3. 故障域与单点分析

业务连续性的第一步不是配置冗余，而是先弄清楚“哪些东西坏了会让业务停下来”。在Xeon服务器上，这个问题的答案由故障域（Fault Domain）决定：一个故障域是一组共享同一失效原因的硬件或固件资源，域内任一组件失效，都会让依赖它的上层业务一起不可用。单点故障（SPOF）就是那些“没有冗余、坏了就断”的故障域。本节的目标是建立一套可复用的识别方法，并把它落到双路、四路Xeon系统的具体拓扑上。

一、Xeon服务器的五类故障域

按失效传播路径，可以把一台Xeon服务器拆成五个相互耦合的故障域：

• CPU域：包括物理CPU封装、核心、UPI（Ultra Path Interconnect）链路、QPI/UPI互联拓扑、集成内存控制器（iMC）和PCIe Root Complex。CPU域的关键特征是“互联即共享”——双路系统中两颗CPU通过UPI直连，任一颗掉电或UPI链路降级，都会影响对端CPU访问远端内存和远端PCIe设备。
• 内存域：包括DIMM、内存通道、内存控制器和内存镜像/备用（Memory Mirroring、Rank Sparing）配置。内存域是Xeon上最容易被忽视的SPOF来源：一条通道上所有DIMM共享该通道的带宽与错误传播路径，未做镜像时单条DIMM的不可纠正错误（UCE）通常直接导致宕机。
• I/O域：包括PCIe Switch、网卡、HBA/RAID卡、NVMe盘、PCIe插槽及其上游Root Port。I/O域的冗余边界不在“卡”本身，而在“卡是否挂在不同的Root Complex/不同CPU上”。
• 电源域：包括PSU、PDU、市电输入、电源背板与VR（电压调节模块）。电源域要区分“PSU冗余”和“供电回路冗余”——双PSU接同一路PDU，PDU一跳闸，冗余形同虚设。
• 固件/管理域：包括BIOS/UEFI、BMC（如iDRAC、iLO、XCC）、ME/SPS、CPLD、固件版本一致性与启动配置。固件域的特殊性在于它是“隐性共享”：BMC挂掉不一定立刻断业务，但会失去带外管理与故障切换的触发能力；BIOS配置不一致则会让冗余节点在切换后行为不同。

二、单点故障图谱：双路与四路的差异

下面这张图给出典型双路与四路Xeon系统的单点故障图谱。图中用颜色区分故障域，用“SPOF”标记无冗余路径，用虚线表示冗余路径。双路系统的核心风险是UPI链路与共享I/O；四路系统在此之上增加了跨Socket互联与NUMA边界，任一节点失效会通过互联拓扑放大影响范围。

三、从图谱到判断：如何确认一个域是不是SPOF

识别SPOF不能只看“有没有两块”，而要看失效路径是否收敛。可以用三个问题快速判断：

1. 共享性：该组件是否被多个业务路径共同依赖？例如双路系统中，若两块网卡分别插在CPU0和CPU1的Root Port上，则单卡故障不构成SPOF；若两块网卡都挂在CPU0的PCIe Switch下，Switch就是SPOF。
2. 可切换性：故障发生后，是否有自动或手动路径把业务转移到冗余资源？内存镜像、PSU冗余、网卡Bonding都属于“可切换”；而单条UPI链路在双路系统中通常不可切换，只能降级运行。
3. 可观测性：BMC/BIOS是否能上报该域的故障？如果BMC本身是SPOF，那么“故障可观测”这件事也一并失效，切换动作可能根本不会触发。

四、典型场景下的SPOF清单示例

下面给出一份可直接用于现场核查的SPOF清单示例。表中“冗余状态”一栏按实际配置填写，“风险等级”按业务影响判断。示例参数为教学假设，实际应以现场配置为准。

五、把SPOF图谱落到切换设计上

识别出SPOF之后，处理方式只有三种：消除（增加冗余路径）、隔离（把SPOF限制在最小业务范围内）、接受并监控（明确降级行为与告警阈值）。例如，双路系统中若无法消除单条UPI链路的降级风险，就应在业务侧确认降级后带宽仍能满足SLA，并在BMC中设置UPI链路错误告警；四路系统中若跨Socket I/O访问延迟敏感，应通过NUMA绑定把关键业务限制在本地Node，避免远端PCIe访问成为隐性SPOF。

完成本节分析后，你应当能够对一台具体的Xeon服务器回答三个问题：它有哪些故障域、每个域内哪些路径是收敛的、哪些收敛点会导致业务中断。这份图谱是后续配置故障切换策略、设置告警阈值和设计恢复流程的直接输入。