Кратко

  • RFC 8084 требует задать поток или агрегат, измеряемый участок ingress/egress, порог и несколько интервалов, на протяжении которых чрезмерное условие должно сохраняться до срабатывания.
  • Запись о срабатывании подтверждает заданное уменьшение или прекращение трафика в этом участке. Она не называет источник неисправности, не локализует её и не подтверждает восстановление услуги.

В диспетчерской особенно легко принять действие за объяснение. Когда защита ограничила трафик, возникает соблазн написать, что найден узкий участок, виновный источник или завершённый инцидент. Но автоматический предохранитель полезен как раз потому, что способен остановить риск до того, как такая картина доказана. Его запись должна оставаться квитанцией о собственном измерении и действии.

RFC 8084 вышла в марте 2017 года как IETF Best Current Practice BCP 208; её единственный указанный автор — G. Fairhurst. Документ описывает network transport circuit breaker как последнюю защиту, а не как обычный способ управлять перегрузкой. Сначала определён измеряемый участок. Трафик входит в него через один или несколько ingress и выходит через один или несколько egress. Внутри него наблюдается конкретный transport flow либо aggregate. Настроенный порог рассматривается в последовательности measurement intervals. Недостаточно одиночного всплеска: чрезмерное условие должно держаться несколько интервалов.

После этого реакция удаляет трафик из измеряемого участка — прекращает его либо существенно снижает скорость.

Это уже точный операционный факт. Система может сообщить, что в заявленной области, для объявленной популяции и заданной временной последовательности выполнила своё правило и действие. Сохранённые границы, ключ агрегата, версия порога, интервалы и реакция позволяют проверить эту запись. Они не добавляют ей диагноз.

Сама RFC не разрешает такого добавления. Среди возможных факторов устойчивой чрезмерной перегрузки названы аномальный трафик, ёмкость, использованная для других задач, изменение маршрутизации, ошибочно настроенная служба или сетевое устройство, admission controller и policer. Это разные возможности, а не готовые ответы для любого срабатывания. В документе сказано, что во многих случаях причина не видна у источника; приложение может не узнать ни о самом срабатывании, ни о месте в сети, где оно произошло.

Следовательно, запись не доказывает перегрузку конкретного линка, вину конкретного отправителя или одинаковое состояние всех потоков на общем пути. Она не измеряет доступную ёмкость и не описывает опыт пользователя. Она не показывает, что обычный контроль перегрузки непременно отказал. И падение скорости после действия ещё не является квитанцией о восстановлении: автомат мог сократить только наблюдаемый им трафик, тогда как условие осталось или сместилось.

Подход Heng Lu к минимальной исходной спецификации и приоритету работающего кода здесь означает простую дисциплину: механизму приписывается только то, что он способен детерминированно проверить на своём уровне. Счётчик отвечает за счётчик и реакцию. Топология, очереди, история конфигурации, удалённая сторона и пользовательская услуга требуют собственных наблюдений. Никакая формулировка тревоги не объединяет эти уровни доказательства.

Так срабатывание становится не слабым сигналом, а правильной начальной точкой воспроизводимого расследования. Сначала фиксируются границы измерения и действие; затем независимые данные должны ответить на вопросы о причине, месте, последствиях и восстановлении.

Источники