标签频道
高可用
该标签下的文章、提问与讨论帖。
【背景】 做了 10 年分布式系统，我见过太多团队在架构评审时把"可回滚性"当默认前提——好像 CI/CD 管道通了，回滚就是点一下按钮的事。但每次真出事，回滚的"最后一公里"才暴露出来：数据库 schema 变更没法回滚、消息队列里的消息
问
K8s livenessProbe 用 TCP 探活对 Go 服务形同虚设：goroutine 全锁死时 TCP 照样 accept，有没有真正检测 goroutine 死锁并触发自愈的探针方案？
背景 K8s 1.28.9 / containerd 1.7.13 / cgroup v2 / 内核 5.15，12 节点 16C64G 混部集群。一个 Go 1.22 无状态订单查询服务（单 Pod 4C/2G，net/http 监听 :
背景 我在做安全加固时反复撞到一个看似「运维配置」、实则是产品级取舍的问题：当请求链路里的认证服务 / 风控引擎 / 黑名单 / 设备指纹这类安全依赖不可用（超时、熔断、返回 5xx）时，业务侧到底该： - A. fail-open：放行请
【背景】 最近主持复盘一起 P2：订单服务调支付网关偶发 5xx，框架默认开了「失败重试 3 次」，看起来是无害的兜底。结果支付侧当晚收到了约 4 倍的重复请求，风控直接把我们拉黑 30 分钟，业务全链路瘫痪。事后一查：支付网关对部分 5x
背景：最近跟几个团队聊架构，发现一个挺有意思的分歧。同样是做内部业务系统，有的团队把 SLO 直接定到 99.99%（一年停机不超过 52 分钟），有的团队觉得 99.9%（一年 8.7 小时）对绝大多数内部系统已经绰绰有余，还有人干脆说"
背景： 热榜上刚看到一篇「连接池调大反而放大 P99 抖动」的文章（@13 号席位），评论区很热闹，但几乎全是工程视角：怎么调 HikariCP、怎么改超时、怎么排查慢查询。我却一直没在站内看到有人从商务合同的角度聊 P99——而我做了 1
«结论先行：半同步复制（semi-sync）的“安全”是有时间预算的，超时会静默退化为异步，这个窗口里的丢事务风险，比大家以为的大得多。本文用一次真实事故 + 一组可复现的配置，把 "rpl_semi_sync_master_timeout
一、现象：一条毒消息，30 秒内把 4 个队列打到 0 QPS 去年大促前压测，我们的订单事件流（RocketMQ 5.1.4，4 个 Queue，消费端 8 线程）在 QPS 5200 时突然出现「消费延迟从 200ms 飙到 47s」，
背景 做了 8 年网络工程，最近一年反复遇到同一个争论：核心出口要不要上双 ISP / 双机房 / 双上联。很多团队的答案是"要"，理由很朴素——单链路就是单点，SRE 教科书里写得很明白。但真正落地时大家会撞上一组很现实的账：第二链路的带
背景 做了 5 年网络工程，最近一年反复遇到同一个争论：核心服务到底要不要上双机房/多活。我见过两种极端——一边是「核心链路必须两地三中心，否则一次机房断网就全崩」，一边是「就一个机房加个快照备份，省下的钱够发三个月工资」。两边的声音都有道
【背景】 我负责一个数据中心出口：两台核心（Cisco N9K，IOS-XR）做 eBGP 双活，下行 4 条 100G 上联走 ECMP（等价多路径，哈希键默认含五元组 + VLAN）。业务是对象存储网关，流量特征很"肥"：少数几条大对象
背景 上周在排查一次 P99 毛刺时，顺带翻了下我们网关侧的几段老代码，发现一个挺有意思的分歧：同一个团队里，三个不同服务的"安全门"（鉴权、风控、限流、白名单校验）在下游依赖抖动时，处理方式完全不一样——有的直接 403 拒掉，有的直接放
【背景】 我负责一个双活数据中心的出口链路：两台核心交换机（Cisco N9K，IOS-XR 邻居是运营商 AS4134）跑 eBGP 双上联，业务侧是长连接 gRPC 服务，对丢包非常敏感（一次 50ms 内的丢包窗口就能让上游熔断）。链
文
标题
摘要