📚 课程目录第4章无损切换定义

4. 无损切换定义：零停机、零错误、零数据丢失的升级目标

在集群升级场景中，无损切换并非一个模糊的运维口号，而是一组可量化、可验证的工程指标。它要求升级过程对最终用户完全透明，业务系统在升级窗口内保持与正常运行时一致的可用性、正确性与完整性。本章从三个核心维度——零停机、零错误、零数据丢失——拆解无损切换的定义，并建立可观测的判定标准。

4.1 三维无损模型

无损切换的三大目标相互独立又彼此关联，共同构成升级质量的底线。下表从定义、度量方式、关键依赖三个角度进行对比：

维度	定义	度量方式	关键依赖
零停机	升级期间业务端点始终可访问，无连接拒绝或超时	端到端健康检查成功率 100%，TCP/UDP 连接无中断	Gateway API 流量切分、优雅关闭、连接排空
零错误	请求在升级前后语义一致，无 5xx、无协议错误	HTTP 错误率 0%，gRPC 状态码非 OK 比例为 0	请求幂等性、会话亲和性保持、后端版本兼容
零数据丢失	已提交数据不丢失，未提交数据不错误提交	数据库事务日志无回滚异常，消息队列无重复/丢失	两阶段提交、消息确认机制、状态持久化

  关键认知：三个维度存在优先级关系。零停机是基础，零错误是体验，零数据丢失是底线。在资源受限时，应优先保证数据完整性，其次才是请求无错误，最后才是连接不中断。

4.2 零停机：连接层面的无损

零停机要求升级过程中已有连接不被强制断开，新连接能够正常建立。在 Kubernetes 和 Gateway API 的语境下，这需要以下机制协同工作：

优雅关闭（Graceful Shutdown）：Pod 在收到 SIGTERM 后，先停止接收新连接，再等待已有连接处理完毕（preStop hook + 排空周期）。
连接排空（Connection Draining）：Gateway 在将后端标记为“不健康”后，保持已有连接存活直到处理完成或超时，而非立即切断。
就绪探针（Readiness Probe）：新版本 Pod 通过就绪检查后，Gateway 才将其加入后端列表，避免流量过早导入。

零停机的判定标准通常采用并发连接存活率指标：

# 零停机判定公式
存活率 = (升级期间成功建立的连接数 + 升级期间正常关闭的连接数) / 升级期间总连接请求数
目标值：100%

4.3 零错误：语义层面的无损

零错误不仅要求 HTTP 状态码不为 5xx，更要求请求语义在升级前后保持一致。常见的错误场景包括：

协议不兼容：旧版 Gateway 与新版后端之间 HTTP/2 设置帧冲突。
会话状态丢失：用户登录态因后端实例切换而失效，导致 401/403。
请求重放或乱序：客户端重试导致重复提交，或后端版本变更导致请求处理逻辑不一致。

Gateway API 的 HTTPRoute 和 BackendTrafficPolicy 提供了会话亲和性（Session Affinity）和重试策略（Retry Policy）来缓解这些问题。零错误的验证需要端到端的流量回放或生产流量镜像对比。

实践建议：在灰度切流阶段，使用 Gateway API 的 RequestMirror 功能将 1% 的流量镜像到新版本集群，对比响应体、响应头和状态码的一致性。这是零错误验证最有效的手段之一。

4.4 零数据丢失：持久化层面的无损

零数据丢失是升级中最难保证的维度，因为它涉及有状态组件。在集群升级中，数据丢失通常发生在以下环节：

连接排空超时：正在写入数据库的请求被强制中断，导致部分写入未提交。
消息队列偏移：消费者在升级期间未提交偏移量，重启后重复消费或丢失消息。
分布式事务中断：跨多个服务的 Saga 事务在升级过程中被截断，导致数据不一致。

零数据丢失的工程保障需要引入预写日志（WAL）、幂等性设计和事务补偿机制。在 Gateway 层面，可以通过 BackendTrafficPolicy 中的 connection.drainingTimeout 设置足够长的排空超时（通常建议 30s-60s），确保正在处理中的写请求能够完成。

4.5 无损切换的判定流程图

下图展示了从升级开始到结束，无损切换的判定逻辑与各维度之间的依赖关系：

4.6 无损切换的量化验收标准

在 SRE 实践中，无损切换不能仅靠定性描述，必须建立可量化的验收标准。下表列出了每个维度的具体指标与验收阈值：

维度	指标名称	验收阈值	采集方式
零停机	端到端可用性（SLI）	≥ 99.999%	全局负载均衡器 + 合成监控
零停机	连接中断次数	0	Gateway 连接日志
零错误	HTTP 5xx 比例	0%	Prometheus + Gateway 指标
零错误	gRPC 错误码比例	0%	gRPC 拦截器指标
零数据丢失	数据库事务回滚率	0%	数据库审计日志
零数据丢失	消息队列未确认消息数	0	消息队列监控

注意：验收阈值必须在升级开始前由 SRE 团队与业务方共同确认，并写入升级变更单。升级过程中若任一指标超出阈值，应立即触发自动回滚流程，而非等待人工决策。

4.7 无损切换的工程边界

无损切换并非在所有场景下都能实现。以下情况需要接受有限度损失或采用特殊策略：

有状态组件升级：如数据库主从切换，可能存在毫秒级的写入不可用，需要通过客户端重试和连接池配合来掩盖。
协议不兼容升级：如 HTTP/1.1 升级到 HTTP/2，需要 Gateway 层做协议转换，可能引入额外的延迟。
跨版本大跨度升级：如 Kubernetes 1.20 → 1.28，API 版本变更可能导致 CRD 资源无法被旧版控制器识别，需要分阶段迁移。

在这些边界场景中，无损切换的目标应调整为用户感知无损，即通过客户端重试、缓存、降级等手段，将底层的有损操作对用户透明化。