从单体到分布式系统的韧性设计指南
目录导读
- 什么是高可用架构？核心指标与常见误区
- 高可用的四层体系：从硬件到业务的全链路保障
- 关键设计模式：冗余、限流、熔断与降级
- 实战问答：中小团队如何低成本实现99.9%可用性？
- 常见陷阱与避坑指南
什么是高可用架构？核心指标与常见误区
问：高可用架构的“高可用”到底衡量什么？
答：通常用SLA（服务等级协议）表示，99.9%可用”意味着一年宕机时间不超过8.76小时，但很多人误以为“多部署几台服务器”就行——高可用是系统性抗风险能力，包括应对硬件故障、流量洪峰、代码缺陷和人为误操作。
核心指标：
- MTBF（平均无故障时间）：越长说明系统越稳定
- MTTR（平均恢复时间）：越短说明自愈能力越强
- RTO（恢复时间目标）与RPO（恢复点目标）：决定你能容忍多久丢失数据
常见误区：只关注“不宕机”，忽略“部分可用”——高可用允许局部降级（如关掉推荐功能、只保留支付核心链路），保证核心服务不被拖垮。
高可用的四层体系：从硬件到业务的全链路保障
第一层：基础设施层
- 冗余设计：服务器跨机房/可用区部署（主备/双活），避免单点故障，例如使用Keepalived+BGP实现VIP漂移。
- 网络容错：多路运营商接入、BGP多线、NAT网关主备。
- 存储高可用：数据库采用主从复制+自动故障切换（如MySQL MHA/Orchestrator），或分布式存储（TiDB/CockroachDB）。
第二层：应用架构层
- 无状态设计：将Session信息移到Redis/ETCD，应用服务器随时可扩缩容。
- 服务拆分：将单体拆分为微服务，服务间通过RPC（gRPC/Dubbo）或消息队列解耦，单个服务故障不影响全局。
- 负载均衡：使用Nginx/HAProxy做四层/七层分发，上游健康检查自动摘除宕机节点。
第三层：数据层
- 分库分表+主从读写分离：写库故障时，从库升级为主库；读库故障时，降级使用本地缓存或限流。
- 异地多活：两地三中心甚至三地五中心架构，通过消息同步（如Kafka + Debezium）或基于时间戳的最终一致性。
第四层：业务层
- 熔断与降级：当依赖的服务响应超时（如推荐系统），自动熔断调用，返回默认结果（如“猜你喜欢”改为“热门商品”）。
- 限流：基于令牌桶（Guava RateLimiter）或滑动窗口（Sentinel）限制单用户/单IP QPS，防止恶意流量压垮DB。
- 超时与重试：设置RPC超时时间（如500ms），失败后重试3次且间隔指数递增，避免重试风暴。
关键设计模式：冗余、限流、熔断与降级
问：限流和熔断有什么区别？什么时候用哪个？
答：限流是保护自身（控制入口流量），熔断是保护下游依赖（当被调用方响应变慢时主动切断），用户搜索请求太多，先限流；如果缓存数据库响应变慢，熔断调用并走降级方案（返回上次缓存结果）。
实战经验：
- 熔断器的三种状态：关闭（正常调用）、打开（直接拒绝）、半开（试探性放行一小部分请求，成功后恢复）。
- 降级策略要具备“自动触发+人工干预”能力：例如利用开关（配置中心如Apollo/Nacos）一键关闭非核心功能，如“双十一期间暂停评论审核功能”。
实战问答：中小团队如何低成本实现99.9%可用性？
Q1：只有3台服务器，怎么做高可用？
- 部署2台应用服务器 + 1台数据库（主库），使用Nginx做前端负载均衡，主库自动备份到从库（同机异盘或跨机）。
- 使用云厂商托管服务（如阿里云RDS、腾讯云Redis）免去运维自建集群，成本大约每月几百元。
Q2：单机版数据库怎么高可用？
- MySQL用Binlog + 异步复制到备机，主库宕机后手动提升备库（脚本化）。
- 或者使用Galera Cluster（3节点最小配置）实现同步多主，但需评估写入性能下降（约30%）。
Q3：如何避免“秒杀”活动时系统崩溃？
- 前端：CDN缓存静态页面 + 浏览器本地限流（点击后按钮变灰3秒）
- 后端：MQ队列削峰（秒杀请求写入Kafka/Topic，后端按固定速率消费）+ 令牌桶限流（单用户1次/秒）
- 最终一致性：扣减库存用Redis预扣 + MySQL异步对账，失败则回滚。
常见陷阱与避坑指南
- 滥用分布式事务：使用TCC或Seata会导致性能下降，建议用“最终一致性+补偿”替代（如订单创建失败后24小时自动取消）。
- 忽略链路追踪：没有Trace ID很难定位故障（如Zipkin/Pinpoint落地），建议从第一天就引入。
- 过度设计：小团队不要追求“全自动故障切换”，手动切换+监督脚本更可控，先做“可观测性”（Prometheus + Grafana报警），再逐步自动化。
- 不压测不演练：基于“假设”做架构没用——必须用压测工具（wrk/Locust）模拟极限流量，定期做“混沌工程”如随意关掉一个Kubernetes Pod，看系统是否自愈。
高可用架构不是一蹴而就的,而是“容忍故障-记录故障-修复缺陷-提高韧性”的循环，核心思想是：永远不要依赖单一组件，永远为最坏情况做准备，从“3台服务器+脚本”起步，随着用户增长逐步引入自动切换、异地多活、智能降级——让系统像水管一样，即使局部破裂，也能继续供水。
