Reliability & Graceful Degradation: 解释冗余与故障隔离如何限制爆炸半径。

Core Concept: 多副本/多可用区消除单点、提升可用性；舱壁（bulkhead）按资源池隔离防止一个租户或接口拖垮全局；故障域设计决定爆炸半径。

数学机理：<strong>冗余（redundancy）</strong>——(1) <strong>可用性叠加</strong>——(a) <strong>n 个独立副本</strong>——A_sys = 1 - (1-a)^n；(b) <strong>例</strong>——单副本 99.9% → 双副本 99.9999%；(c) <strong>前提</strong>——<strong>故障独立</strong>（若共因故障则失效）。(2) <strong>共因故障（common-mode failure）</strong>——(a) <strong>来源</strong>——共享依赖（同一 DB、同一网络、同一配置下发、同一有 bug 的部署）；(b) <strong>后果</strong>——所有副本同时挂（1-(1-a)^n 的假设崩溃）；(c) <strong>对策</strong>——消除共享依赖、异构化（不同版本/供应商/区域）、混沌演练暴露共因。(3) <strong>冗余层级</strong>——(a) <strong>进程/实例</strong>——多副本 + 负载均衡；(b) <strong>可用区（AZ）</strong>——跨 AZ 部署；(c) <strong>区域（region）</strong>——跨区域容灾（延迟与一致性代价高）；(d) <strong>N+1</strong>——多留一个容量以应对单点故障。<strong>故障隔离（fault isolation）</strong>——(1) <strong>舱壁模式（bulkhead）</strong>——(a) <strong>类比</strong>——船体分舱，一舱进水不沉船；(b) <strong>实现</strong>——不同租户/接口/模型使用<strong>独立的资源池</strong>（线程池、连接池、GPU 队列）；(c) <strong>效果</strong>——一个租户的流量洪峰或一个接口的慢查询不会耗尽全局资源；(d) <strong>代价</strong>——池无法共享，利用率下降（资源碎片）。(2) <strong>爆炸半径（blast radius）</strong>——(a) <strong>定义</strong>——一次故障影响的范围（用户/服务/数据）；(b) <strong>决定因素</strong>——共享资源的多少、故障域的划分、依赖耦合度；(c) <strong>目标</strong>——最小化爆炸半径。(3) <strong>故障域（fault domain）</strong>——(a) <strong>划分</strong>——机架/AZ/区域/依赖；(b) <strong>设计</strong>——故障不应跨域传播（如 AZ A 挂了不影响 AZ B）；(c) <strong>注意</strong>——跨域依赖会打破隔离（如所有 AZ 都依赖同一个全局服务）。(4) <strong>隔离的维度</strong>——(a) <strong>按租户</strong>——防止 noisy neighbor；(b) <strong>按接口/优先级</strong>——核心接口独立资源；(c) <strong>按模型</strong>——不同模型独立 GPU 池（避免一个模型 OOM 拖垮全部）；(d) <strong>按区域</strong>——数据本地化与容灾。(5) <strong>权衡</strong>——(a) <strong>隔离 vs 利用率</strong>——隔离降低共享、提升可靠性但降低利用率（成本上升）；(b) <strong>定量</strong>——按 SLO 与成本决定隔离粒度；(c) <strong>弹性</strong>——用自动扩缩容缓解利用率损失。(6) <strong>实践</strong>——(a) <strong>消除 SPOF</strong>——识别单点（DB、缓存、队列、DNS、配置中心）；(b) <strong>多 AZ</strong>——默认跨 AZ；(c) <strong>舱壁</strong>——核心与非核心隔离；(d) <strong>熔断降级</strong>——隔离失效时的兜底；(e) <strong>混沌工程</strong>——主动验证隔离是否有效。<strong>与其他问题的关系</strong>——(a) 与熔断限流（隔离失效后的保护）；(b) 与容量规划（N+1）；(c) 与优雅降级（隔离下的兜底）；(d) 与事故复盘（爆炸半径分析）。<strong>度量</strong>——(a) 可用性（实际 vs 理论）；(b) 爆炸半径（一次故障影响范围）；(c) 共因故障次数；(d) 资源利用率（隔离代价）。

深度剖析与工程权衡：① <strong>1-(1-a)^n 的前提是故障独立</strong>——共因故障会让冗余失效；面试中能指出这点是深度理解的标志。② <strong>共享依赖是共因故障的根源</strong>——配置中心、DB、DNS 常是隐藏 SPOF。③ <strong>舱壁隔离限制爆炸半径</strong>——代价是利用率下降。④ <strong>故障域设计决定故障是否跨域传播</strong>——跨域依赖会打破隔离。⑤ <strong>隔离粒度是成本-可靠性权衡</strong>——按 SLO 定量。⑥ <strong>冗余不能替代降级</strong>——隔离失效时仍需熔断兜底。⑦ <strong>面试要点</strong>——被问怎么提升可用性，应给出'<strong>消除 SPOF（多副本/多 AZ）+ 舱壁隔离 + 故障域设计 + 共因故障消除 + 混沌验证 + 降级兜底</strong>'；能指出'故障独立前提'与'共享依赖是共因根源'是深度理解的标志。