4. 削峰概念与目标：削峰填谷原理、镜像发布流量特征、签名服务峰值压力模型
4.1 削峰填谷的核心原理
在镜像供应链中，“削峰填谷”是一种通过缓冲、排队和异步处理来平滑突发流量高峰的系统设计思想。其核心目标不是消除峰值，而是将峰值压力在时间轴上重新分布，使下游服务（如 Sigstore 签名验证、镜像仓库写入）始终运行在可控负载区间内。
关键指标：削峰效率 = (原始峰值速率 − 削峰后峰值速率) / 原始峰值速率 × 100%。生产环境通常要求削峰效率 ≥ 70%，同时端到端延迟增加不超过 30%。
| 维度 | 削峰前 | 削峰后 | 收益 |
|---|---|---|---|
| 签名请求并发数 | 12,000 req/s（突发） | 3,500 req/s（平滑） | 降低 71% 并发压力 |
| 签名服务 CPU 使用率 | 95%～100%（抖动） | 55%～65%（稳定） | 避免超时和 OOM |
| 镜像发布完成时间 | 8～45 秒（波动大） | 18～22 秒（可预测） | SLA 达标率从 82% 提升至 99.5% |
4.2 镜像发布流量特征分析
容器镜像发布流量并非均匀分布，而是呈现明显的“潮汐”和“脉冲”模式。理解这些特征是设计削峰策略的前提。
- CI/CD 触发型脉冲：代码合并后 1～3 分钟内，镜像构建和推送集中爆发。典型场景：早 10 点和下午 4 点为两个高峰窗口，峰值速率是平均值的 8～15 倍。
- 版本发布型潮汐：大版本发布时，多环境（dev/staging/prod）依次推送同一镜像，形成阶梯式流量波。每个环境推送间隔 5～15 分钟，但单波峰值极高。
- 基础镜像更新型长尾：基础镜像（如 Alpine、Distroless）更新时，所有依赖该基础镜像的业务镜像会触发级联重建和签名，形成持续 30～90 分钟的宽峰。
实测数据参考：某头部云厂商内部统计显示，镜像发布流量的 P99 峰值速率是 P50 的 22 倍，且 60% 的请求集中在每天 4 个小时窗口内。这意味着签名服务必须为 4 小时的极端峰值做容量规划，否则将频繁触发限流和签名失败。
4.3 签名服务峰值压力模型
为了量化削峰目标，需要建立签名服务的峰值压力模型。该模型包含三个核心变量：请求到达率 λ、签名处理时间 μ、系统并发容量 C。
# 峰值压力模型核心公式（M/M/C 排队论简化版）
# 系统负载因子 ρ = λ / (C × μ)
# 当 ρ > 0.8 时，排队延迟急剧上升
# 当 ρ > 1.0 时，系统进入过载状态，请求开始丢弃
# 示例：签名服务 10 个 worker，每个 worker 处理能力 200 req/s
# 若突发到达率 λ = 3,000 req/s
# 则 ρ = 3000 / (10 × 200) = 1.5 → 严重过载
# 削峰目标：将 λ 削至 1,500 req/s 以下，使 ρ ≤ 0.754.4 削峰目标矩阵
基于上述模型，我们为镜像签名削峰工程设定以下量化目标。这些目标将指导后续章节中缓冲队列、限流策略和资源弹性的具体设计。
| 指标 | 当前基线 | 削峰目标 | 验收标准 |
|---|---|---|---|
| 签名请求峰值速率 | 3,000 req/s | ≤ 1,500 req/s | 连续 3 个发布窗口达标 |
| 签名服务 P99 延迟 | 2,800 ms | ≤ 800 ms | 削峰后 99% 请求在 800ms 内完成 |
| 签名失败率 | 3.5% | ≤ 0.1% | 排除网络抖动后的硬性指标 |
| 资源利用率波动 | ±45% | ±15% | CPU/内存使用率方差降低 70% |
| 削峰引入的额外延迟 | — | ≤ 500 ms | 缓冲和排队带来的端到端增量 |
避坑提示：削峰不是无限缓冲。如果队列深度超过 5,000 或排队等待时间超过 2 秒，镜像发布流水线会因等待签名结果而阻塞，导致 CI/CD 管道整体超时。必须为队列设置最大容量和 TTL，超出部分直接返回“签名排队中”状态码，由客户端异步轮询。
4.5 削峰策略选型决策树
根据镜像发布流量特征和签名服务压力模型，削峰策略的选择遵循以下决策逻辑：