3. 蓝绿部署原理：蓝绿发布流程、流量切换机制、回滚策略
蓝绿部署（Blue-Green Deployment）是一种零停机发布策略，通过维护两套完全独立的生产环境（蓝环境与绿环境），实现流量瞬间切换与快速回滚。在容器网络与 Service Mesh 场景下，蓝绿部署依赖精细的流量路由规则与网络策略，是延迟水位观测与异常事件检测的核心前置条件。
3.1 蓝绿发布流程
蓝绿部署的核心思想是：任何时候只有一套环境承载生产流量，另一套环境处于待命或预热状态。典型发布流程包含以下阶段：
- 环境准备：维护两套逻辑隔离的部署环境（蓝/绿），共享同一套数据库与中间件。
- 版本部署：将新版本应用部署至非活跃环境（例如当前活跃为蓝，则部署至绿）。
- 健康检查与预热：对新环境执行就绪探针、存活探针、延迟预热（Warm-up），确保服务正常。
- 流量切换：通过负载均衡器或 Service Mesh 路由规则，将流量从旧环境瞬间切换至新环境。
- 观察与验证：在新环境上运行冒烟测试与延迟水位监控，确认无异常。
- 旧环境保留：旧环境保持运行，作为回滚目标，通常保留 10–30 分钟或更长时间。
容器网络视角：在 Kubernetes 中，蓝绿环境通常通过不同的
Deployment + Service 标签选择器实现，或通过 Istio VirtualService 的 subset 权重路由完成流量切换。
3.2 流量切换机制
流量切换是蓝绿部署的核心操作，决定了发布速度与风险。根据基础设施类型，切换机制分为以下三种模式：
| 切换模式 | 实现方式 | 切换粒度 | 典型延迟 | 适用场景 |
|---|---|---|---|---|
| DNS 切换 | 修改 DNS A/CNAME 记录指向新环境 IP | 域名级别 | 分钟级（TTL 传播） | 传统架构、非实时系统 |
| 负载均衡器切换 | 更新 Nginx/HAProxy/ALB 后端池 | 后端组级别 | 秒级（连接耗尽） | 四层/七层代理场景 |
| Service Mesh 权重路由 | 调整 VirtualService 中 subset 权重（0→100） | Pod 级别 | 毫秒级（Sidecar 热更新） | 容器网络、精细化观测 |
容器网络最佳实践：在 Kubernetes + Istio 环境中，推荐使用 权重路由 实现蓝绿切换。通过
VirtualService 的 weight 字段，可将流量从蓝环境（weight: 100）瞬间切换至绿环境（weight: 100），且支持灰度验证（如 10%→50%→100%）。
3.3 回滚策略
蓝绿部署的最大优势在于瞬时回滚：当新环境出现异常时，只需将流量切回旧环境即可。回滚策略需结合延迟水位与异常事件检测，形成自动化决策闭环。
3.3.1 回滚触发条件
- 延迟水位超标：P99 延迟超过基线 200% 持续 30 秒。
- 错误率飙升：HTTP 5xx 比例超过 1% 或连接超时率超过 0.5%。
- 健康检查失败：就绪探针连续 3 次失败。
- 业务指标异常：订单成功率、支付转化率等关键业务指标下降。
3.3.2 回滚执行步骤
- 停止新流量：将新环境从负载均衡池中移除，或设置权重为 0。
- 恢复旧环境权重：将旧环境权重恢复至 100%，或切换 DNS 指向旧环境。
- 保留新环境：保持新环境运行，用于事后诊断与日志采集。
- 触发告警：向 SRE 团队发送回滚事件通知，包含异常指标快照。
- 记录回滚事件：将回滚原因、时间、影响范围写入可观测平台。
注意：回滚并非万能。如果数据库 schema 变更不兼容，回滚可能导致数据不一致。此时应优先采用前向修复（Hotfix）而非回滚。蓝绿部署要求数据库变更必须向后兼容。
3.3.3 回滚策略对比
| 策略类型 | 回滚时间 | 数据一致性 | 适用场景 |
|---|---|---|---|
| 全量回滚 | 秒级 | 完全一致（无 schema 变更） | 应用代码回滚 |
| 灰度回滚 | 分钟级 | 部分一致（逐步切回） | 大流量场景、渐进式恢复 |
| 前向修复 | 取决于修复速度 | 需处理兼容性 | 数据库变更、协议不兼容 |
3.4 蓝绿部署与可观测性集成
在容器网络环境中，蓝绿部署的每个阶段都需要可观测性数据支撑：
- 发布前：建立延迟基线（P50/P95/P99）、错误率基线、CPU/内存水位。
- 发布中：实时监控新环境的延迟水位与异常事件，与基线对比。
- 发布后：持续观测 5–15 分钟，确认无延迟抖动或错误率上升。
- 回滚时：自动触发事件记录，关联日志、指标与链路追踪。
NetPolicy 观测实践：在蓝绿切换瞬间，容器网络的延迟水位可能出现短暂尖刺（因连接重建、DNS 缓存失效等）。NetPolicy 通过 eBPF 探针捕获毫秒级延迟变化，自动区分“正常切换抖动”与“异常延迟飙升”，避免误触发回滚。