4. 灾备缓存模型：主备架构、双活架构、缓存一致性模型
在 Envoy 灾备缓存命中巡检体系中，缓存架构的选择直接决定了 RPO（恢复点目标）与缓存命中率之间的平衡点。本章深入剖析三种核心灾备缓存模型及其一致性保障策略，为后续巡检指标设计提供架构级依据。
4.1 主备缓存架构（Active-Standby）
主备架构是最经典的灾备缓存模型，适用于对一致性要求极高、允许一定切换延迟的场景。
核心特征： 单一主节点（Active）承担所有读写流量，备节点（Standby）实时同步数据但对外不提供服务。故障时通过 VIP 漂移或 DNS 切换完成主备倒换。
4.1.1 架构流程
- 写入路径： 客户端 → Envoy → 主缓存节点（写入成功 → 异步同步至备节点）。
- 读取路径： 客户端 → Envoy → 主缓存节点（直接返回）。
- 故障切换： 主节点宕机 → 健康检查失败 → Envoy 将流量切换至备节点 → 备节点提升为主。
4.1.2 关键指标对比
| 指标维度 | 主备架构表现 | 对巡检的影响 |
|---|---|---|
| RPO | 秒级～分钟级（取决于同步延迟） | 切换后可能出现缓存缺失，命中率瞬时下降 |
| RTO | 10s～60s（检测+切换+预热） | 巡检需监控切换耗时与预热进度 |
| 缓存命中率 | 稳态时高（单点写入无冲突） | 切换后需关注"冷启动"命中率曲线 |
| 一致性 | 强一致（主节点写入即生效） | 备节点数据可能滞后，巡检需区分主备数据版本 |
巡检避坑： 主备架构下，备节点在切换前通常处于"半同步"状态。若同步链路中断，备节点数据可能落后主节点数分钟。巡检脚本必须检测主备之间的数据偏移量（Replication Lag），而非仅检查节点存活状态。
4.2 双活缓存架构（Active-Active）
双活架构下，两个（或多个）缓存节点同时对外提供服务，适用于对可用性要求极高、需要就近接入的多数据中心场景。
适用场景： 跨地域部署、全球流量调度、RTO 趋近于零的业务。Envoy 通过地域感知路由（Zone Aware Routing）将请求分发至最近的缓存节点。
4.2.1 架构流程
- 写入路径： 客户端 → Envoy（地域路由）→ 本地缓存节点（写入 → 同步至远端缓存节点）。
- 读取路径： 客户端 → Envoy → 本地缓存节点（直接返回，若 miss 则回源）。
- 故障处理： 单节点故障 → Envoy 将流量全量转发至健康节点 → 无切换感知。
4.2.2 双活 vs 主备对比
| 对比维度 | 主备架构 | 双活架构 |
|---|---|---|
| 资源利用率 | 备节点闲置（50% 浪费） | 所有节点承载流量（100% 利用） |
| RTO | 秒级～分钟级（需切换） | 毫秒级（无需切换） |
| RPO | 取决于同步延迟 | 取决于冲突解决策略 |
| 一致性复杂度 | 低（单点写入） | 高（多点写入需协调） |
| 缓存命中率 | 稳态高，切换后波动 | 稳态高，但可能因数据分片导致局部 miss |
巡检避坑： 双活架构下，若两个节点同时写入同一 Key 的不同值，可能产生数据冲突。巡检必须检测冲突计数（Conflict Count）和最后写入者（LWW）的时间戳偏差，避免缓存数据"脑裂"。
4.3 缓存一致性模型
一致性模型决定了灾备缓存架构下数据可见性的严格程度。Envoy 缓存巡检必须根据业务 RPO 要求选择合适的一致性级别。
4.3.1 强一致性（Strong Consistency）
- 定义： 写入操作完成后，所有后续读取操作都能读到最新值。
- 实现方式： 同步复制（写入所有节点后才返回成功）、Quorum 机制（W+R > N）。
- 适用场景： 金融交易、库存扣减、用户余额。
- 对命中率的影响： 写入延迟增加，但读取命中率稳定（无脏数据）。
4.3.2 最终一致性（Eventual Consistency）
- 定义： 写入操作完成后，系统保证在没有新写入的情况下，所有副本最终会达到一致状态。
- 实现方式： 异步复制、Gossip 协议、CRDT（无冲突复制数据类型）。
- 适用场景： 社交动态、内容分发、用户会话。
- 对命中率的影响： 读取可能返回旧值（缓存命中但数据过期），巡检需区分"命中"与"有效命中"。
4.3.3 一致性模型对比矩阵
| 模型 | RPO | 写入延迟 | 读取命中率 | Envoy 巡检指标 |
|---|---|---|---|---|
| 强一致 | 0（无数据丢失） | 高（等待所有副本确认） | 高（数据最新） | Quorum 达成率、写入超时率 |
| 最终一致 | 秒级～分钟级 | 低（写入即返回） | 中（可能命中过期数据） | 同步延迟、版本偏差、冲突计数 |
| 因果一致 | 取决于因果依赖 | 中 | 中高 | 因果依赖链完整性 |
工程建议： 在 Envoy 灾备缓存巡检中，建议对每个缓存 Key 附加版本号（Version）或时间戳（Timestamp）。巡检脚本通过对比各节点的版本号分布，量化当前一致性收敛状态，并据此计算"有效缓存命中率"（Valid Cache Hit Ratio），即命中且版本号不低于业务容忍阈值的请求占比。
4.3.4 一致性模型选择决策树
业务是否需要读取最新数据？
├── 是 → 能否接受写入延迟增加？
│ ├── 是 → 选择「强一致性」（同步复制 / Quorum）
│ └── 否 → 选择「因果一致性」（依赖追踪）
└── 否 → 能否接受短暂数据不一致？
├── 是 → 选择「最终一致性」（异步复制 / CRDT）
└── 否 → 选择「会话一致性」（Session Consistency）
巡检联动： 一致性模型的选择直接影响巡检阈值设定。例如，强一致架构下，RPO 应设为 0，巡检告警条件为"任何副本版本不一致"；最终一致架构下，RPO 可设为 5 秒，巡检告警条件为"版本偏差超过 5 秒或冲突计数 > 0"。