高可用设计
2023年618大促，我们服务在零点流量峰值时直接雪崩。
原因是开发团队只做了接口限流，没做熔断降级。当下游服务超时堆积时，调用方还在疯狂重试，结果整个链路被打爆，20 分钟内所有服务全部宕机。
事后复盘，如果当时做了熔断和快速失败，这场事故完全可以避免。
【架构权衡】 高可用不是加几个开关就能解决的事。它是一个系统工程，从限流、熔断、降级，到多活、单元化、混沌工程，每个环节都要做到位。任何一个短板都可能成为压死系统的最后一根稻草。
一、内容总览
本模块覆盖高可用架构的完整知识体系，从流量治理到架构冗余：
1.1 流量治理 🔴
1.2 多活架构 🟡
1.3 容量与性能 🟡
1.4 冗余与备份 🟡
1.5 可观测与应急 🟡
二、学习路径指引
第一阶段：流量治理（5-7 天）
先看 限流原理，理解令牌桶、滑动窗口、漏桶三种算法的原理和适用场景。然后看 熔断降级，理解 Hystrix/Sentinel 的熔断器模式，以及什么时候该熔断、什么时候该降级。
限流解决的是"系统能扛多少"的问题，熔断解决的是"系统失控时怎么快速失败"的问题。两者配合才能真正保护系统。
第二阶段：缓存性能（3-5 天）
缓存是性能优化的核心手段，但缓存的坑不比任何其他组件少。看 缓存性能 理解缓存击穿、穿透、雪崩的原理和解决方案。
【架构权衡】 缓存的三大坑（击穿、穿透、雪崩）每一个都能让系统崩溃。缓存击穿是热点 key 过期时大量请求打到数据库；缓存穿透是请求的数据既不在缓存也不在数据库；缓存雪崩是大量 key 同时过期。理解这三个场景，才能设计出健壮的缓存架构。
第三阶段：多活与单元化（5-7 天）
多活架构 是大型互联网公司的标配。先理解同城双活和异地多活的区别，再看 单元化架构 理解怎么拆分流量、怎么保证数据一致性。
多活最大的坑是数据一致性。同城双活还好，异地多活的数据同步延迟可能是几百毫秒到几秒。设计多活架构时，必须考虑数据同步方案和故障切换策略。
第四阶段：混沌工程与应急（持续）
混沌工程 是用故障注入来验证系统韧性的方法论。配合 健康检查 和 全链路测试，建立完整的高可用验证体系。
三、生产避坑速查
四、面试高频考点
第一追问：限流算法有哪些？令牌桶和漏桶的区别是什么？
考察候选人对流量治理的理解深度。必须能说清楚令牌桶、滑动窗口、漏桶的算法原理，以及各自的适用场景。
第二追问：熔断器的状态流转是什么样的？什么时候该从熔断变成半开？
考察候选人对熔断机制的理解。必须能讲清楚 Closed/Open/HalfOpen 三种状态，以及状态转换的触发条件。
第三追问：缓存击穿、穿透、雪崩怎么解决？
考察候选人对缓存三大坑的实战经验。必须能为每个场景给出具体的解决方案，而不是泛泛而谈。
【架构权衡】 高可用设计没有银弹。限流、熔断、降级、多活、单元化......每一种手段都有它的适用场景和边界。选择时必须基于业务的真实需求和系统的当前状态，没有万能方案。
五、核心能力矩阵
本模块是 SRE 视角的高可用知识体系，从流量治理到架构冗余，从可观测到应急响应，每个环节都是生产环境多年踩坑沉淀出来的经验。