요약

  • RFC 8084는 서킷 브레이커가 측정된 인그레스/이그레스 구간 내에서 정의된 플로우 또는 애그리게이트를 관찰하고, 여러 측정 구간에 걸쳐 임계값과 비교하며, 과잉 상태가 지속될 때에만 반응하도록 요구합니다.
  • 트립이 발생했다는 사실은 고장의 원인도 위치도 증명하지 못합니다. RFC는 원인이 발신 지점에서 명확하지 않을 수 있으며, 애플리케이션이 브레이커가 작동했는지 또는 어디에서 작동했는지 알지 못할 수 있음을 명시적으로 인정합니다.

운영 화면은 트립을 하나의 설명처럼 보이게 만들 수 있습니다. 상태 줄 하나가 빨간색으로 바뀌고, 플로우가 중단되며, “혼잡 이벤트”라는 문구가 범인을 제공하는 듯 보입니다. 그러나 그렇지 않습니다. 서킷 브레이커는 의도적으로 좁게 설계된 안전 장치입니다. 그 강점은 시스템 전체에 대한 완전한 이론을 기다리지 않고도 경계가 정해진 측정값이 정의된 선을 넘었을 때 작동할 수 있다는 점입니다. 위험이 시작되는 지점은 그 작동이 바로 그 빠져 있는 이론으로 보고될 때입니다.

Gorry Fairhurst가 집필한 2017년 3월의 IETF Best Current Practice인 RFC 8084는 결정보다 여러 구체적 사항을 앞세웁니다. 트래픽은 하나 이상의 인그레스 지점에서 측정 구간으로 들어와 하나 이상의 이그레스 지점에서 나갑니다. 브레이커는 그 범위에서 지정된 전송 플로우 또는 애그리게이트를 감시합니다. 구성된 임계값을 측정 구간에 걸쳐 적용하며, 임계값 조건이 여러 구간에 걸쳐 지속되어야 서킷 브레이커가 작동합니다. 대응은 측정 구간에서 트래픽을 제거하는 것으로, 트래픽을 종료하거나 그 속도를 상당히 줄일 수 있습니다.

이것만으로도 의미 있는 영수증입니다. 이 측정기가 이 선언된 트래픽과 이 측정 창에서 지속적인 과잉을 충분히 관찰해 명시된 보호를 실행했다고 말할 수 있습니다. 임계값, 구간, 범위, 반응에 대한 검토를 지원할 수 있습니다. 그러나 그러한 조건 너머로 관할권을 조용히 확장할 수는 없습니다.

RFC 자체가 절제의 이유를 제시합니다. 지속적인 과잉 혼잡에는 서로 다른 원인이 있을 수 있습니다: 비정상 트래픽, 다른 용도로 쓰이는 용량, 라우팅 변경, 잘못 구성된 서비스, 네트워크 장치, 어드미션 컨트롤러 또는 폴리서. 이 목록은 로그 한 줄이 답을 하나 고를 수 있는 진단 메뉴가 아닙니다. RFC 8084는 많은 경우 원인이 발신 지점에서 명확하지 않다고 말합니다. 또한 애플리케이션이 브레이커가 작동했는지, 네트워크의 어디에서 작동했는지 학습하지 못할 수 있음도 인정합니다.

따라서 트립은 특정 링크가 포화 상태였다는 것, 원격 당사자가 잘못 행동했다는 것, 인그레스가 문제의 근원이었다는 것, 같은 경로를 공유한 모든 플로우가 동일한 조건을 겪었다는 것을 입증할 수 없습니다. 사용자 경험을 측정하지 않고, 용량을 정량화하지 않으며, 어떤 트래픽이 밀려났는지 보여주지 않고, 일반적인 혼잡 제어가 실패했다고 인증하지도 않습니다. 트래픽 감소가 성공했다는 것 역시 회복을 증명하지 않습니다. 브레이커가 작동해 속도가 떨어졌지만 근본 조건이 다른 곳에서 계속될 수 있으므로, 회복 판정에는 그 자체의 시간 한정 관찰이 필요합니다.

이 구분이 중요한 이유는 안전 제어가 종종 감당할 수 없는 거버넌스 주장을 떠안게 되기 때문입니다. 브레이커는 네트워크 의도의 판사가 아닙니다. 경로 지도도, 근본 원인 엔진도 아닙니다. 인시던트 기록에 “해결됨”이라고 쓸 허가도 아닙니다. 명시적으로 구성된 관찰에 대한 국소적 반응일 뿐입니다.

Lu Heng의 Minimum Initial Specification과 Running-Code Primacy는 여기서 유용한 편집 기준을 제공합니다. 실행 중인 메커니즘이 실제로 검증할 수 있는 작고 결정론적인 의미를 보존하되, 그 기록에 다른 메커니즘이 보유한 증거의 권위를 부여하지 마십시오. 브레이커는 자신의 측정기와 반응에 대해 설명할 수 있습니다. 토폴로지 텔레메트리, 큐 관찰, 트래픽 분석, 구성 이력, 원격 엔드포인트, 사용자 대면 시스템은 각자의 사실에 대해 설명해야 합니다.

이것은 트립을 약하게 만들지 않습니다. 감사 가능하게 만듭니다. 조사는 정확한 인그레스/이그레스 정의, 플로우 또는 애그리게이트 키, 구간 시퀀스, 임계값 버전, 정확한 반응에서 시작할 수 있습니다. 그리고 원인, 위치, 영향, 회복에 대한 증거로 조사를 끝내는 것이 아니라 계속 이어가야 합니다.

출처