腾讯课堂停课不停学：业务后台实践

优化效果：主db峰值链接数从4.6k下降到3.8k

阶段3：核心模块逐个专项击破

接入：血的教训

课堂支持学生在pc/web/app/ipad/h5/小程序等多端进行学习，接入模块属于基础组件改动不大，但这次web接入模块却出了2个问题，确实不应该：

接入层.png

针对这2个问题也做了专项总结：

1. 校准压测用例，更模拟现网流量
2. nginx动静分离，上报等接口也独立出去
3. nginx规则精简，接入层尽量打薄，逻辑后移
4. 统一机器net.core.somaxconn等参数配置，重点监控告警
5. 压测完要清理战场，关注fd等指标是否恢复
6. 升级tomcat规避挂死bug
7. 升级tomcat遵循RFC3986规范，规避特殊字符影响 ......

直播：站在云的肩膀上

课堂最核心的模块就是音视频，直播的进房成功率/首帧延迟/卡顿率/音画同步时延/分辨率等指标直接影响用户核心体验。由于直播模块之前已全部切云，这次站在云的肩膀上，业务不仅直接使用了云的多种直播模式，云音视频团队在整个疫情期间也提供非常给力的质量保障。

下面是具体的直播架构，业务通过流控Svr来控制各端走哪种直播模式：

直播架构.png

消息：走推走拉？

随着极速版普及，各学校对单房间同时在线人数要求也越来越高，从3w->6w->30w->150w。

对于大房间消息系统而言，核心要解决消息广播风暴的问题（30w人房间，有100人在同1秒发言，会产生30w*100=3kw/s消息），随着扩散因子的变大，之前纯推的方案已不能满足需求，参考了业内直播间的一些IM方案：

消息系统方案.png

结合对比方案，也针对课堂产品特性，在原来纯推架构上新迭代一版推拉结合的架构

对于IM系统的设计，推荐一下这个文章：《新手入门一篇就够：从零开发移动端IM》

http://www.52im.net/thread-464-1-1.html

阶段4：做好核心路径的防过载和柔性降级

在非常有限的时间里，逻辑层根本来不及重构，容量评估也不一定精准，过载保护和柔性降级就显得尤其重要

因为没时间全盘优化，在量突然暴涨的情况下，某个模块过载或者爆bug的概率会变大，所以在用户登录->查课表->上课的核心路径上，必须增加足够容错能力来提高可用性

雪崩来得猝不及防

疫情初期课堂就遇到一个雪崩的case：直播间拉取成员列表接口有失败毛刺，因为web没做异常保护，失败直接把循环拉取间隔时间置0，导致接口调用量越滚越大，B侧拉取涨了10倍后雪崩超时。由于没预埋开关等控制策略，得回滚web版本才解决。

这个case暴露了过载保护的缺失，一方面web没对异常返回做合理处理保护后端，一方面svr没有识别雪崩请求做限频，除此之外，也缺少一些配置开关可快速控制web循环间隔时间，导致雪崩来得猝不及防

过载保护策略

针对这类badcase，对核心路径的服务做了很多过载保护和柔性降级策略，这里把一些典型方案记录下：

过载保护策略.png

限流和熔断

高并发场景为了规避过载的级联传递，防止全链路崩溃，制定合理的限流和熔断策略是2个常见的解决方案。

以这次疫情互动直播限流场景为例，互动直播默认只部署最多支撑600w同时在线的接口机资源，如果哪天突发超过了600w学生：

直播限流.png

限流算法选择上，最常见就是漏桶和令牌桶。不是说令牌桶就是最好的，只有最合适的，有时简单的计数器反而更简单。golang拓展库 golang.org/x/time/rate 就提供了令牌桶限流器，3个核心api：

1、func (*Limiter) Allow: 没有取到token返回false，消耗1个token返回true
2、func (*Limiter) Wait: 阻塞等待，直到取到1个token
3、func (*Limiter) Reserve: 返回token信息，返回需要等待多久才有新的token

除了算法外，怎么把限流集成到框架、分布式限流实现、限流后请求优先级选择等问题，可以做得更深入，但很遗憾这次没时间搞，后面继续实践

熔断是另一个重要防过载策略，其中熔断器Hystrix最为著名，github.com/afex/hystrix-go 就提供了其golang版本实现，使用也简单。其实L5就包含了熔断能力，包括熔断请求数阈值、错误率阈值和自动恢复探测策略

Apollo配置中心

好的组件都是用脚投票，这次疫情期间，很多策略开关和阈值控制都是用Apollo配置中心来做，实现配置热更新，在高可用上实践也不错。很多时候多预埋这些配置就是用来保命的，当监控发现趋势不对时，可快速调整规避事故发生，简单列些例子：

1. 后端限流阈值大小，后端要过载时可调小
2. Cache缓存时间，数据层负载高时可调大
3. 非核心路径后端调用开关，必须时关闭调用补上降级默认值
4. 前端定时调用的间隔时间，后端要过载时可调大 ......

当然，如果可做到系统自动触发调整配置就更进一步了，当时有想过但时间太赶没实践，有兴趣同学可思考实践下

Apollo是携程开源的分布式配置中心，能够集中化管理应用不同环境配置，实现配置热更新，具备规范的权限、流程治理等特性，适用于微服务配置管理场景。补个架构图推荐下：

apollo架构图.png

阶段5：服务性能优化实战

在抗住前2周最猛的流量增长后，下来很长一段时间都是在优化服务的性能和稳定性、处理用户反馈和打磨产品体验上。这里沉淀3个服务性能优化上印象较深刻的点

分析利器 pprof+torch

在性能分析上，对比c++，golang提供了更多好用的工具，基本每次性能分析都是先用pprof+torch跑一把。通过框架中嵌入net/http/pprof并监听http遥测端口，管理后台就可随时得到svr协程/cpu/内存等相关指标，比如优化前的成员列表svr火焰图case

结合代码，便可快速有些优化思路，比如：

1. 分离B/C调用部署
2. 优化pb序列化，如做些cache
3. 简化定时器使用场景
4. 调整大对象使用优化gc消耗

最终根据这些优化思路改版，让超200ms的比例从0.2%降到0.002%以下

性能优化效果.png

缓存设计和踩坑

回过头看，大部分服务性能瓶颈还是在数据层或Rpc调用上，很多时候数据一致性要求没那么高，加缓存是最简单的首选方案。

关于缓存的设计，无论是本地缓存、分布式缓存、多级缓存，还是Cache Aside、Read/Write Through、Write Behind Caching等缓存模式，就看哪种更适合业务场景，这里也不累赘，核心说下这次实践中踩的2个坑：

1、缓存击穿

• 案例：高频访问的缓存热key突然失效，导致对这个key的读瞬间压到DB上飙高负载
• 方案：使用异步更新或者访问DB加互斥锁

2、缓存穿透

• 案例：访问DB中被删除的key，这些key在缓存中也没有，导致每次读直接透到DB
• 方案：把这些key也缓存起来，但要关注恶意扫描的影响

为啥qps压不上去？

疫情期间，有一个现象很奇怪但又经常出现：压测时cpu很低，pprof+torch看不出什么异常，数据层返回也很快，但吞吐量就是上不去。一开始思路较少，后面也慢慢知道套路了，这里列几个真实的case供参考：

1. 锁竞争：如死锁、锁粒度太大等，关注锁时间上报
2. 打日志：日志量过大等导致磁盘IO彪高，在高并发场景尤其要注意精简日志量
3. 进程重启：如panic或oom导致进程被kill，重启过程请求超时，要补齐进程重启监控
4. 队列丢包：如请求缓存队列设置过小等，要关注队列溢出监控 ......

比如最后这点，就遇过这样的case：一次凌晨压测，其他机器都正常，就2个新机器死活一直超时，业务指标也看不出区别，折腾了好一阵，才发现monitor上 监听队列溢出(ListenOverflows) 这个值有毛刺异常。

继续深挖下去，证明请求在tcp队列就溢出了，tcp的accept队列长度=min(backlog,SOMAXCONN)，查看新机器内核配置 net.core.somaxconn=128，确实比其他机器小，神坑

所以后续也增加了服务器tcp的半连接和全连接队列相关监控：

tcp监听队列.png

挂个招聘

在这次疫情的推动下，在线教育越来越普及，各大互联网公司都持续加码，教育也是个有温度的事业，百年大计，教育为本。团队聚焦golang和云原生，还有大量后台HC希望大家推荐或自荐，欢迎随时勾搭。