Sentinel如何通過限流實現(xiàn)服務(wù)的高可用性

摘要：?在復(fù)雜的生產(chǎn)環(huán)境下可能部署著成千上萬的服務(wù)實例，當(dāng)流量持續(xù)不斷地涌入，服務(wù)之間相互調(diào)用頻率陡增時，會產(chǎn)生系統(tǒng)負載過高、網(wǎng)絡(luò)延遲等一系列問題，從而導(dǎo)致某些服務(wù)不可用。如果不進行相應(yīng)的流量控制，可能會導(dǎo)致級聯(lián)故障，并影響到服務(wù)的可用性，因此如何對高流量進行合理控制，成為保障服務(wù)穩(wěn)定性的關(guān)鍵。

在復(fù)雜的生產(chǎn)環(huán)境下可能部署著成千上萬的服務(wù)實例，當(dāng)流量持續(xù)不斷地涌入，服務(wù)之間相互調(diào)用頻率陡增時，會產(chǎn)生系統(tǒng)負載過高、網(wǎng)絡(luò)延遲等一系列問題，從而導(dǎo)致某些服務(wù)不可用。如果不進行相應(yīng)的流量控制，可能會導(dǎo)致級聯(lián)故障，并影響到服務(wù)的可用性，因此如何對高流量進行合理控制，成為保障服務(wù)穩(wěn)定性的關(guān)鍵。

阿里巴巴中間件團隊在上周的Aliware Open Source 深圳站的活動上，宣布對Sentinel開源，并在社區(qū)發(fā)布了首個開源版本v0.1.0。Sentinel是面向分布式服務(wù)架構(gòu)的輕量級限流降級框架，以流量為切入點，從流量控制、熔斷降級和系統(tǒng)負載保護等多個維度來幫助用戶保障服務(wù)的穩(wěn)定性。從本期開始，我們將圍繞Sentinel的使用場景、技術(shù)對比和實現(xiàn)、開發(fā)者實踐等維度推出系列文章。本文將基于Dubbo的服務(wù)框架，看看Sentinel 是如何對高流量進行限流的。

一、Dubbo 一鍵接入 Sentinel

Sentinel 意為哨兵，這個命名形象的詮釋了Sentinel在分布式系統(tǒng)中的工作角色和重要性。 以 Sentinel 在Dubbo 生態(tài)系統(tǒng)中的作用為例，Dubbo服務(wù)框架的核心模塊包括注冊中心、服務(wù)提供方、服務(wù)消費方（服務(wù)調(diào)用方）和監(jiān)控4個模塊。Sentinel通過對服務(wù)提供方和服務(wù)消費方的限流來進一步提升服務(wù)的可用性。接下來我們看看Sentinel對服務(wù)提供方和服務(wù)消費方限流的技術(shù)實現(xiàn)方式。

Sentinel 提供了與 Dubbo 適配的模塊 – Sentinel Dubbo Adapter，包括針對服務(wù)提供方的過濾器和服務(wù)消費方的過濾器。使用時用戶只需引入相關(guān)模塊，Dubbo的服務(wù)接口和方法（包括調(diào)用端和服務(wù)端）就會成為 Sentinel 中的資源，在配置了規(guī)則后就可以自動享受到 Sentinel 的防護能力。同時提供了靈活的配置選項，例如若不希望開啟Sentinel Dubbo Adapter中的某個Filter，可以手動關(guān)閉對應(yīng)的Filter。

二、限流必備 - 監(jiān)控管理

流量具有很強的實時性，之所以需要限流，是因為我們無法對流量的到來作出精確的預(yù)判，不然的話我們完全可以通過彈性的計算資源來處理，所以這時候為了保證限流的準(zhǔn)確性，限流框架的監(jiān)控功能就非常重要了。

Sentinel的控制臺（Dashboard）是流量控制、熔斷降級規(guī)則統(tǒng)一配置和管理的入口，同時它為用戶提供了多個維度的監(jiān)控功能。在Sentinel控制臺上，我們可以配置規(guī)則并實時查看流量控制效果。

? 單臺設(shè)備監(jiān)控?
當(dāng)在機器列表中看到您的機器，就代表著已經(jīng)成功接入控制臺，可以查看單臺設(shè)備的設(shè)備名稱、IP地址、端口號、健康狀態(tài)和心跳時間等信息。

? 鏈路監(jiān)控?
簇點鏈路實時的去拉取指定客戶端資源的運行情況，它提供了兩種展示模式，一種用書狀結(jié)構(gòu)展示資源的調(diào)用鏈路；另外一種則不區(qū)分調(diào)用鏈路展示資源的運行情況。通過鏈路監(jiān)控，可以查看到每個資源的流控和降級的歷史狀態(tài)。

? 聚合監(jiān)控?
同一個服務(wù)下的所有機器的簇點信息會被匯總，實現(xiàn)實時監(jiān)控，精確度達秒級。

三、Sentinel 基于 Dubbo的最佳實踐

Dubbo 接入 Sentinel后，可通過對Dubbo核心模塊中的服務(wù)提供方和服務(wù)消費方的限流來進一步提升服務(wù)的可用性。

1、對服務(wù)提供方的限流

對服務(wù)提供方的限流可分為服務(wù)提供方的自我保護能力和服務(wù)提供方對服務(wù)消費方的請求分配能力這兩個維度。

服務(wù)提供方用于向外界提供服務(wù)，處理各個消費方的調(diào)用請求。為了保護提供方不被激增的流量拖垮影響穩(wěn)定性，可以給提供方配置QPS模式的限流，這樣當(dāng)每秒的請求量超過設(shè)定的閾值時會自動拒絕閾值外的請求。若希望整個服務(wù)接口的QPS不超過一定數(shù)值，則可以為對應(yīng)服務(wù)接口資源（resourceName為接口全限定名）配置QPS閾值；若希望對某個服務(wù)函數(shù)的QPS不超過一定數(shù)值，則可以為對這個服務(wù)函數(shù)資源（resourceName為接口全限定名：方法簽名）配置QPS閾值。

根據(jù)調(diào)用方的需求來分配服務(wù)提供方的處理能力也是常見的限流方式。比如有兩個服務(wù) A 和 B 都向 Service Provider 發(fā)起調(diào)用請求，我們希望只對來自服務(wù) B 的請求進行限流，則可以設(shè)置限流規(guī)則的 limitApp 為服務(wù) B 的名稱。Sentinel Dubbo Adapter 會自動解析 Dubbo 消費方（調(diào)用方）的 application name 作為調(diào)用方名稱（origin），在進行資源保護的時候都會帶上調(diào)用方名稱。若限流規(guī)則未配置調(diào)用方（default），則該限流規(guī)則對所有調(diào)用方生效。若限流規(guī)則配置了調(diào)用方則限流規(guī)則將僅對指定調(diào)用方生效。

2、對服務(wù)消費方的限流

對服務(wù)提供方的限流可分為對控制并發(fā)線程數(shù)，和服務(wù)降級兩個維度。

服務(wù)消費方作為客戶端去調(diào)用遠程服務(wù)。每一個服務(wù)都可能會依賴幾個下游服務(wù)，若某個服務(wù)A依賴的下游服務(wù)B出現(xiàn)了不穩(wěn)定的情況，服務(wù)A請求服務(wù)B的響應(yīng)時間變長，從而服務(wù)A調(diào)服務(wù)B的線程就會產(chǎn)生堆積，最終可能耗盡服務(wù)A的線程數(shù)。我們通過用并發(fā)線程數(shù)來控制對下游服務(wù)B的訪問，來保證下游服務(wù)不可靠的時候，不會拖垮服務(wù)自身。采用基于線程數(shù)的限制模式后，我們不需要再去對線程池進行隔離，Sentinel 會控制資源的線程數(shù)，超出的請求直接拒絕，直到堆積的線程處理完成。限流粒度同樣可以是服務(wù)接口和服務(wù)方法兩種粒度。

我們看一下這種模式的效果。假設(shè)當(dāng)前服務(wù)A依賴兩個遠程服務(wù)方法 sayHello(java.lang.String) 和 doAnother()。前者遠程調(diào)用的響應(yīng)時間為1s-1.5s之間，后者RT非常小（30 ms左右）。服務(wù)A端設(shè)兩個遠程方法線程數(shù)為5，然后每隔50 ms左右向線程池投入兩個任務(wù)，作為調(diào)用者分別遠程調(diào)用對應(yīng)方法，持續(xù)10次?？梢钥吹?sayHello 方法被限流5次，因為后面調(diào)用的時候前面的遠程調(diào)用還未返回（RT高）;而 doAnother() 調(diào)用則不受影響。線程數(shù)目超出時快速失敗能夠有效地防止自己被調(diào)用所影響。

此外，當(dāng)調(diào)用鏈路中某個資源出現(xiàn)不穩(wěn)定的情況，如平均 RT 增高、異常比例升高的時候，Sentinel 會使對此調(diào)用資源進行降級操作。

以上介紹的只是Sentinel的一個最簡單的場景 – 限流，Sentinel還可以處理更復(fù)雜的場景，例如請求勻速、超時熔斷、冷啟動等，下一期我們將分享如何借助Sentinel實現(xiàn)消息流轉(zhuǎn)場景下的請求勻速功能。

原文鏈接

本文為云棲社區(qū)原創(chuàng)內(nèi)容，未經(jīng)允許不得轉(zhuǎn)載。