26、混沌工程：超越传统风险评估的新路径

混沌工程：超越传统风险评估的新路径

1. 机电系统风险与FMEA

在机电系统中，人们期望“消除不可接受的风险”。从机电系统的角度来看，系统同时出现独立的多点故障是极其不可能的。故障模式与影响分析（FMEA）中的自我约束在这种情况下是完全合理的。因为不太可能有两个完全独立的机械或电气组件会同时随机发生故障，而且这种重叠故障的结果往往是不可恢复且灾难性的，不值得花费精力去分析。这就好比评估身份验证系统因服务器被雷击、数据中心洪水泛滥以及地球被小行星撞击而离线的影响，身份验证系统离线这一事实变得无关紧要，而且可能对此也无能为力。

然而，软件的大量使用改变了这种情况。与单个电气组件故障不同，软件问题像传染病一样容易传播，这使得在评估故障模式、其影响、严重程度、可能性和可检测性时，很难甚至无法保证准确性。而混沌工程通过实验和探索提供的实证验证可以带来新的见解。

2. 混沌工程与FMEA的关联

FMEA的一些程序与混沌工程原则有相似之处：
| FMEA程序 | 混沌工程原则 |
| ---- | ---- |
| 定义范围和功能 | 对稳定状态进行假设 |
| 集思广益可能出现的问题 | 改变现实世界的事件 |
| 为严重程度和可能性分配分数 | 最小化影响范围 |

FMEA过程为更深入研究和创建实验以验证假设提供了一些指导和优先级。通过查看最高风险优先级数字，引入混沌实验来探索假设和系统中潜在的真实风险可能会获得最大价值。但进行FMEA过程存在大量的开销和繁琐步骤。我们可以通过反思设计和工程方法以及关键依赖的假设和保证，来确定实验点以最大化信息和见解。

3. 混沌实验的设计思