qa-resilience-fault-injection

1. Position

韧性 / 混沌工程 skill。回答的是"当依赖变慢 / 断连 / 容器死掉 / 资源耗尽时，这个系统会优雅降级、自愈、还是雪崩"。它不是压测（qa-load-stress-reliability 量"能扛多少 RPS、断点在哪"）——本 skill 量"遇到坏事时的行为"：超时是否生效、重试是否有界、熔断是否打开、降级路径是否存在、告警是否触发、恢复是否自动。

混沌工程的产业定义（Principles of Chaos Engineering）是实验，不是"随便搞坏看看"：先定义稳态（steady-state）→ 提出假设（注入故障后稳态仍维持）→ 在有界爆炸半径内注入真实世界故障 → 观测稳态是否被打破 → 始终回滚。本 skill 强制这套科学方法，不允许无假设乱注入。

铁律：这是 RED-LINE skill。planning-first + DOUBLE-GATE，限 staging / lab，绝不打生产。 注入故障会主动制造 latency / 断连 / 杀进程 / 占资源——在生产上做就是自残（拖垮真实用户、可能触发级联故障）。本 skill 的安全边界完全复用父级 Hard Rule §2.6（No destructive production testing），不发明新的 gate 机制——它把那条既有规则 + pentest-scope-and-roe 式的"先 plan、人确认、再执行"模式套到混沌实验上。

2. Triggers

• Parent §6 Step 5（risk 选了 Resilience layer — 通常 High/Critical + 多依赖 / 分布式 / 微服务 / 队列 / 外部 API 重度依赖的后端）
• 架构引入新的失败面：加了外部依赖、消息队列、缓存层、跨服务调用、超时 / 重试 / 熔断逻辑
• 发布前韧性验证（"依赖挂了我们扛得住吗"）
• 事后复盘驱动（生产出过级联故障 / 重试风暴 / 超时雪崩 → 验证修复确实让系统更韧）
• GameDay / DiRT 演练（团队定期做的受控故障演练）
• 独立触发：SRE / 平台团队做 resilience review
• 与 security-governance-threat-modeling §6.5（benign failure modes：retry storm / cascade / capacity ceiling）对称——threat-model 在设计期识别这些失败模式，本 skill 在 staging 实测它们