia é: deixe-o adaptar-se ao seu sistema, em vez de você se adaptar a ele.

Por exemplo, nosso módulo de processamento aprenderá automaticamente seus links de chamadas entre serviços. Quando o serviço de pedidos não consegue chamar o serviço de pagamento, ele não apenas registra a “exceção do serviço de pagamento”, mas também a associa ao ID do pedido, ao ID do usuário e até mesmo ao histórico de operações das etapas anteriores. Ao solucionar problemas como esse, você não vê um erro isolado, mas uma história com contexto.

Outro detalhe: não adotamos uma estratégia de repetição do tipo "tamanho único". Tentar novamente para alguns erros é inútil (como erros de permissão) e tentativas repetidas derrubarão o sistema.potênciaO mecanismo de tomada de decisão decidirá dinamicamente se deve tentar novamente, interromper ou degradar com base no tipo de exceção, frequência de ocorrência e até mesmo na carga do sistema no momento. É como ter um motorista experiente ajudando você a tomar decisões.

Alguém perguntou: “Isso tornará o serviço dependente deste centro de processamento?”

Boa pergunta. Na verdade, o tratamento global de exceções não deve ser um ponto único de falha. No projeto da Kpower, cada serviço ainda possui recursos básicos de autoproteção – como detectores de fumaça em todos os cômodos e um sistema de alarme central para todo o edifício. Se o sistema central falhar, o sistema local ainda poderá funcionar; se o sistema local não conseguir capturá-lo, o sistema central compensará. Os dois são colaborativos, não dependentes.

Descobrimos também que muitas equipes gastam muito tempo “criando rodas” no tratamento de exceções: definindo códigos de erro, projetando formatos de log, escrevendo regras de alarme... Essas tarefas repetitivas podem, na verdade, ser padronizadas. Kpower fornece um conjunto de modelos que funcionam imediatamente, mas o mais importante é que esses modelos podem ser adaptados à medida que seu negócio cresce. Quando você expande de uma dúzia para centenas de serviços, as regras de processamento podem evoluir automaticamente, em vez de ser necessário reinventar a roda.

No mundo dos microsserviços, estabilidade não significa não cometer erros, mas ser capaz de se recuperar normalmente quando erros são cometidos.

Afinal, qualquer sistema terá exceções. Não é realista buscar “zero erro”, mas é totalmente viável buscar “os erros não se espalham, não afetam a experiência do usuário e podem ser localizados rapidamente”. O tratamento global de exceções ajuda a construir essa resiliência.

É um pouco como comprar um seguro para sua arquitetura de microsserviços: você não sente sua existência em momentos normais, mas só sabe o quanto isso é importante quando algo dá errado. E este seguro irá atualizar-se: quanto mais complexo for o sistema, mais experiência acumulará e mais sofisticado se tornará no seu manejo.

Um cliente compartilhou uma história conosco: depois de lançar um novo recurso, de repente recebeu vários alarmes no início da manhã. De acordo com a prática anterior, a equipe deveria se levantar e verificar os registros um por um. Mas naquele dia, o e-mail de alarme anexou diretamente uma análise: “A chamada de serviço recomendada recém-lançada expirou porque o conjunto de threads de serviço dependente estava cheio, o que se suspeitava ser causado por um aumento repentino no tráfego. A equipe seguiu as instruções e resolveu a batalha em vinte minutos. Depois, eles disseram: “Parecia que havia um companheiro invisível de plantão”.

Então, volte ao início da noite quando a linha de produção foi desligada

Se houver tratamento de exceção global, a história pode ficar assim: o monitoramento identifica imediatamente a origem do problema – o erro de configuração de cache de um determinado microsserviço. O sistema tenta reiniciar automaticamente o serviço com a configuração antiga e avisa o responsável. A linha de produção parou por apenas três minutos e todo o processo foi registrado com um cronograma completo. A equipe concluiu facilmente a revisão e o reparo na manhã seguinte.

O objectivo da tecnologia não é libertar a mão-de-obra do trabalho repetitivo e mecânico de combate a incêndios e permitir que as pessoas façam coisas mais valiosas? O tratamento de exceções parece ser uma função em segundo plano, mas determina diretamente se o seu sistema é "frágil e delicado" ou "resistente e confiável". No mundo de hoje, onde os microsserviços estão sendo divididos em pedaços menores, essa resiliência pode ser mais importante do que quaisquer novos recursos.

Afinal, os usuários nunca irão elogiá-lo pela tecnologia avançada que você usa, mas com certeza irão embora porque o sistema trava repentinamente.

Fundada em 2005, a Kpower tem se dedicado a ser um fabricante profissional de unidades de movimento compacto, com sede em Dongguan, província de Guangdong, China. Aproveitando inovações em tecnologia de acionamento modular, a Kpower integra motores de alto desempenho, redutores de precisão e sistemas de controle multiprotocolo para fornecer soluções de sistemas de acionamento inteligentes eficientes e personalizadas. A Kpower forneceu soluções profissionais de sistemas de acionamento para mais de 500 clientes empresariais em todo o mundo, com produtos que abrangem vários campos, como sistemas domésticos inteligentes, eletrônica automática, robótica, agricultura de precisão, drones e automação industrial.