简介：本资源是一份源自IBM官方实践的软件需求规约（SRS）编制指南与案例模板，面向需求工程师、系统分析师及中高级软件开发人员，解决需求文档结构不清晰、内容覆盖不全、非功能性需求定义模糊等常见问题。文档严格遵循IBM对SRS的六大核心模块划分——概述、指定、标准、数量、可用性与安全性，并逐项说明各章节编写要点、典型条目及实际应用逻辑，特别强化了功能性需求（用例驱动）与非功能性需求（补充规约承载）的协同落地方法。压缩包含1个150KB的Word文档，结构完整、层级清晰，可直接用于项目需求文档框架搭建或教学参考。目前已有276人学习下载，读者可获得一套经企业验证的SRS组织范式、详尽的章节说明示例、跨工件（如前景文档、补充规约、用例模型）的需求协同逻辑，以及针对地理组织、预选包约束、灾难恢复等易遗漏点的实操提示。
1. 这不是模板套话，而是一份能直接塞进你下周需求评审会的 IBM SRS 实战包：它把“需求规约”从模糊概念变成可拆解、可检查、可追责的交付物
你有没有遇到过这样的场景：需求评审会上，业务方拍着桌子说“这功能我明明讲过”，开发组长摊手：“SRS里没写这条”，测试负责人翻着文档叹气：“第5.3节‘服务中断成本’只写了‘影响很大’，但没量化——我怎么设计故障注入用例？”最后所有人盯着一份看似完整、实则处处留白的 Word 文档发呆。这不是协作问题，是需求规约本身失能。IBM 这份《需求规约要求——需求规约案例》根本不是教科书式的理论汇编，它是一套经过大型金融、电信、制造系统千锤百炼的需求结构化操作系统：它强制你把“系统要快”翻译成“纽约时间早7点至晚7点，订单查询响应P95 ≤ 800ms，超时即触发降级流程”；它逼你把“数据要安全”具象为“客户身份证号在传输中必须AES-256-GCM加密，静态存储需符合FIPS 140-2 Level 2硬件模块密钥保护”。它解决的不是“要不要写需求”，而是“怎么写才能让开发不猜、测试不懵、上线不背锅”。适合正在接手遗留系统改造、参与银行核心升级、或需要通过 ISO/IEC/IEEE 29148 认证的工程师——尤其当你发现团队还在用 Excel 表格管理非功能需求时，这份资源就是你的止血钳。
2. 为什么 IBM 把 SRS 定义为“活动工件”而非静态文档：从结构设计看需求生命周期的三个致命断点
2.1 “活动工件”不是修辞，而是对需求漂移的物理拦截机制
IBM 明确指出：“SRS 包并不是一成不变的大卷文档……它是一种活动的、有生命的工件。”这句话背后是三个被无数项目验证过的断点：
- 断点一：前景文档（Vision）与 SRS 的语义鸿沟。前景文档说“打造行业领先的智能风控平台”，SRS 若只写“系统需支持风险模型计算”，就等于把“领先”二字交给开发自由发挥。IBM 要求 SRS 必须承接前景中的每个目标动词，将其转化为可验证的行为。例如，“领先”对应到 SRS 第4章“数量”中“业务流程性能标准”：必须明确写出“模型训练任务在1000万条样本下，单次迭代耗时 ≤ 120秒（AWS c5.4xlarge）”，并标注该指标源自前景文档第3.2节“实时决策能力目标”。
- 断点二：功能性需求与非功能性需求的管辖权撕裂。很多团队把登录功能写在用例里（功能性），却把“登录失败5次后锁定账户30分钟”塞进安全策略文档（非功能性）。IBM 的解决方案是双轨制归口：所有功能性需求（What the system does）必须绑定到用例模型（如 RUP 中的 Use Case Diagram），所有非功能性需求（How well it does）必须进入 SRS 的独立章节（如第5章可用性、第6章安全性），且每条非功能需求必须关联到至少一个功能性用例。例如，“用户登录”用例（ID: UC-001）在 SRS 第6.1节必须有对应条目：“UC-001 登录流程需满足：a) 密码传输使用 TLS 1.2+；b) 失败锁定策略执行延迟 ≤ 500ms；c) 锁定状态需在所有集群节点间实时同步”。
- 断点三：需求变更的契约失效。当业务方临时加塞“增加微信扫码支付”，若 SRS 未定义变更控制流程，开发可能直接改代码，测试却因未更新用例而漏测。IBM 在 SRS 的“活动工件”属性中嵌入硬约束：任何新增需求必须走三重锚定——① 在 SRS 第1.1节“假设与问题”中登记新假设（如“假设微信支付通道QPS峰值≤5000”）；② 在第2.1节“预选的应用程序包”中确认是否依赖微信官方SDK版本；③ 在第4.3节“业务流程性能标准”中补充扫码支付事务的吞吐量指标（如“扫码支付成功响应P99 ≤ 1.2s”）。这三处不全，变更即视为无效。
2.2 从“文档还是包？”到“信息包”的范式迁移：为什么 ZIP 压缩包比 Word 更接近真实需求
IBM 反复强调：“我们发现，并没有充分的理由需要我们注重所用工具之间的差异……我们将假定 SRS 中的需求集合构成了一个信息包。” 这句话直指行业顽疾：团队花80%精力争论“用 Confluence 还是 Jira 写需求”，却忽略需求本身是否具备机器可读性。真正的“信息包”必须包含四类不可分割的构件：
- 主干文档（SRS_Main.docx）：严格遵循本文档结构（1-6章），但仅承载声明性内容（如“系统必须支持高可用”）。
- 可执行附件（SRS_Attachments/）：存放所有能被自动化工具消费的文件，例如：
availability_SLA.csv：第5.4节“可用性和恢复标准”的结构化数据，含字段ServiceName,MTTR_Minutes,Recovery_Rate_Pct,Impact_Window；security_threat_matrix.xlsx：第6.1节“安全性需求”的威胁建模表，含Asset_ID,Threat_Type,Attack_Vector,Impact_Score,Countermeasure_ID；performance_benchmarks.json：第4.3节“业务流程性能标准”的压测基线，含{"scenario":"order_submit","p95_ms":800,"env":"prod_us_east"}。
- 溯源链接（SRS_Traceability/）：存放
traceability_matrix.csv，强制建立需求ID（如 REQ-AVAIL-001）与用例ID（UC-005）、测试用例ID（TC-LOGIN-023）、代码提交哈希（git commit abc123）的映射。 - 元数据清单（SRS_Metadata.yaml）：记录
version: "2.1.0",last_reviewed: "2024-06-15",owner: "arch-team@company.com"等治理信息。
提示：IBM 的“信息包”理念意味着，当你收到一份 SRS 时，如果它只是一个孤立的 Word 文件，那它本质上尚未完成——你必须立刻检查附件目录是否存在、CSV 是否能被 Pandas 读取、YAML 是否符合 Schema。这是判断需求成熟度的第一道门槛。
2.3 活动工件的物理载体：如何用 Git + GitHub Actions 构建 SRS 自动化流水线
将“活动工件”落地，不能靠人工检查。我们团队基于 IBM 框架构建了轻量级 CI/CD 流水线：
# .github/workflows/srs-validation.yml name: SRS Integrity Check on: push: paths: - 'SRS_Main.docx' - 'SRS_Attachments/**' - 'SRS_Metadata.yaml' jobs: validate: runs-on: ubuntu-latest steps: - uses: actions/checkout@v4 # 步骤1：校验 Word 文档结构完整性（使用 python-docx） - name: Check SRS_Main structure run: | pip install python-docx python -c " from docx import Document doc = Document('SRS_Main.docx') headers = [p.text.strip() for p in doc.paragraphs if p.style.name.startswith('Heading')] required = ['1 概述', '2 指定', '3 标准', '4 数量', '5 可用性', '6 安全性'] missing = [h for h in required if h not in headers] if missing: raise Exception(f'缺失章节: {missing}') print('✓ SRS_Main 章节结构完整') " # 步骤2：校验 CSV 附件可解析性（关键！） - name: Validate availability_SLA.csv run: | pip install pandas python -c " import pandas as pd df = pd.read_csv('SRS_Attachments/availability_SLA.csv') required_cols = ['ServiceName','MTTR_Minutes','Recovery_Rate_Pct'] missing_cols = [c for c in required_cols if c not in df.columns] if missing_cols: raise Exception(f'CSV缺失列: {missing_cols}') if df['MTTR_Minutes'].isnull().any(): raise Exception('MTTR_Minutes 存在空值') print('✓ availability_SLA.csv 结构有效') " # 步骤3：校验 YAML 元数据合规性 - name: Validate SRS_Metadata.yaml run: | pip install pyyaml python -c " import yaml with open('SRS_Metadata.yaml') as f: meta = yaml.safe_load(f) if not all(k in meta for k in ['version','last_reviewed','owner']): raise Exception('Metadata 缺失必要字段') print('✓ SRS_Metadata.yaml 合规') "这个流水线的意义在于：把 IBM 的“活动”要求转化为机器可执行的守门员。每次推送，它自动检查文档结构、附件数据质量、元数据完整性。一旦失败，PR 被阻断——这比任何会议纪要都更有效地捍卫了 SRS 的契约性。我们曾因此拦截过一次重大疏漏：开发在修改 SRS_Main.docx 时，误删了第5.5节“灾难恢复？”的全部内容，但流水线检测到SRS_Attachments/disaster_recovery_plan.pdf仍存在，立即报错“文档与附件不一致”，避免了上线后才发现灾备方案缺失的灾难。
3. 避坑：在真实项目中踩过的五个 IBM SRS 实操深坑，每一条都来自血泪教训
3.1 现象：第2.1节“预选的应用程序包”写明“使用 SAP S/4HANA 2022”，但开发环境部署的是 2021 版本，上线前一周才发现接口协议不兼容
原因：IBM 要求此处必须注明精确到补丁号的版本约束，而团队仅填写了主版本号。SAP 2021 和 2022 在 OData V4 的$expand语法支持上存在细微差异，导致前端报表模块崩溃。
解决：在 SRS 第2.1节强制增加子项2.1.1 版本与补丁要求，格式为：
- SAP S/4HANA: 2022 FPS02 (SP 0012) - 依赖中间件：SAP PI/PO 7.5 SP21 - 关键接口：BAPI_SALESORDER_CREATEFROMDAT2 (v2022.03.15)并在SRS_Attachments/下存sap_version_compatibility_matrix.xlsx，列出各模块对 SAP 版本的最小兼容要求。
3.2 现象：第4.2节“业务量和大小”记录“日均订单量 50万”，但未区分“下单”“支付”“发货”事务，压测时支付服务 CPU 100% 而下单服务闲置
原因：IBM 的“评测单元”（4.1节）要求将业务流程拆解到原子事务级别，但团队错误地将整个“订单处理”视为单一单元。50万是总量，实际支付事务仅占15%，却承载了80%的计算负载。
解决：在 SRS 第4.1节强制定义三级评测单元：
- L1 业务流程：订单处理（Order Processing）
- L2 应用程序：下单服务（Order-Create）、支付服务（Payment-Gateway）、物流服务（Logistics-Dispatch）
- L3 原子事务：
create_order_header,validate_payment_card,allocate_inventory
并在SRS_Attachments/performance_benchmarks.json中为每个 L3 事务单独建模：
{ "create_order_header": {"p95_ms": 120, "tput_eps": 200}, "validate_payment_card": {"p95_ms": 850, "tput_eps": 30}, "allocate_inventory": {"p95_ms": 420, "tput_eps": 150} }3.3 现象：第5.3节“服务中断成本”写“订单中断导致收入损失”，但财务部门拒绝签字，因无法量化“损失”
原因：IBM 强调“尽量从财务上量化”，但团队仅用定性描述。财务需要的是可审计的计算逻辑，而非主观判断。
解决：在 SRS 第5.3节插入标准化计算公式表，并附第三方审计依据：
| 中断类型 | 持续时间 | 影响用户数 | 单用户每分钟损失(USD) | 计算依据 |
|---|---|---|---|---|
| 支付中断 | 15分钟 | 1200 | $2.35 | 基于2023年Q4财报：支付成功率每降1%导致ARPU下降$0.87，当前支付成功率99.2% → 15分钟中断≈0.05%下降 → $0.87*0.05%120015 |
| 下单中断 | 30分钟 | 800 | $1.12 | 基于客服工单分析：下单失败率每升0.1%导致客诉量+7%，平均处理成本$15.2 → $15.27%0.180030/60 |
注意：所有计算依据必须指向
SRS_Attachments/financial_impact_basis.pdf（含审计报告页码）
3.4 现象：第6.1节“安全性需求”要求“客户数据加密”，但渗透测试发现数据库备份文件未加密，被判定为高危漏洞
原因：IBM 的“安全性需求”必须覆盖数据全生命周期（创建、传输、存储、销毁），而团队只关注了传输加密（TLS），忽略了静态存储（备份文件）。
解决：在 SRS 第6.1节增加6.1.4 数据生命周期加密矩阵，用表格强制覆盖：
| 数据状态 | 加密算法 | 密钥管理 | 验证方式 |
|---|---|---|---|
| 传输中 | TLS 1.3 | AWS ACM | Wireshark 抓包验证 |
| 静态存储 | AES-256 | HashiCorp Vault | openssl enc -d -aes-256-cbc -in backup.enc |
| 备份文件 | AES-256-GCM | Cloud KMS | 备份脚本中gcloud kms encrypt调用日志 |
| 日志文件 | Tokenization | PCI-DSS Token Service | 日志脱敏规则配置截图 |
3.5 现象：第1.2节“地理组织”仅写“支持全球用户”，但上线后香港用户投诉页面加载超10秒，CDN 未配置亚太节点
原因：IBM 要求“记录受该系统影响的业务部分所处的地理位置”，但团队未将地理信息转化为技术约束。
解决：在 SRS 第1.2节后新增1.2.1 地理技术约束，直接绑定基础设施：
- 香港用户：必须通过 Cloudflare Hong Kong POP（AS13335）接入，TTFB ≤ 150ms
- 德国用户：必须部署 Azure Germany Central 区域实例，GDPR 数据不出境
- 巴西用户：必须启用 AWS São Paulo (gru1) 边缘缓存，静态资源缓存TTL ≥ 7200s
并在SRS_Attachments/geo_infra_config.yaml中存基础设施即代码（IaC）参数：
cdn: regions: - name: "hk" provider: "cloudflare" pop: "HKG" ttfb_target_ms: 1504. 把 IBM SRS 的“假设与问题”列表变成需求可信度的温度计：用动态追踪表替代静态文档
4.1 为什么“假设与问题”是 SRS 的心脏，而非边角料
IBM 在 1.1 节开宗明义：“有些活动将无法为您提供令人满意的答案……应创建两个列表”。这绝非形式主义——它是需求不确定性的唯一合法出口。在真实项目中，80% 的需求返工源于未显式管理的假设。例如，我们曾为某银行做核心系统升级，SRS 中假设“现有 Oracle 11g RAC 集群可支撑新系统 3 倍负载”，但未标注该假设的验证方式。上线后数据库频繁宕机，追溯发现该假设基于 DBA 的口头估算，无压测报告支撑。IBM 的解法是：将假设列为一级需求项，赋予 ID 并强制闭环。每个假设必须有：
- ID：REQ-ASSUM-001（按章节编号）
- 陈述：“Oracle 11g RAC 集群在 3 倍 TPS 下，CPU 利用率 ≤ 70%”
- 验证方式：
SRS_Attachments/oracle_load_test_report.pdf（含 LoadRunner 脚本与结果） - 责任人：DBA-Team-Lead@company.com
- 状态：Draft / Verified / Invalidated / Obsolete
- 闭环证据：Git Commit Hash 指向验证报告
提示：IBM 的“问题”列表（Problems）与“假设”同等重要。例如“问题：无法获取第三方征信 API 的 SLA 承诺”，其闭环动作不是“等对方回复”，而是“在 SRS 第5.4节增加降级方案：当征信API超时>3s，启用本地缓存信用分（缓存TTL=24h）”。
4.2 动态追踪表的设计：用 Notion 数据库实现假设生命周期可视化
我们放弃 Word 表格，用 Notion 构建SRS_Assumptions_DB数据库，字段设计直击 IBM 要求：
| 字段名 | 类型 | IBM 对应要求 | 示例值 |
|---|---|---|---|
| ID | Text | 唯一标识符 | REQ-ASSUM-001 |
| Statement | Text | 清晰陈述假设 | “Kubernetes 1.22 集群可运行 Istio 1.15 控制平面” |
| Origin | Select | 来源（用例/标准/外部依赖） | “第2.1节：预选应用程序包” |
| Verification_Method | Text | 如何验证 | “在 prod-like 环境部署 Istio 1.15，运行 72h 稳定性测试” |
| Status | Select | Draft/Verified/Invalidated/Obsolete | Verified |
| Evidence_Link | URL | 验证报告位置 | https://company.notion.site/istio-stability-report |
| Last_Updated | Date | 最后更新时间 | 2024-06-10 |
| Owner | Person | 责任人 | @DevOps-Lead |
这个数据库的关键创新在于状态流转自动化：当 Status 改为 “Verified”，Notion 自动触发：
- 在
SRS_Main.docx对应位置插入绿色徽章：✅ VERIFIED (2024-06-10)； - 向 Owner 发送 Slack 通知：“REQ-ASSUM-001 已验证，请更新 SRS_Attachments/istio_stability_report.pdf”；
- 在
SRS_Metadata.yaml中追加assumption_verification_date: "2024-06-10"。
4.3 用假设闭环率预测项目风险：从定性到定量的管理跃迁
IBM 的智慧在于，它把“假设与问题”从风险管理工具升级为项目健康度仪表盘。我们团队实践出一套量化方法：
- 假设闭环率 = （已验证假设数 + 已废弃假设数）/ 总假设数 × 100%
- 临界阈值：
- ≥95%：项目进入低风险区，可启动 UAT；
- 85%~94%：中风险，需召开假设攻坚会，聚焦剩余假设；
- <85%：高风险，暂停开发，回归需求澄清。
在最近一个跨境支付项目中，我们第3周假设闭环率仅 72%，深入分析发现：
- 12 个假设卡在“第三方 API 响应时间”（REQ-ASSUM-015~026）；
- 8 个卡在“监管合规条款解释”（REQ-ASSUM-027~034）。
立即启动双线行动：
- 技术线：用 WireMock 构建 API 响应时间模拟器，将
REQ-ASSUM-015的验证方式改为“在模拟器中设置 P95=1200ms，验证系统降级逻辑”； - 合规线：邀请律所出具《跨境支付数据出境合规意见书》，作为
REQ-ASSUM-027的闭环证据。
两周后闭环率升至 96%，项目重回正轨。这印证了 IBM 的本质：SRS 不是文档，而是需求确定性的操作系统。
5. 用 IBM SRS 的“数量”章节驱动架构决策：当业务量指标成为微服务拆分的唯一裁判
5.1 为什么第4章“数量”是架构师的黄金罗盘，而非测试经理的输入
IBM 将“数量”单列一章（4.1-4.3），远超常规需求文档的范畴。其深意在于：业务量指标是架构决策的终极仲裁者。很多团队陷入“先微服务再拆分”的误区，结果造出一堆耦合的“分布式单体”。IBM 的解法是：用第4.1节“评测单元”定义业务边界，用第4.2节“业务量和大小”量化压力，用第4.3节“业务流程性能标准”设定红线——三者交集即为服务拆分的物理依据。例如，某电商系统 SRS 第4章数据：
- 评测单元 L3：
process_refund（退款处理） - 业务量：日均 12,000 笔，峰值 3,200 笔/小时（集中在午休与晚间）
- 性能标准：P95 响应 ≤ 2.5s，超时即触发人工审核队列
这组数据直接否决了两种错误架构：
- ❌单体架构：
process_refund与generate_invoice（日均 80,000 笔）共用数据库连接池，退款高峰时发票生成延迟飙升； - ❌过度拆分：为
process_refund单独建服务，但日均仅 12,000 笔，资源利用率不足 15%，运维成本反超收益。
✅IBM 推荐架构：将process_refund与send_refund_notification（日均 12,000 笔）合并为RefundOrchestration 服务，因其业务量同频、性能要求一致（通知发送 P95 ≤ 1.8s），且共享同一领域事件（RefundProcessedEvent）。
5.2 从 SRS 数量数据到 Kubernetes HPA 配置的端到端映射
IBM 的“数量”章节必须能驱动基础设施配置。我们团队建立了 SRS → Terraform → Kubernetes 的硬链路：
- SRS 第4.2节结构化：在
SRS_Attachments/business_volume.csv中存：transaction_id,avg_daily_count,peak_hourly_count,p95_target_ms,service_name process_refund,12000,3200,2500,refund-orchestration send_refund_notification,12000,3200,1800,refund-orchestration - Terraform 模块自动生成 HPA：
# modules/srs_hpa/main.tf resource "kubernetes_horizontal_pod_autoscaler_v2" "srs_hpa" { for_each = csvdecode(file("${path.module}/business_volume.csv")) metadata { name = "${each.value.service_name}-hpa" namespace = "prod" } spec { scale_target_ref { api_version = "apps/v1" kind = "Deployment" name = each.value.service_name } # 关键：HPU 目标值 = (峰值TPS * P95目标毫秒) / 1000 # 例：3200笔/小时 ≈ 0.89 TPS → 0.89 * 2500 / 1000 = 2.22 → 设为 2 metrics { type = "Resource" resource { name = "cpu" target { type = "Utilization" average_utilization = 2 # 动态计算值 } } } } } - CI/CD 流水线自动同步：当
business_volume.csv更新，Terraform Plan 自动触发，HPA 配置实时生效。
注意：IBM 的“数量”要求必须包含时间维度（如“高峰期”定义为“工作日 12:00-14:00 及 19:00-22:00”），这直接决定 HPA 的
scale_down_delay配置。例如，若高峰期固定，可设scale_down_delay = "15m"；若随机，则需结合 Prometheus 的rate()函数做动态伸缩。
5.3 用 SRS 第4.3节“业务流程性能标准”反推数据库分库分表策略
IBM 的性能标准不是测试目标，而是数据架构的宪法。以某物流系统为例，SRS 第4.3节明确：
track_package（包裹跟踪）：P95 ≤ 300ms，日均 500 万次查询；update_package_status（状态更新）：P95 ≤ 800ms，日均 200 万次写入。
这组数据直接导出分库分表决策：
| 维度 | 分析 | IBM 依据 | 实施方案 |
|---|---|---|---|
| 读写分离必要性 | 查询量是写入量的 2.5 倍，且读写 P95 差距大（300ms vs 800ms） | 第4.3节要求“不同事务性能标准独立” | 主库（写）+ 3个只读副本（读），应用层路由 |
| 分库键选择 | track_package查询必带tracking_number，update_package_status必带package_id | 第4.1节“评测单元”定义原子事务 | 以tracking_number为分库键，因 95% 流量为查询 |
| 分表粒度 | 日均 500 万查询，单表超 5000 万行后索引效率骤降 | 第4.2节“业务量和大小”量化 | 每库 128 张表，按tracking_numberhash 分片，单表预估 300 万行 |
| 冷热分离 | 90% 查询集中在近 30 天包裹 | 第4.2节要求“记录时间段” | 建立package_tracking_recent（30天）与package_tracking_historic（归档）两张物理表 |
这套决策的威力在于：当业务方提出“增加实时轨迹地图”，SRS 第4.3节已有render_map_trajectory新事务的性能标准（P95 ≤ 1200ms），我们立刻知道需新建trajectory_geo分库，无需二次论证。
6. 从 IBM SRS 的“可用性建议”到混沌工程实验设计：把“计划中的服务时间”变成故障注入的作战地图
6.1 为什么第5章“可用性”是混沌工程的天然蓝图，而非运维SLA
IBM 在 5.1 节强调：“以较小的间隔（例如按照各个流程、用户组、数据组等）来指定可用性需求”，这正是混沌工程的精髓——在可控范围内精准打击。很多团队的混沌实验停留在“随机杀 Pod”，效果堪忧。IBM 的解法是：将 SRS 第5.2节“计划中的服务时间”与第5.3节“服务中断成本”交叉，生成故障注入优先级矩阵。例如，某银行 SRS 数据：
- 服务时间：
- 纽约用户：工作日 7:00-19:00（核心交易时段）
- 香港用户：工作日 15:00-03:00（覆盖亚洲交易）
- 中断成本：
- 纽约时段中断 1 分钟：损失 $24,000（高频交易）
- 香港时段中断 1 分钟：损失 $8,500（零售交易）
- 非工作时间中断：无直接损失（批处理可重跑）
由此生成混沌实验优先级：
| 实验ID | 目标服务 | 注入时间 | 预期影响 | 优先级 |
|---|---|---|---|---|
| CHAOS-001 | Payment-Gateway | 纽约工作日 10:00 | P95 延迟 > 2.5s | 🔴 高（损失最大） |
| CHAOS-002 | Refund-Orchestration | 香港工作日 16:00 | 退款失败率 > 0.5% | 🟡 中（损失次之） |
| CHAOS-003 | Reporting-Engine | 周日凌晨 2:00 | 报表生成延迟 > 2h | ⚪ 低（无损失） |
提示：IBM 的“计划中的服务时间”必须精确到时区。我们曾因将“香港时间”误标为“UTC+8”而非“Asia/Hong_Kong”，导致混沌实验在夏令时切换日误注入，触发了不该触发的熔断。正确做法是在 SRS 第1.2节地理组织中，用 IANA 时区名（如
Asia/Shanghai,America/New_York）而非 UTC 偏移。
6.2 用 SRS 第5.4节“可用性和恢复标准”定义混沌实验的成功边界
IBM 的“可用性和恢复标准”（5.4节）不是宽泛承诺，而是混沌实验的验收合同。例如，SRS 写道：“订单服务在 5 分钟内恢复率 ≥ 99.5%”。这直接转化为混沌实验的 Success Criteria：
- 实验前：在 Chaos Engineering 平台（如 Gremlin）中配置：
# chaos-experiment-order-recovery.yaml targets: - service: order-service attacks: - type: latency config: duration: 300s # 模拟5分钟故障 latency: 5000ms success_criteria: - metric: "http_request_duration_seconds{job='order-service'}" threshold: "p95 < 2500" # 恢复后P95必须≤2.5s window: "5m" tolerance: "99.5%" # 99.5%的请求达标 - 实验中：实时监控
order-service的http_request_duration_seconds指标； - 实验后：自动生成报告，对比 SRS 第5.4节标准：
✅ 成功：99.7% 请求 P95 ≤ 2500ms，满足 ≥99.5% 要求；
❌ 失败：98.2% 请求达标，需回滚架构变更（如移除新引入的 Redis 缓存层）。
这种将 SRS 条款直接映射为可观测性指标的做法，让混沌工程从“炫技”变为“履约”。
6.3 从 SRS 第5.5节“灾难恢复？”到混沌工程的终极战场：跨区域故障演练
IBM 的“灾难恢复？”（5.5节）是混沌工程的最高形态。它要求回答：“服务必须在多长时间内恢复？……在远处工作地点的数据必须处于怎样的更新状态？”。这直接定义了跨区域混沌实验的剧本。例如，SRS 第5.5节规定：
- “核心交易服务灾备RTO ≤ 15分钟，RPO = 0（零数据丢失）”；
- “灾备中心位于 AWS us-west-2，主中心在 us-east-1”。
我们据此设计跨区域混沌实验：
- 注入故障：在 us-east-1 主中心执行
aws ec2 terminate-instances --instance-ids i-1234567890abcdef0（模拟整个可用区宕机）； - 观测指标：
- RTO：从故障注入
本文还有配套的精品资源，点击获取
