2. 故障域隔离基础概念

2.1 什么是故障域

故障域（Failure Domain）是指系统中一旦发生故障，会受到影响的物理或逻辑资源集合。在 Helm Chart 仓库的存储后端选型中，故障域决定了当某个组件、节点或网络分区失效时，仓库服务的可用性和数据完整性。

故障域的核心思想是：将系统划分为相互独立的故障隔离区域，使一个区域内的故障不会扩散到其他区域。常见的故障域层级包括：

• 单进程/容器域：一个 Pod 或进程崩溃，仅影响该实例上的请求。
• 单节点域：一台物理机或虚拟机宕机，影响该节点上运行的所有服务。
• 机架/可用区域：一个机架断电或一个可用区（AZ）网络中断，影响该区域内的所有资源。
• 区域/地域域：一个地理区域发生自然灾害或大规模电力故障，影响整个 Region。

2.2 单点故障风险

单点故障（Single Point of Failure, SPOF）是指系统中某个组件一旦失效，将导致整个系统不可用或数据丢失的风险点。在 Helm Chart 仓库的存储后端中，常见的单点故障风险包括：

2.3 隔离策略：计算 / 存储 / 网络

故障域隔离的核心是通过合理的架构设计，将计算、存储、网络三个维度的资源进行物理或逻辑隔离，从而限制故障的爆炸半径。以下是针对 Helm Chart 仓库的三种隔离策略详解：

2.3.1 计算隔离

计算隔离关注的是 Chart 仓库服务进程、API 网关、后台任务等计算资源的故障域划分。

• 多副本部署：将 Helm Chart 仓库的 API 服务部署为多个 Pod 或实例，分散到不同节点。
• 反亲和性调度：使用 Kubernetes 的 PodAntiAffinity 规则，确保同一服务的多个副本不会调度到同一台物理节点。
• 无状态设计：仓库服务本身不存储状态，所有状态（Chart 包、索引、元数据）都委托给外部存储后端。

2.3.2 存储隔离

存储隔离是 Helm Chart 仓库故障域设计的重中之重，直接决定了 Chart 包和索引数据的持久性与可用性。

2.3.3 网络隔离

网络隔离确保网络层面的故障不会导致整个仓库服务不可用，同时也能防止安全攻击的横向扩散。

• 多入口网关：部署多个 Ingress Controller 或负载均衡器，分散到不同可用区。
• 网络策略：使用 Kubernetes NetworkPolicy 限制 Chart 仓库服务与存储后端之间的流量仅限必要端口。
• DNS 多记录：为仓库服务配置多条 DNS A 记录，指向不同可用区的入口 IP，实现客户端侧负载均衡。
• 跨区域回退：在主区域网络故障时，自动将流量切换到备用区域的只读副本。

2.4 隔离策略的权衡与选择

在实际的 Helm Chart 仓库部署中，故障域隔离策略的选择需要根据业务规模、预算和运维能力进行权衡：

• 开发/测试环境：单节点部署，不进行故障域隔离，快速验证功能。
• 中小规模生产：跨可用区部署，使用分布式 MinIO + 主从数据库，计算层多副本。
• 大规模生产/多租户：跨地域部署，使用云原生对象存储（S3/GCS），计算层全球负载均衡，存储层跨区域复制。