1月10日上午，廣東省的粵康碼突然訪問異常，給很多正在上班的人帶來諸多不便。

事后，粵康碼發(fā)布公告稱，“10日上午8：31，平臺(tái)監(jiān)測到粵康碼流量異常增大，最高達(dá)每分鐘140萬次，超出承載極限，觸發(fā)系統(tǒng)保護(hù)機(jī)制，導(dǎo)致部分用戶訪問粵康碼緩慢或異常，運(yùn)行保障團(tuán)隊(duì)緊急處置，于9：04部分緩解，9：56完全恢復(fù)順暢運(yùn)行”。

一周前，西安一碼通更是在短短半個(gè)月內(nèi)連續(xù)兩次崩潰。2021年12月20日早上，西安一碼通出現(xiàn)訪問異常，修復(fù)工作持續(xù)一整天；2022年1月4日上午，西安一碼通再次崩潰，至中午恢復(fù)正常。

第一次故障，西安官方給出的回復(fù)是“每秒訪問量達(dá)到以往峰值的10倍以上，造成網(wǎng)絡(luò)擁塞”，而第二次故障，同樣是因?yàn)椤霸L問量過大”。

近兩年，隨著疫情防控進(jìn)入常態(tài)化，健康碼已成為人們出行的一個(gè)“必需品”。這導(dǎo)致健康碼一旦出現(xiàn)問題，也會(huì)給人民群眾的生活帶來較大影響，尤其是像西安，正處于抗擊疫情的關(guān)鍵時(shí)刻，健康碼的失靈也直接妨礙了防疫工作的開展。

有了前車之鑒，各地政府亟需思考的一個(gè)重要問題是——如何防止健康碼出現(xiàn)崩潰。

安全與效率的博弈

不過，行業(yè)專家李明告訴21世紀(jì)經(jīng)濟(jì)報(bào)道，如果從技術(shù)的角度，健康碼運(yùn)營支持已經(jīng)非常成熟，但面對(duì)突如其來的訪問壓力，保證百分之百的不出現(xiàn)問題并不現(xiàn)實(shí)。

且不說從理論上，就不存在絕對(duì)穩(wěn)定的系統(tǒng)，從目前健康碼最常見的崩潰原因——流量過載來看，這背后尚存在效率、成本、安全的博弈問題。

李明表示，一般的系統(tǒng)架構(gòu)都存在承載閾值，當(dāng)用戶流量超過這個(gè)閾值，系統(tǒng)便會(huì)出現(xiàn)崩潰。實(shí)際上，這個(gè)問題在很多產(chǎn)品中都出現(xiàn)過，比如此前的微博，便多次遇到因某明星突然曝出八卦新聞，用戶量瞬時(shí)增加導(dǎo)致產(chǎn)品崩潰。

很多人會(huì)好奇，那為什么不提高這個(gè)閾值，避免出現(xiàn)過載情況？這便涉及到訪問效率和成本的平衡問題。因?yàn)樘岣唛撝?，需要更多的服?wù)器，也意味著更多的成本。

李明透露，以健康碼為例，承載千萬人口的訪問需要的成本大概是千萬級(jí)別。假如一個(gè)城市健康碼日常的并發(fā)量峰值只有10萬，為此卻準(zhǔn)備50萬并發(fā)量的服務(wù)器，也會(huì)造成資源浪費(fèi)。

所以在實(shí)際操作中，每個(gè)城市的健康碼都會(huì)根據(jù)當(dāng)?shù)厍闆r，設(shè)置一個(gè)合理的閾值，至少能保證日常的使用。但這也會(huì)留下一個(gè)隱患，即當(dāng)?shù)鼐用窦写笠?guī)模使用健康碼時(shí)，便會(huì)導(dǎo)致用戶流量超出閾值。

雖然是小概率事件，但這也說明健康碼因?yàn)橥蝗坏牧髁吭黾映霈F(xiàn)崩潰，也算是一個(gè)意料之中的事情。因此，真正要解決的問題應(yīng)該是，系統(tǒng)出現(xiàn)過載之后，能否快速恢復(fù)。

李明稱，從技術(shù)的角度，目前也已經(jīng)具備了快速應(yīng)對(duì)的能力。其提到了幾個(gè)設(shè)計(jì)原則：

首先在設(shè)計(jì)系統(tǒng)架構(gòu)的時(shí)候，要考慮極端情況，比如某城市人口1000萬，那架構(gòu)設(shè)計(jì)就至少要考慮到1000萬人可能出現(xiàn)的極端情況。

在架構(gòu)之下，要具備彈性伸縮的能力。比如平時(shí)只需要使用100臺(tái)服務(wù)器，在遇到特殊情況時(shí)，100臺(tái)服務(wù)器不夠用了，需要支持快速彈性擴(kuò)展。這個(gè)場景其實(shí)也是云計(jì)算的一項(xiàng)核心能力，目前也十分成熟。

另外，系統(tǒng)也需要做災(zāi)備。這是確保用戶訪問出現(xiàn)過載且彈性伸縮能力沒有發(fā)揮作用的情況下，至少有一套備案可以及時(shí)啟用。

除此之外，像是對(duì)系統(tǒng)流程進(jìn)行解耦，把整個(gè)業(yè)務(wù)過程分割成不同層級(jí)，防止流量集中涌入；或者是通過分布式的架構(gòu)，將流量拆分到不同處理區(qū)。這些都能夠有效避免整個(gè)系統(tǒng)的崩潰。

西安一碼通的警示

所以，健康碼遇到問題并不可怕，只要能快速恢復(fù)，便基本能滿足群眾所需。但西安一碼通這次備受關(guān)注，一方面是第一次崩潰時(shí)間長達(dá)一天，另一方面則是短時(shí)間內(nèi)連續(xù)出現(xiàn)兩次問題。

按照上文提到的一些解決方案，西安一碼通在第一次遇到訪問量過載的時(shí)候，正常的操作應(yīng)該是通過彈性伸縮的方式來應(yīng)對(duì)，但一碼通系統(tǒng)最終崩潰，這說明在系統(tǒng)架構(gòu)上，設(shè)計(jì)之初沒有充分考慮負(fù)載均衡和彈性伸縮的情況。

據(jù)鈦媒體App從一位接近西安“一碼通”項(xiàng)目人士處獲悉，整個(gè)故障的大致原因已基本清晰，就是一起因流量過載、系統(tǒng)架構(gòu)應(yīng)對(duì)高并發(fā)不足，最終導(dǎo)致防火墻攔截?cái)?shù)據(jù)無法返回的系統(tǒng)性故障。

李明向記者表示，防火墻也有吞吐量的限制，如果流量太大超出吞吐量上限，那防火墻也將無法響應(yīng)。正常來說，防火墻也應(yīng)該有負(fù)載均衡機(jī)制，當(dāng)一個(gè)防火墻無法支撐的時(shí)候，就啟用其他防火墻分擔(dān)其流量。

當(dāng)然，這個(gè)背后又涉及到公有云和私有云的問題。李明稱，目前整個(gè)政務(wù)市場都傾向于使用私有云，如果防火墻是私有云架構(gòu)，那災(zāi)備的防火墻平時(shí)即使不用，買來也需要成本，但這個(gè)成本往往不能省。

系統(tǒng)架構(gòu)無法滿足快速擴(kuò)容，這也造成西安一碼通遇到高并發(fā)的流量時(shí)，處理能力變得僵化。至于為何出現(xiàn)這樣的情況，李明認(rèn)為，這說明整個(gè)系統(tǒng)在設(shè)計(jì)時(shí)，就沒有充分考慮到各種可能出現(xiàn)的情況。而且在已經(jīng)出現(xiàn)全城范圍的疫情防控時(shí)，也應(yīng)該提前做系統(tǒng)的抗壓力測試和演練準(zhǔn)備。

此外，有些地區(qū)的健康碼建設(shè)的分包情況，也出現(xiàn)了一些不合理的問題。一般而言，作為總包商，核心模塊不應(yīng)該再分包出去。

這里的核心模塊包括整個(gè)健康碼的接入、生成、驗(yàn)碼等關(guān)鍵引擎。“當(dāng)然，至于其他一些簡單的業(yè)務(wù)模塊，分包出去是沒問題的，幾乎所有健康碼項(xiàng)目，也都存在分包的情況”，李明說。

對(duì)于健康碼項(xiàng)目，李明認(rèn)為，首先要明確項(xiàng)目的邊界，比如承載的并發(fā)量是多大，遇到突發(fā)情況能容忍的處理時(shí)間是多少；

其次，要有嚴(yán)格的審查機(jī)制。整個(gè)系統(tǒng)架構(gòu)要經(jīng)過認(rèn)真的審查，并且審查人員應(yīng)該實(shí)行終身負(fù)責(zé)制，而不是走個(gè)形式，導(dǎo)致出現(xiàn)問題不知道找誰；

然后是在招標(biāo)執(zhí)行的時(shí)候，要確保投標(biāo)公司有足夠的能力，這時(shí)候不光要看他們承諾的能力，更要看他們做過哪些案例；

最后是有預(yù)警機(jī)制，比如當(dāng)流量達(dá)到峰值的一定比例時(shí)，就要提前啟動(dòng)預(yù)案。再比如某地突發(fā)局部疫情，這時(shí)候也要提前采取措施。

西安一碼通因兩次崩潰而引發(fā)的巨大輿論，已給其他地方政府敲響了警鐘。比如北京在近日的防控疫情工作會(huì)議上便提出，用好“北京健康寶”，加強(qiáng)壓力測試和系統(tǒng)運(yùn)行維護(hù)，確保正常運(yùn)行。

在疫情反復(fù)無常的常態(tài)下，我們希望健康碼不要出現(xiàn)任何異常，如果發(fā)生了異常，也希望能夠以最快的速度恢復(fù)，而不是讓人們等待一天甚至半天那么久。

關(guān)鍵詞： 流量 李明 防火墻 架構(gòu) 西安 閾值 疫情 系統(tǒng) 服務(wù)器 私有云