3. 故障域概念与设计

3.1 故障域定义

故障域（Failure Domain）是平台工程中隔离故障影响范围的基本单位。在 Kubernetes 和 IDP 环境中，故障域通常分为三个层级：可用区（Zone）、集群（Cluster）和节点（Node）。每个层级对应不同的物理或逻辑隔离边界，决定了故障传播的半径。

3.2 IDP 中的故障域映射策略

平台工程 IDP 需要将抽象的工作负载（Helm Release、微服务、中间件）映射到底层故障域。映射策略决定了当某个故障域失效时，哪些工作负载会同时受损。

• Zone → Cluster 映射：每个可用区部署一个或多个 Kubernetes 集群，集群内的节点全部位于同一可用区。这种映射简单直接，但跨 AZ 流量需要集群间网络打通。
• Cluster → Node 映射：集群内的节点按可用区打上 topology.kubernetes.io/zone 标签，通过 NodeAffinity 和 PodAntiAffinity 控制 Pod 分布。
• Helm Release → 故障域：在 Helm values 中声明 topologySpreadConstraints 和 affinity 规则，将 Release 内的 Pod 分散到不同故障域。

3.3 反亲和性设计原则

反亲和性（Anti-Affinity）是故障域隔离的核心实现手段。在 Helm Chart 中通过 podAntiAffinity 和 topologySpreadConstraints 控制 Pod 分布，确保同一工作负载的多个副本不会落在同一故障域内。

3.3.1 反亲和性策略对比

3.3.2 Helm 模板中的反亲和配置示例

# values.yaml
affinity:
  podAntiAffinity:
    requiredDuringSchedulingIgnoredDuringExecution:
    - labelSelector:
        matchExpressions:
        - key: app.kubernetes.io/name
          operator: In
          values:
          - {{ .Values.nameOverride | default .Chart.Name }}
      topologyKey: kubernetes.io/hostname
  topologySpreadConstraints:
  - maxSkew: 1
    topologyKey: topology.kubernetes.io/zone
    whenUnsatisfiable: ScheduleAnyway
    labelSelector:
      matchLabels:
        app.kubernetes.io/name: {{ .Values.nameOverride | default .Chart.Name }}

3.3.3 反亲和性设计原则总结

• 分层隔离：先保证跨可用区（Zone）分布，再保证跨节点（Host）分布，最后考虑跨机架或跨交换机。
• 软硬结合：核心服务（etcd、API Server）使用硬反亲和；普通微服务使用软反亲和 + TopologySpreadConstraints。
• 容量感知：反亲和规则必须与集群容量规划联动，避免因约束过严导致资源碎片。
• Helm 参数化：将反亲和策略暴露为 values 参数，允许运维人员在突增时动态调整约束强度。

3.4 故障域与 Helm 水位预测的关联

在容量突增场景下，故障域设计直接影响 Helm 水位预测的准确性。如果反亲和约束过于严格，突增时 Pod 可能因找不到满足约束的节点而处于 Pending 状态，导致实际水位低于预期。因此，水位预测模型必须将故障域约束作为输入参数，计算有效可调度容量。