3、故障域理论基础：故障域定义、故障域层级（节点/机架/可用区/区域）、故障域与高可用关系

3.1 故障域定义

故障域（Fault Domain）是分布式系统与云原生架构中的核心抽象概念，指一组共享单一故障点的资源集合。当该故障点失效时，集合内的所有资源将同时不可用。故障域的本质是故障传播边界——故障被限制在域内，不会跨域扩散。

在多租户配额管理场景中，故障域决定了配额资源的物理分布约束。如果两个租户的 Pod 被调度到同一故障域，该域故障时两个租户同时受损；反之，跨故障域分布可显著降低多租户同时故障的概率。

3.2 故障域层级模型

云原生基础设施通常定义四级故障域层级，从底层硬件到顶层地理区域。层级越高，故障影响范围越大，恢复时间越长。

3.3 故障域层级可视化

下图展示了四级故障域层级的嵌套关系与典型故障点。每个层级都是其上层故障域的组成部分，故障从底层向上传播。

3.4 故障域与高可用关系

高可用（High Availability, HA）的核心目标是将系统可用性提升至 99.99% 以上（年停机时间 ≤ 52.56 分钟）。故障域是实现高可用的物理基础——没有合理的故障域划分，任何软件层面的冗余设计都无法抵御基础设施级故障。

3.4.1 故障域冗余策略

• 节点级冗余：同一工作负载的多个副本分布在不同的节点上（L1 故障域分离）。可抵御单节点故障，但无法抵御机架级故障。
• 机架级冗余：副本分布在不同机架（L2 故障域分离）。可抵御 ToR 交换机或机架 PDU 故障，适用于中小规模集群。
• 可用区级冗余：副本分布在不同可用区（L3 故障域分离）。可抵御整个数据中心故障，是云原生架构的标准 HA 模式。
• 区域级冗余：跨 Region 部署（L4 故障域分离）。用于灾难恢复（DR）场景，RTO/RPO 通常在分钟到小时级别。

3.4.2 故障域与可用性计算公式

假设单个节点的可用性为 99.9%（年停机 8.76 小时），机架内 20 个节点共享 ToR 交换机（可用性 99.99%），则机架级可用性为：

机架可用性 = 节点可用性 × 交换机可用性
           = 0.999 × 0.9999
           = 0.9989（约 99.89%）

跨 3 个机架部署 3 副本的系统可用性（假设机架故障独立）：
系统可用性 = 1 - (1 - 0.9989)³
           = 1 - (0.0011)³
           = 1 - 1.331 × 10⁻⁹
           ≈ 99.99999987%（约 8 个 9）

该计算表明：跨故障域冗余可将系统可用性从单机架的 99.89% 提升至接近 100%。故障域层级越高，冗余带来的可用性增益越显著。

3.5 故障域与多租户配额的关系

在多租户配额管理系统中，故障域直接影响配额资源的物理分布策略：