4. 核心概念：故障域的定义与跨集群故障域回归检查

在多集群与云原生架构中，故障域（Failure Domain）是描述系统在遭遇单点故障时受影响范围的逻辑或物理边界。理解故障域的层级、隔离原则以及跨集群回归检查的目标，是构建高可用发布体系的基础。

4.1 故障域的定义与层级

故障域从物理到逻辑可分为五个典型层级，每一层对应不同的故障半径和隔离策略。下表总结了各层级的定义、典型故障场景及在发布窗口中的关注点：

4.2 故障域隔离原则

故障域隔离的核心目标是限制爆炸半径，确保单一故障不会级联扩散到整个系统。在多集群版本漂移校准场景中，需遵循以下三条原则：

1. 物理隔离优先：不同故障域之间应共享尽可能少的物理资源（电源、网络设备、冷却系统）。例如，两个可用区不应共用同一路市电或同一台核心交换机。
2. 控制面与数据面解耦：每个集群的控制面（API Server、etcd）应独立部署，避免跨集群共享控制面组件。发布窗口中的版本变更应优先验证控制面兼容性。
3. 依赖最小化：跨故障域的服务调用应设计为异步或可降级，避免强依赖链。在回归检查中，需验证跨域调用是否因版本差异导致协议不兼容或超时。

4.3 跨集群故障域回归检查的目标

在版本漂移校准发布窗口中，跨集群故障域回归检查并非简单的“跑一遍测试用例”，而是有明确的工程目标：

• 目标一：版本一致性校验 —— 确保同一故障域内的所有集群版本差异在允许阈值内（例如：补丁版本差异 ≤ 1，主版本必须一致）。
• 目标二：故障隔离有效性验证 —— 模拟单一故障域失效（如断网、断电），验证流量是否自动切至其他域，且切流后服务版本仍满足兼容性要求。
• 目标三：回归影响范围量化 —— 当某个故障域内的集群执行版本升级后，量化其对其他域造成的性能、延迟、错误率影响，并确认是否触发跨域回滚。
• 目标四：发布窗口边界确认 —— 确认当前发布窗口所覆盖的故障域集合是否完整，是否存在未纳入回归检查的“灰色故障域”。

4.4 跨集群故障域回归检查的流程框架

基于上述目标，跨集群故障域回归检查在发布窗口中的执行流程可抽象为以下五个步骤：

1. 故障域清单枚举：列出本次发布窗口涉及的所有故障域（AZ/DC/Cluster），并标注其当前版本基线。
2. 版本差异扫描：对每个故障域内的集群执行版本快照，计算跨域版本差异矩阵，标记超出阈值的域。
3. 隔离性预检：通过网络策略、资源配额、调度规则验证故障域间的隔离配置是否生效。
4. 回归测试注入：在目标故障域内注入模拟故障（如节点宕机、网络延迟），观察其他域的服务是否正常。
5. 结果判定与决策：根据回归检查结果，判定当前发布窗口是否可继续、需回滚或需扩大回归范围。

4.5 关键指标与阈值参考

在跨集群故障域回归检查中，以下指标用于量化检查结果并辅助决策：