1. 课程导论：集群升级的挑战、故障域隔离的必要性、Envoy在流量控制中的角色

1.1 集群升级：一场不可避免的高风险手术

在云原生基础设施的运维生命周期中，集群升级（Cluster Upgrade）是最频繁、也是风险最高的操作之一。无论是 Kubernetes 版本升级、节点操作系统补丁、还是 Service Mesh 控制面更新，每一次变更都可能在分布式系统中引发连锁故障。

典型的升级风险包括：

• 控制面与数据面版本不兼容：kube-apiserver 与 kubelet 的 API 版本差异导致 Pod 调度失败。
• 流量中断：节点排水（Drain）期间，未优雅退出的连接被硬切断。
• 配置漂移：升级过程中 Sidecar 代理配置丢失或回滚，导致路由规则失效。
• 级联故障：单个节点升级失败引发集群负载均衡器错误重试，压垮剩余节点。

1.2 故障域隔离：将爆炸半径控制在最小单元

故障域隔离（Failure Domain Isolation）是分布式系统韧性设计的基石。在集群升级场景中，它的目标是将升级引发的故障影响范围限制在最小的逻辑或物理单元内，防止局部问题扩散为全局灾难。

常见的故障域隔离层次：

故障域隔离的核心原则：

1. 最小化共享状态：升级中的节点不应承担关键流量。
2. 优雅退出机制：在隔离前完成存量请求处理。
3. 可观测性前置：每个隔离单元都有独立的监控指标。
4. 回滚能力：隔离失败时能快速恢复至上一稳定版本。

1.3 Envoy 在流量控制中的核心角色

Envoy Proxy 作为云原生数据面的标准组件，在集群升级场景中承担着流量控制枢纽的关键职责。它不仅仅是 Sidecar 代理，更是实现故障域隔离的战术执行层。

Envoy 在升级流量控制中的四大核心能力：

1.4 课程核心脉络

本课程将围绕“升级风险识别 → 故障域隔离设计 → Envoy 流量控制实现 → 生产验证”这一主线展开，覆盖以下关键模块：

• 升级风险建模：从控制面、数据面、工作负载三个维度分析升级故障模式。
• 故障域隔离策略：基于 Kubernetes 原生机制 + Envoy 扩展实现多层级隔离。
• Envoy 流量控制深度实践：连接耗尽、优雅关闭、金丝雀路由、熔断降级。
• 可观测性与验证：升级过程中的监控、告警、自动化回滚决策。
• 生产级案例：大规模集群升级的故障复盘与工程最佳实践。