3. 故障域理论基础：故障域定义、单点故障（SPOF）分析、故障隔离边界（AZ/Region/Cluster）

在构建高可用的 DNS 基础设施时，理解故障域（Fault Domain）是设计容灾架构的前提。故障域定义了系统中一组共享单一故障点的组件集合——当该故障点失效时，集合内的所有组件都会受到影响。本章从故障域的基本定义出发，逐步深入到单点故障（SPOF）的识别方法，并系统梳理云原生环境下三个核心的故障隔离边界：可用区（AZ）、地域（Region）和集群（Cluster）。

3.1 故障域定义与核心特征

故障域是一个逻辑或物理的边界，用于界定一组资源在发生特定类型故障时的共同影响范围。在 Kubernetes 和 Helm 部署的上下文中，故障域通常由基础设施层（如机架、电源、网络交换机）或云平台抽象层（如可用区、地域）来定义。

3.2 单点故障（SPOF）分析

单点故障（Single Point of Failure, SPOF）是指系统中如果某个组件失效，将导致整个系统或关键功能不可用的组件。在 DNS 架构中，SPOF 往往隐藏在看似冗余的设计中。

3.2.1 SPOF 识别矩阵

3.2.2 SPOF 消除原则

• 冗余（Redundancy）：每个关键组件至少部署 N+1 个副本，且副本分布在不同的故障域中。
• 去状态（Statelessness）：DNS 数据平面尽量保持无状态，状态集中到后端存储（如 etcd/Redis）。
• 健康检查与自愈：通过 Liveness/Readiness Probe 自动摘除故障实例，并触发重建。
• 故障切换（Failover）：客户端或负载均衡器应具备自动切换到健康后端的能力。

3.3 故障隔离边界：AZ / Region / Cluster

在云原生环境中，故障隔离边界通常分为三个层次。理解每个边界的隔离能力和限制，是设计 DNS 多活架构的基础。

3.3.1 三层隔离边界对比

3.3.2 故障隔离边界示意图

下图展示了从 Pod 到 Region 的故障域层次结构，以及每个边界对应的隔离范围。

3.4 故障域划分在 DNS 部署中的实践意义

在 Helm 部署 DNS 服务时，故障域划分直接决定了 values.yaml 中的拓扑约束配置。以下是一个典型的跨 AZ 部署配置片段：

# values.yaml 中的拓扑约束配置
topologySpreadConstraints:
  - maxSkew: 1
    topologyKey: topology.kubernetes.io/zone
    whenUnsatisfiable: DoNotSchedule
    labelSelector:
      matchLabels:
        app: coredns

affinity:
  podAntiAffinity:
    preferredDuringSchedulingIgnoredDuringExecution:
      - weight: 100
        podAffinityTerm:
          labelSelector:
            matchLabels:
              app: coredns
          topologyKey: kubernetes.io/hostname

3.5 故障域设计决策表

在实际项目中，需要根据服务等级目标（SLO）和成本预算来选择合适的故障域策略。下表总结了不同场景下的推荐方案：