在复杂系统里导航

一句话

你以为事故的起点是「某个人犯了错」。这一章要换掉的正是这个起点：把系统推向失效的三股力——省成本、省力气、追业务——每一股单独看都完全正当，而三条边界里只有「安全」这一条不会在越界之前给你任何疼痛反馈。于是漂移（drift）不是失职，是这套受力结构的必然解。本章用两个模型把 Ch1 的「推不出来」升级成「所以必须亲手造一个安全信号」——这就是混沌工程存在的理由本身。

Glossary · 术语表

坐标

全书 21 章的第 2 章，Part I「铺垫」的中间一章，是 Ch1 与 Ch3 之间的桥：Ch1 的前提是「复杂系统推不出来」，Ch3 才给五条原则，这一章回答中间那个问题——那系统为什么还会越来越危险、我该把力气花在哪。动态安全模型并非凭空发明，它来自 Rasmussen 的韧性工程，本章把它搬进软件语境。现实里它对着的，是任何一个「长期没出事、于是不断砍冗余和演练」的组织。

这章要解决什么

Ch1 证明了「整体行为推不出来」，但留下一个洞：如果没人动手破坏它，系统为什么会自己变危险？

这个洞不填，你会得出一个很贵的结论：长期没出事 = 当前很安全。把场景摆具体就知道有多贵。某个服务跑了 18 个月零事故，于是四件事顺理成章地发生了：备用区域常备容量从 100% 降到 30%（一年省掉七位数机器钱，而且「反正从没切过」）；季度故障演练因挤占迭代被取消；超时与重试参数是三年前设的，再没人核过；熔断器配好了但从没真跳过。

这四个决定里没有一个是错的。每个都有当期收益、都有数据支持——确实省钱了、确实多发了功能、确实 18 个月没出事。

然后真正的区域故障来了。30% 常备容量要接住 100% 流量，扩容需要几分钟；这几分钟里重试风暴先把剩下的容量打满；熔断器第一次真跳，它的半开探测又把刚缓过来的下游打死一次。一次事故把四个「正确决定」同时结清。

本章要解决的就是这个：给出「系统为什么会漂」的受力机制，以及工程上该在哪里加反向力。不解决会怎样——可靠性预算永远在事故后一个月最充足、之后逐月被蚕食，然后周期性撞墙。

核心内容，讲透

三根橡皮筋：经济、工作量、安全

本章把 Rasmussen 的模型改写成一个很好记的画面：一个工程师站在中间，被三根橡皮筋分别拴向经济（Economics）、工作量（Workload）、安全（Safety）三个方向。他可以在这个空间里走动、把橡皮筋拉长；但离某个方向太远，那根就会崩断。三根断掉分别长这样：

• 经济崩断：为了保可靠买了三倍冗余、两个灾备区域、一支只做演练的团队——然后被成本评审一刀砍掉，或公司没活到用上它那天。
• 工作量崩断：变更三级审批、每次发布手工演练、告警不分级全量上报——工程师开始绕过流程，或者离职。注意失效形态：不是「大家更谨慎了」，是流程被悄悄旁路，而看板上一切照旧。
• 安全崩断：事故。

关键的不对称在这里：经济和工作量这两根在崩断之前就一直在拉你——成本报表每月提醒一次，on-call 疲劳每周提醒一次，疼痛连续且即时。安全这根没有。你可以朝它的反方向走很久，它一声不响，直到崩断。

为什么漂移是必然的，而不是谁的失职

把这条不对称翻译成受力分析，就是本章最硬的结论：三个方向里有两个有稳定的梯度把你往外推，只有安全方向缺一股把你拉回来的反向梯度。

• 推你离经济边界的力：成本优化、效率指标、季度 OKR。每天都在。
• 推你离工作量边界的力：人总会找更省力的路径——去掉一个步骤、复用一份现成配置、把两项检查合并。每天都在。
• 把你拉回安全边界内的力：只有事故，以及事故后那几周。

两股常在的力，加一股只在事故后短暂出现的力，合力方向只有一个。所以漂移不是失职，是这套受力结构的必然解——这直接推翻了复盘会上那句「他本该更小心」：在唯独安全方向缺反馈的系统里，「更小心」是个没有支点的要求。它还解释了一个常见现象：可靠性投入曲线总是锯齿形的。大事故后拿到预算和注意力，接着 6–12 个月被成本与交付节奏逐月蚕食，然后再撞一次。锯齿不是文化问题，是缺反向梯度的几何结果。

混沌工程在这张图上的位置：造一个安全梯度

于是本章给混沌工程一个很精确的定位——它不是用来找 bug 的，是用来给安全边界装一个平时也能感知的信号。

机制说白了：在可控条件下主动制造一次故障，系统的真实反应就是一次对「我离安全边界还有多远」的测量。它把安全从「只在越界那刻出现的离散事件」变成平时就读得到的连续量——那根一直缺着的反向梯度。

落到具体：一次计划内的区域撤离演练，测出 30% 常备容量下扩容要 7 分钟，而重试风暴 40 秒就能把剩余容量打满。这两个数字现在和成本报表上的数字处在同一张桌子上、可以吵架了。安全之所以在预算会上总输，不是因为大家不重视，而是它过去拿不出和成本、交付同量纲的数字。

诚实补一句代价：这根梯度是花钱买来的——演练占人力、占环境，在生产上做就一定波及一部分真实用户；Ch4 到 Ch8 大半篇幅都在讲怎么把这部分代价压到最小。

复杂度的四根经济支柱

本章第二个模型回答另一个问题：既然复杂度削不干净（Ch1 的结论），它到底由什么撑着？四根柱子：

• 状态（state）：系统可能处于的不同情形有多少。一个功能开关就把状态空间乘二，20 个独立开关就是约一百万种组合，真正被测过的是个位数条。
• 关系（relationships）：组件之间互相调用、依赖的连接有多少。Ch1 算过：组件线性涨，两两关系按 n(n-1)/2（任取两个配成一对的数量）平方涨。
• 环境（environment）：边界之外、你控制不了却会影响你的东西——用户行为、第三方 API、云厂商底层、监管、流量突发。
• 可逆性（reversibility）：出错之后，系统能不能、多快回到出错前的状态。

叫「经济支柱」是因为前三根的高度不由工程决定，是业务买单换来的：多一个功能 = 多一堆状态，多接一个渠道 = 多一堆关系，进一个新市场 = 多一片环境。它们涨恰恰说明产品在成功——这正是 Ch1 那句「复杂度是成功的副产品」。

可逆性：唯一能当工程目标的那根

本章的实操结论很锐利：前三根你只能被动接受，第四根才是你真正的杠杆。

顺着可逆性排，该买什么就清楚了：一键回滚、不可变部署（immutable deployment，新版本另起一批机器而不是原地改）、金丝雀发布、功能开关（出事直接关掉这个功能，不必回滚整版）、蓝绿切换、数据迁移先双写再切读。它们解决的都不是「这次别出错」，而是「出错后 2 分钟内回到原样」。

最容易被跳过的要点：可逆性必须被验证过才算存在。没执行过的回滚脚本、没真切过的灾备区域、配好但没跳过的熔断器，账面上都算可逆性，实际全是未验证的假设。这正是混沌工程和这根柱子接上的地方——演练就是在量它的真实高度。

另一个常被忽略的形态：可逆性不只在部署层，也在请求层。撑不住时主动砍掉推荐、评论、个性化，只保住下单主干——优雅降级就是在请求层临时把状态空间收窄、把关系数砍掉。

关键权衡与选型

三条边界的对策，核心差别在「平时有没有反馈」：

全部信息量在第三列：三条边界里只有一条需要你花钱给它装一个仪表。

四根支柱怎么处理，决定了工程预算该往哪投：

什么场景该怎么选，判据可以落得很具体：

• 18 个月零事故、正在砍冗余和演练。本章最典型的危险信号。零事故不是安全证据，只是「橡皮筋还没断」。先把一次撤离演练排进季度，拿到那个分钟数。
• 流程已重到工程师开始绕过。你撞的是工作量边界，不是安全边界。继续加审批只会让旁路更隐蔽；该做的是把检查自动化成护栏，让安全的路同时是最省力的路。
• 十几个人的初创公司、还没找到 PMF。经济边界离你最近，此时把钱砸在混沌平台上是成本错配。该买的是最便宜的那部分可逆性——一键回滚和功能开关。
• 强监管行业（支付清算、医疗、车辆）。可逆性上限由外部规则定——资金已清算就是不可逆。那就把力气放在不可逆操作之前那一段：审批、双人确认、幂等、对账。合规下怎么起步是 Ch8（Capital One）的主题。

为什么重要 / 落到真实系统

这一章最实用的产出是一句能在成本评审会上用的话：「我们 18 个月没出事」不是安全的证据，只是「还没越界」的证据。面试被问「你怎么推动可靠性投入」，答「把安全变成和成本同量纲的数字——错误预算，加演练测出的真实恢复时间」，比答「我会强调可靠性很重要」高一个层级。

易错点与争议

• 把漂移当成个人失职。受力分析说明漂移是结构的必然解。复盘里出现「他本该更小心」，通常意味着你还没找到那个缺反馈的方向。
• 把「我们从没出事」当安全证据。它只证明橡皮筋还没断。在缺反向梯度的系统里，无事故期和漂移期是同一段时间。
• 误以为这章在喊「加大安全投入」。恰恰相反：任何一根橡皮筋崩断都是失效，安全投入过度会崩断经济那根。本章要的是一个可谈判的信号，不是一边倒。
• 把可逆性写进文档就当拥有了它。没执行过的回滚、没切过的灾备、没跳过的熔断器都只是假设——Knight Capital 的 45 分钟就是它被当场否证。
• 模型本身的争议：三条边界和四根支柱都不可量化。这是对本章最有力的反驳。Rasmussen 的模型是定性隐喻，它告诉你往哪看，不告诉你现在离边界几米；错误预算只量化了其中一小块。把它当地图用，别当仪表盘用。
• 跨领域搬用要打折。这模型出自核电、航空、流程工业——那些领域失效不可逆、反馈周期以年计。软件的可逆性通常好得多（这正是第四根柱子有杠杆的原因），照搬会过度悲观；但「安全方向缺反馈」是跨领域成立的。

要点