文|张化仁（花名：花伦 )
网商银行根底技术架构部架构师
校对|阚广稳 (花名：空门)
本文 4832 字 浏览 10 分钟
|引言|
微服务架构下，服务之间的调用盘根错节，一个利用可能会承载着多种不同的业务流量。因为运行在同一个利用过程内，多种业务流量之间势必会存在相互影响的状况。
如果某种业务流量陡增，导致利用过程负载激增，进而申请排队，其它业务流量也势必会受影响。少数时候这种相互影响的状况都是在容忍范畴以内或者能够躲避的，特定场景下咱们可能就须要思考通过隔离某些业务流量的形式，来打消业务之间相互影响的危险：
- 例如，当后盾调度型的流量影响了在线用户申请；
- 再如，当低敏的甚至可失败的业务影响了高敏的须要重保的业务。
业务链路隔离的诉求是业内普遍存在的。通常的计划是新创建一个利用，而后将须要隔离的业务迁徙到这个新利用上。
新建利用的形式，研发运维等都须要付出成倍的老本，相干利用还须要配合革新和迁徙。对于只有单个利用须要创立的状况或者还能勉强承受，网商银行局部利用例如高保极简网关、高保客户视图等以后就是采纳的这种计划。这种形式是十分轻便的，而且当咱们冀望特定业务关联的整条链路上的多个利用都进行业务隔离的话，这种计划的老本将非线性回升进而变得难以承受。
云原生架构下，对容器和流量能够进行更精细化的管控，对于上述业务流量隔离的场景，咱们有了更简洁、更灵便、更通用的代替计划 – 咱们称之为「业务单元隔离」，能够在不创立新利用的状况下实现上述诉求。此计划以后已在包含外围链路在内的网商多个业务场景失去利用，也顺利通过了往年双十一大促的考验。
那么「业务单元隔离」具体是什么？咱们是如何借助「业务单元隔离」实现业务链路的隔离呢？本文将和大家细述。
PART. 1 概念及基本原理
概念及运维模型
「业务单元隔离」是一套流量染色和资源隔离的计划，能够帮忙业务绝对简略地实现业务链路隔离。在调研和验证的过程咱们也提出了优化改良计划并推动落地，最终进一步加重了业务接入的老本。
「业务单元隔离」须要联合两个新的概念来论述：「AIG」和「业务单元」。
AIG 是某个利用为了撑持某些业务而隔离进去的一组资源。由一个或多个利用的 AIG 组成的、服务与某个或某类特定业务的业务链路咱们称为一个业务单元。保障有且只有合乎特色的流量引流到某个业务单元，咱们称之为「业务单元的隔离部署」。
次要工作及配套设施
从「业务单元隔离」的概念中咱们不难看出：要实现某个业务链路的流量隔离，至多须要做有以下几件事件：
1. 业务单元构建：给链路上的利用别离创立 AIG 组成一个业务单元，且须保障不能有流量流入新建的业务单元。
2. 业务流量辨认：须要通过某种形式辨认出上游利用流入的特定业务的流量。
3. 特定业务引流：对于辨认到的特定业务的流量，须要有机制让这些流量流向新创建的业务单元。
很显然，上述的这些事件，必然须要基础设施侧和利用侧相互配合才可实现。如下图所示，相干的基础设施及作用如下：
1. 业务单元构建：须要为 AIG 提供残缺的研发 / 运维 / 监控反对；
2. 流量辨认（RPC）：链路中业务单元上游的利用（A）须要接入打标染色 SDK，以便通过染色管控平台下发打标染色规定；
3. 流量辨认（调度）：简单调度（音讯触发，利用单 LDC 内自主散发批工作）通过转换成基于 SOFARPC 的流式工作，从而实现染色和隔离。
4. 特定业务引流：MOSN 侧的精细化路由须要反对 AIG，让流量能够流入到新特定的业务单元。
业务单元构建
业务单元理论是一个绝对形象的概念，对应一条业务链路。
网商的实际中，为了让业务单元更加具象化，咱们规定一个业务单元内的多个利用，其 AIG 名称（appname-aigcode）中的 aigcode 局部必须尽可能统一。
因而，构建一个特定的业务单元，实质上是要给链路上相干的利用，都创立出服务于特定业务隔离的资源组（AIG）。
对于单个利用，构建 AIG 蕴含两局部：
一是初始化 AIG 元数据；
其次是围绕此 AIG 的各种运维操作（扩缩容、高低线、重启、sidecar 注入降级等）。
能够看到要反对 AIG，PaaS 侧简直所有运维操作都须要适配，工作量十分很大。所以 PaaS 侧在反对 AIG 这件事件上也必须衡量取舍，决定只在终态的 workload 运维模式下反对了 AIG，这也导致 AIG 强依赖利用从现有的 image 的模式迁徙到 workload 的模式。
workload 运维模式下，PaaS 将公布和运维的内容都编排成 CRD 资源，交给底层 sigma（K8s）做运维。切换到 workload 运维模式有利于团体对立公布运维体系，也能够更好的反对弹性扩缩容、自愈等场景。
但相比 image 模式，workload 模式对用户应用习惯和体验上冲击很大，初期相干的问题也十分多。因而只管网商 workload 始终在有序推动，在后续外围业务接入 AIG 的我的项目中，为了防止强制切换到 workload 运维模式影响外围业务运维应急，咱们也给 PaaS 提了反对仅对 AIG 机器开启了 workload 的诉求，并且针对这种状况做了齐备的混合运维验证。
RPC 流量隔离
业务单元创立好之后，如何确保新的业务单元在不引流的状况下默认没有 RPC 流量流入呢？
利用的机器之所以有 RPC 流量流入，是因为注册核心（SOFARegistry）和跨机房负载平衡（AntVip）中挂载了机器 IP：利用过程启动胜利 MOSN 感知到后，MOSN 会将服务信息注册到 SOFARegistry，公布运维过程机器健康检查通过后 PaaS 侧会调用接口往 AntVip 上挂载机器的 IP。
所以，要确保新的 AIG 机器默认没有流量流入，就须要 MOSN 和 PaaS 侧做出调整。
整体调整计划如下图所示：
如何辨认特定业务的 RPC 流量呢？
上游利用接入打标染色 SDK 之后，其在作为服务端被其它利用调用、作为客户端调用其它利用的时候，都能够被 SDK 中的 RPC 拦截器拦挡，拦截器比照 RPC 申请和下发的打标染色规定，一旦 match 就会在 RPC Header 中减少业务申请标识。
最初，就是将流量引流到特定业务单元。
借助 MOSN 弱小的精细化路由能力，咱们能够让流量路由到指定的业务单元, 并在业务单元外部收敛。业务单元隔离次要用到了 MOSN 的客户端路由能力，在客户端利用发动调用、申请流经以后 Pod 的 MOSN 时，能够按咱们下发的路由规定管制流量的走向。
调度流量隔离
调度实质是音讯，简略的调度场景通常也不会有隔离的诉求。很多有隔离诉求的场景以后都是“音讯工作 + 三层散发”的模式，利用调度触发批处理逻辑。
三层散发协定是基于 tb-remoting 协定散发申请的，不是规范的 SOFARPC 协定，不通过 MOSN，因而 MOSN 也无法控制这种申请的走向。
为了解决这个问题，AntScheduler 推出了全新的流式调度模式，通过将三层散发模式转变成屡次规范 SOFARPC 调用，从而和 MOSN 无缝配合，满足流量隔离的诉求。
对于心愿调度流量间接路由到 AIG 的场景，AntScheduler 界面上能够间接配置，配置后平台会下发服务级别的 MOSN 客户端路由规定。
对于整条链路隔离的场景，调度平台对接了打标染色平台，发动的 RPC 流量会主动打标，上游利用能够抉择基于此标定做进一步的染色和引流。
PART. 2 异步补账链路隔离
「业务单元隔离」基础设施落地后，先后有几个业务场景逐渐接入。异步补账链路隔离是「业务单元隔离」首次利用在外围链路，实现了实时交易流量和异步补账流量的隔离，防止相互之间的影响。往年双十一大促异步补账业务单元承载了 10% 的异步补账流量，体现丝滑。
接下来我将以这个我的项目为载体，详述咱们如何借助「业务单元隔离」实现业务链路的隔离。
我的项目背景
我的项目相干的利用处于网商外围链路上，本就属于重保对象，而后续预期业务将急速倒退，因而链路的高可用保障面临微小挑战。
以后链路次要有两种流量，一种是实时类交易的流量，另一种是上游异步发动的补账流量。
对于补账类的流量，因为曾经落库，对失败是容忍的。而实时交易的流量，是必须重保的对象。
后续业务倒退异步补账流量将急剧减少，实时交易类的流量面临受影响的危险，因而业务侧冀望能有一种形式，让异步补账流量和实时交易类的流量实现资源隔离，保障实时类交易的高可用性。
总体方案
因为链路波及到多个外围利用，如果采纳传统的新建利用的计划，初期革新及后续保护的老本都极高，故而业务心愿采纳「业务单元隔离」的计划。通过和业务方深刻沟通，确认要新创建异步补账业务单元，并承载下述流量：
1. 来自上游利用 U 的异步补账流量（RPC）；
2. 来自上游利用 U 的补账调度的后续流量（调度 ->RPC）；
异步补账 RPC 隔离
上述异步补账单元上游利用 U 须要进行少许革新，接入流量打标染色 SDK，以便咱们能够辨认到异步补账的流量。
利用 U 接入 SDK 后，作为服务端被其它利用调用或者作为客户端调用其它利用的时候，都会被 SDK 中的 RPC 拦截器拦挡，能够进行打标和染色解决。已染色的流量的 RPC 申请或响应 Header 中会带上流量标识，MOSN 路由时辨认此标识即可实现将流量引到异步补账业务单元。
下图是异步补账的 RPC 流量的打标染色和引流逻辑示意：
异步补账调度隔离
调度流量的辨认须要利用从“音讯工作 + 三层散发”模式切换到流式工作模式，转变成屡次 SOFARPC 调用，进而能够借助 MOSN 精细化路由到指定的 AIG。
本我的项目中，补账调度 RPC 申请曾经打好标识，因而仅需在上游利用 U 侧进行染色和 MOSN 引流规定的下发即可。
整个逻辑示意如下图：
压测及灰度机制
打标染色 SDK 在对流量进行打标染色时是能够辨认压测流量的，但本我的项目中咱们没有应用这种形式，而是在 MOSN 路由规定中减少了限定条件。
一方面是因为 SDK 尚不反对网商压测流量辨认；
另一方面 MOSN 规定下发流程上更加简略。
MOSN 路由规定反对配置多个规定，每个规定由失效范畴 scope、限定条件 condition、路由指标 destination 组成，反对任何比例的灰度，也反对限定压测流量，可确保整个引流过程的平安。下图上游利用 U 灰度引流 1/1000 的压测流量（shadowTest=T）到利用 A 的异步补账 AIG（A-vostro）的 MOSN 路由规定示意：
单元内流量自收敛
流量流入到业务单元内后，后续还会持续调用其它利用，须要下发 MOSN 路由规定来保障流量收敛在业务单元外部，否则默认还是会流回默认的业务单元。
起初的计划是持续借助打标染色 SDK 写入的流量标识来路由，规定如：scope: app=U；condition: sl_biz_unit=xxx；destination: mosn_aig=A-vostro。
然而这种规定是和客户端利用、服务端利用强绑定的，对于简单的场景如本我的项目来说，每一条调用关系都须要下发一条规定，整体的梳理及保护的工作量是十分大的。
调研和验证的时候咱们辨认到这个问题，和相干同学探讨后，最终提出了更简洁可行的计划（AIG 自收敛）。在 MOSN 侧反对辨认本身的 aigcode，下发给所有调用此利用的利用，规定能够简化为只和以后利用以及 aigcode 相干，如：scope: aigcode=vostro；destination: mosn_aig=A-vostro。简化后，规定数量和单元内的利用数量统一。
本我的项目自收敛规定如下图：
|总结及瞻望|
本文次要介绍了网商在应答业务流量隔离场景的一种全新的解决方案以及业务实际过程。
相比传统的新增利用的轻便的计划，基于容器、ServiceMesh 等云原生技术的「业务单元隔离」的计划更加轻量和灵便。以后咱们曾经实现了 RPC、调度以及 HTTP 流量的隔离，后续还将进一步欠缺反对音讯等流量的隔离。
欢送有相似诉或对相干技术计划有趣味的同学随时来交换探讨。
本周举荐浏览
云原生运行时的下一个五年
蚂蚁团体技术危险代码化平台实际（MaaS）
还在为多集群治理懊恼吗？OCM 来啦！
Service Mesh 在中国工商银行的摸索与实际