4. 峰值容量设计原则

支付网关的峰值容量设计，本质上不是“把机器堆到足够多”，而是在业务峰值不可预测、故障必然发生、预算始终有限这三个约束下，找到一套可执行、可验证、可回退的工程原则。很多团队在压测时把 TPS 冲到很高，但真实大促当天仍然出现超时、掉单、雪崩，原因往往不是容量不够，而是原则缺失：目标不清、冗余无效、伸缩滞后、降级不敢做、隔离不彻底、成本失控。本节把这六条核心原则拆开讲透，并给出可落地的判断方法。

一、容量规划目标：先定义“扛住什么”，再谈“扩多少”

容量规划的第一步不是算机器，而是定义目标。支付网关的容量目标必须同时包含四个维度：峰值 TPS、可接受延迟、错误率上限、恢复时间目标（RTO）。只写“支持 10 万 TPS”是没有意义的，因为 10 万 TPS 下如果 P99 延迟 5 秒、错误率 3%，业务同样不可用。

推荐用“峰值场景 + 容量水位”来定义目标。例如：大促零点峰值持续 10 分钟，目标 TPS 为日常峰值的 8 倍，P99 延迟不超过 800ms，支付成功率不低于 99.95%，单机房故障时 30 秒内切换完成。这些指标才是后续冗余、伸缩、限流的输入。

二、冗余设计：不是“多部署一套”，而是“故障时可切换”

冗余的核心是消除单点，并保证切换路径真实可用。支付网关常见冗余层次包括：接入层多可用区、应用层无状态多实例、数据库主从/多副本、缓存集群分片、消息队列多副本、外部通道多路由。冗余设计要回答三个问题：故障检测多久、切换动作谁做、切换后容量是否仍然够。

很多团队做了“双机房”，但备用机房平时只跑 20% 流量，故障切换时无法承接全量，这就是无效冗余。有效冗余要求备用路径在切换后仍能满足峰值目标，或者至少满足“降级后的核心支付链路”目标。

三、弹性伸缩：快于流量上涨，慢于流量下跌

弹性伸缩的关键是“提前量”。支付峰值往往在几十秒内爬升，如果依赖 CPU 超过 70% 再扩容，新实例启动、注册、预热、连接池建立需要 1～3 分钟，这段时间流量已经打满。因此伸缩策略应基于预测 + 指标 + 事件三层触发：定时扩容应对已知大促，QPS/队列深度指标应对突发，业务事件（如发券、开抢）提前扩容。

# 弹性伸缩策略示例（伪配置）
scaleOut:
  triggers:
    - type: schedule      # 已知大促，提前 15 分钟扩容
      cron: "55 23 * * *"
      minReplicas: 200
    - type: metric        # 突发流量，QPS 超过阈值立即扩容
      metric: gateway_qps
      threshold: 8000
      step: +50
    - type: event         # 业务事件触发
      event: coupon_launch
      action: preScale
  cooldown:
    scaleOut: 30s         # 扩容要快
    scaleIn: 600s         # 缩容要慢，避免抖动

四、降级限流：保住核心链路，牺牲非关键能力

降级和限流是峰值下的“刹车与减负”。限流解决“进来太多”，降级解决“内部太重”。支付网关应把能力分为核心与非核心：核心是下单、扣款、回调、对账；非核心是营销推荐、风控画像增强、积分同步、消息推送。峰值时优先限流非核心入口，降级非核心依赖，确保核心链路资源不被挤占。

限流要分层：接入层按商户/接口限流，应用层按线程池/信号量隔离，数据库层按连接数和慢查询保护。降级要有开关、有预案、有回滚，不能临时写代码。

五、故障隔离与成本平衡：把故障关在笼子里，把钱花在刀刃上

故障隔离的目标是“一个商户、一个通道、一个机房出问题，不拖垮全局”。常用手段包括：按商户分片、按通道隔离线程池、按机房做单元化、对第三方通道设置独立熔断。隔离的粒度越细，资源成本越高，因此必须与成本平衡。

成本平衡不是一味省钱，而是把预算投向“故障影响最大、峰值最不可预测”的环节。例如：核心支付链路保留 50% 冗余，非核心报表链路只保留 20% 冗余；对已知大促提前包年包月，对突发流量使用按量实例。

六、案例与复盘：一次大促超时的根因

某支付网关在大促零点出现大面积超时。复盘发现：容量目标只定了 TPS，没定延迟；冗余机房平时只跑 15% 流量，切换后数据库连接池瞬间打满；弹性伸缩依赖 CPU，扩容滞后 90 秒；降级开关没有覆盖风控增强调用；通道线程池全局共享，一个外部通道超时拖垮所有商户。最终通过“提前扩容 + 通道隔离 + 非核心降级 + 限流”恢复。

总结来看，峰值容量设计不是单点技术，而是一套相互约束的决策系统。容量目标决定冗余和伸缩的边界，降级限流决定故障时的取舍，故障隔离决定影响范围，成本平衡决定投入优先级。把这六条原则写成可检查的清单，并在每次大促前逐条验证，才能真正把“峰值容量”从口号变成可交付的能力。