3. 回滚护栏总体架构设计：分层架构图，控制面与数据面分离设计

在API网关迁移工程中，回滚护栏并非一个单一功能模块，而是一套贯穿控制面与数据面的系统性架构。其核心设计原则是控制面与数据面严格分离：控制面负责决策、配置下发与状态观测，数据面负责流量转发、策略执行与实时熔断。两者通过标准化的配置通道和健康探测机制协同工作，确保在迁移过程中任何异常都能被快速感知并自动/手动触发回滚。

3.1 总体分层架构

回滚护栏架构自底向上分为四层，每层职责清晰，层间通过API或事件总线解耦：

3.2 控制面与数据面分离设计

控制面与数据面的分离不仅是物理部署上的解耦，更是职责边界的明确划分。以下从配置管理、健康探测、回滚触发三个维度阐述分离设计的具体实现：

• 配置管理分离： 控制面维护全量配置版本库（如etcd中的配置快照），数据面仅持有当前生效的运行时配置。控制面通过xDS协议（如Envoy的CDS/EDS/RDS）或自定义CRD下发配置，数据面不直接修改配置源。
• 健康探测分离： 数据面暴露独立的健康检查端点（如/healthz、/livez、/readyz），控制面通过带外探测（out-of-band）定期检查数据面实例状态，而非依赖数据面自身上报。
• 回滚触发分离： 控制面负责判断回滚条件（如错误率突增、延迟飙升、配置版本校验失败），并生成回滚指令；数据面仅执行指令，不参与决策。回滚指令通过配置通道下发，数据面原子性切换配置版本。

3.3 分层架构SVG图：控制面与数据面分离设计

下图展示了回滚护栏的总体分层架构，重点突出控制面与数据面的分离关系、配置下发路径以及回滚触发流程：

3.4 控制面与数据面分离的关键设计决策

在迁移项目中，控制面与数据面分离设计需要落地为具体的工程决策。以下表格总结了五个关键设计点及其在回滚护栏中的实现方式：

3.5 回滚触发流程SVG图：从异常检测到配置回退

下图聚焦回滚触发流程，展示从数据面指标异常到控制面执行配置回退的完整链路，体现控制面与数据面在回滚过程中的协作关系：

3.6 分层架构设计总结

回滚护栏的分层架构与控制面/数据面分离设计，为API网关迁移提供了以下核心能力：

• 故障隔离： 控制面故障不影响数据面当前配置的运行，数据面故障不会导致控制面决策失效。
• 灰度可控： 控制面可以精确控制每个数据面实例的配置版本，实现金丝雀发布和按比例回滚。
• 可观测性： 四层架构中每一层都暴露标准化的指标和日志，回滚过程可追溯、可审计。
• 自动化与人工协同： 异常检测和自动回滚由控制面完成，重大回滚操作保留人工审批入口，兼顾效率与安全。