brownouts reveal system boundaries
a day ago
- 无限可用性是不可能的；过度依赖像Cloudflare这样的超大规模服务商只会将系统依赖性隐藏起来，直到故障发生。
- 级联依赖性可能造成大范围故障，正如金融科技领域的灾难所示，这会影响企业和个人。
- 备用计划至关重要，且不必复杂——简单的故障切换或离线副本就可以降低风险。
- 降电压运行和混沌工程（例如Google的内部降电压测试、Netflix的混沌猴子）强制持续测试错误处理能力，并暴露隐藏的缺陷。
- 提议强制服务提供商每年进行停机演练，以防止系统架构假设无限可用性。