解读

面试官想通过“首次”“最小爆炸半径”“稳态指标”三个关键词，验证候选人是否具备把混沌工程从概念落到实处的工程化能力。国内金融、电商、运营商等甲方对“可控、可回滚、可审计”有硬性合规要求，任何一次实验都必须能解释“影响范围有多小”“怎么证明系统没坏”。因此，回答要体现“先保命、再验证、后推广”的落地节奏，并给出可复制的量化方法。

知识点

1. 爆炸半径（Blast Radius）：一次故障注入事件所能触达的业务域、技术栈、用户群体、数据面与管控面的最大范围。
2. 最小化原则：首次实验必须满足“可灰度、可隔离、可快速熔断”，通常用“环境→集群→节点→进程→线程”五级分层模型逐级缩小。
3. 稳态指标（Steady State Metrics）：在实验前后与实验过程中持续采样，用于证明“系统行为未偏离预期”的量化指标集合，必须同时覆盖黄金信号（Latency、Traffic、Errors、Saturation）与业务KPI。
4. 国内合规三板斧：变更工单、灰度标签、应急预案；缺少任一环节，审计直接打回。
5. 工具链现状：阿里MonkeyKing、腾讯云Chaos、字节Bit Chaos、开源ChaosMesh/Litmus，均支持“命名空间级”隔离，但首次实验建议用“进程级”故障模拟，避免直接打内核。

答案

一、选取最小爆炸半径的六步法

1. 选环境：必须先在“性能灰度区”或“影子库”环境，禁止直接上生产。
2. 选业务：找一条“可降级、无资金、无合规强一致性”的只读链路，例如商品详情浏览。
3. 选流量：用压测平台回放线上5%的真实流量，确保QPS与峰值一致，但用户无感知。
4. 选层级：首次注入点放在“应用进程级”，例如用chaosblade对目标Pod做一次本地CPU满载80%、持续60s的实验；不碰网络分区、不杀节点。
5. 选隔离：给目标Pod打“chaos=first”标签，同时配置PaaS层“一键隔离”脚本，30秒内可将该Pod从SLB摘除。
6. 选兜底：提前在NOC值班群报备，实验窗口选在工作日低峰10:00-11:00，保留“kubectl delete chaosengine”一键撤销命令，确保MTTR<5分钟。

二、定义稳态指标的“4+2”模型

1. 黄金信号
   a. Latency：P99接口RT < 500 ms（商品详情主接口）。
   b. Traffic：灰度集群QPS波动范围 ±5%。
   c. Errors：HTTP 5xx 比例 < 0.1%。
   d. Saturation：Pod CPU利用率 < 60%，内存 < 70%。
2. 业务KPI
   a. 转化率：详情页→加购转化率下降不超过基线的2%。
   b. 日志异常：错误日志关键字“NullPointer”“Timeout”新增条数 = 0。

三、落地模板（可直接写进方案）
“本次混沌实验对象：商品详情域，爆炸半径=灰度集群内1个Pod，故障类型=CPU满载80%，持续60s。稳态指标基线采集窗口为实验前30分钟，采样周期10s；实验过程中一旦P99 RT>500 ms或5xx>0.1%或转化率下降>2%，立即触发自动回滚，NOC值班人员需在5分钟内完成故障公告与复盘工单录入。”

拓展思考

1. 如何把“最小半径”演进到“全链路”：当单Pod实验连续3次通过，可升级为“同可用区全副本”实验，再升级为“跨可用区网络延迟100ms”实验，每次升级前必须更新“故障影响面矩阵”并通过SRE委员会评审。
2. 稳态指标的动态基线：大促期间转化率天然波动，可用“上周同比”替代“绝对阈值”，结合3σ原则自动调整上下界，避免误报。
3. 审计与复盘：国内银行一般要求“实验结论+监控截图+变更工单+复盘报告”四件套，复盘报告必须给出“性能损耗余量”——即实验导致的RT增加绝对值占SLA余量的百分比，超过20%则需重新评估架构。